Seguridad de las API

Cabe recalcar que si hay una aplicación o un servicio disponible en Internet, puedes estar seguro de que están respaldados, de alguna manera, por una API. Actualmente, permiten el funcionamiento de las aplicaciones móviles, el Internet de las cosas (IoT), los servicios de atención al cliente basados en la nube, las aplicaciones internas, las aplicaciones de partners y mucho más.

Una API o, en español, Interfaz de Programación de Aplicaciones es un conjunto de funciones y procedimientos que permiten integrar sistemas, sirve para intercambiar datos entre diferentes tipos de software y así automatizar procedimientos y desarrollar nuevas funcionalidades. En el siguiente artículo podrás saber más sobre estas, la cantidad de ataques debido a las vulnerabilidades que puedan tener y prácticas de seguridad de las API.

Es vital centrarnos en la seguridad de las API debido a la importancia que representan. La seguridad de las aplicaciones ya sea por parte de las API o en el desarrollo de aplicaciones web, es un complejo entramado de características, funciones y requisitos empresariales; por lo que encontrar el equilibrio dentro de este ámbito no es tan fácil como puede parecer.

Con respecto al estado de los ataques online, se analizaron 18 meses de tráfico de ataques entre enero de 2020 y junio de 2021. En junio de 2021, un solo día, Akamai observó 113,8 millones de ataques. Eso es más de tres veces la cantidad de ataques que se observaron durante el mismo periodo en 2020. Con 6200 millones de intentos registrados, la inyección SQL (SQLi) sigue ocupando el primer lugar en la lista de tendencias de ataques web, seguida de la inclusión de archivos locales (LFI) con 3300 millones y los scripts de sitios (XSS) con 1019 millones.

Considerando la cifra de vulnerabilidades reveladas y los ataques de los que se informa, está claro que las API se enfrentan a los mismos tipos de problemas a los que llevan enfrentándose las aplicaciones basadas en la web desde hace años. Los atacantes están al acecho y desarrollan técnicas y métodos de ataque nuevos, de hecho, las API son uno de sus objetivos principales. Si bien los equipos están avanzando hacia una seguridad en el ciclo de vida del desarrollo, el proceso es lento. Esto hace que las organizaciones se queden atrás y que, en algunos casos, se vean obligadas a publicar códigos vulnerables a sabiendas, ya que el uso de dicho código es crítico para la empresa

Teniendo en cuenta la cantidad y tipos de ataques mencionados, te recomendamos las siguientes 4 prácticas de seguridad en las API:

1. Identifica tus API y lleva un registro de ellas como con un inventario. Es esencial saber dónde están las API y para qué se utilizan, también hay que tener en cuenta las API externas de las que se vale la organización. Estas igual deben identificarse y protegerse, o por lo menos registrarse y evaluarse como posibles elementos de riesgo.
2. Una vez que sepas dónde se encuentran todas las API, pruébalas y comprende las vulnerabilidades que existen en ellas. Comienza buscando claves integradas como parte del código, llamadas lógicas y si el tráfico de API podría verse afectado por un ataque de suplantación. También es una buena idea analizar el almacenamiento y los repositorios para detectar si hay claves que se puedan utilizar para poner en peligro la API o cualquier elemento asociado a ella.
3. Aprovecha la infraestructura WAF existente, así como cualquier solución de gestión de identidades y protección de datos, junto con cualquier herramienta de seguridad de API especializada, tanto durante la fase de desarrollo como la de lanzamiento.
4. En lo que se refiere a las políticas de API, trata de evitar el uso de políticas únicas por API. En lugar de eso, favorece un conjunto de políticas globales que se puedan reutilizar. Además, no codifiques la política directamente en las API que necesitan protección.

Además de las prácticas recomendadas, es importante recalcar que se necesita una formación más continua para el desarrollo de aplicaciones y la implementación de API, y solo entonces podrán los equipos de desarrollo cumplir con las expectativas de seguridad.

Obtén más información en el artículo completo.

Descargar Artículo