La adopción de interfaces de programación de aplicaciones, más conocidas como API, ha aumentado drásticamente en los últimos años. En muchos sentidos, las API son ahora la columna vertebral de Internet. ¿Por qué? Las API son un componente esencial de la transformación digital, ya que permiten a las aplicaciones, contenedores y microservicios intercambiar datos e información rápidamente para que los consumidores experimenten una mayor comodidad en sus dispositivos digitales.

Sin embargo, el creciente volumen de API creará más oportunidades para los hackers. El nuevo reporte de Imperva sobre el Estado de la Seguridad de las APIs en 2024 destaca cómo las APIs y su creciente uso están cambiando significativamente el panorama de las amenazas. En 2023, el número de ataques dirigidos a las API aumentó significativamente. 

El tráfico de API está superando al tráfico web

Las interfaces de programación de aplicaciones (API) desempeñan un papel tan fundamental en la modernización de las aplicaciones que el tráfico relacionado con las API está superando al tráfico web normal. Según el informe, el tráfico de API constituyó más del 71% del tráfico web el año pasado. Las API ofrecen muchas ventajas -facilitan la conectividad sin fisuras, mejoran las experiencias en línea e impulsan la innovación-, pero su adopción generalizada está planteando a las organizaciones toda una nueva gama de retos de seguridad que no siempre están preparadas para afrontar.

Llamadas a API y automatización: una receta para el abuso

El reporte revela que el número promedio de llamadas API a sitios empresariales es de 1.5 billones a nivel global.  Los elevados volúmenes de tráfico automatizado no humano están innegablemente relacionados con un aumento de los ataques automatizados a las API y exigen medidas de seguridad sólidas para defenderse de los ataques de bots maliciosos y otros ataques automatizados, como los ataques de denegación de servicios distribuidos (DDoS) y la toma de control de cuentas (ATO). El 46% de todos los ataques de apropiación de cuentas se dirigieron a terminales de API. Los atacantes también son cada vez más astutos en sus estrategias, y el 28% de todos los ataques DDoS a API se dirigen a organizaciones de servicios financieros, el principal sector objetivo de este tipo de ataques.

A medida que las organizaciones se vuelven más dependientes de las API, nunca ha sido más importante comprender plenamente los riesgos que las API pueden introducir en la infraestructura de su aplicación. El reporte revela los principales retos para las organizaciones:

1. Descubrimiento, un primer paso crucial: El reporte reconoce la urgente necesidad de que las organizaciones tengan visibilidad de sus ecosistemas API para permitir una identificación meticulosa de cada API. El descubrimiento de estas API es un paso inicial crucial para establecer una postura de ciberseguridad sólida. Aprovechando técnicas avanzadas y aprendizaje automático, nuestro análisis ha descubierto una media de 613 API por organización, destacando riesgos potenciales como terminales obsoletos y Broken Object Level Authorization (BOLA), reconocido como uno de los 10 principales riesgos de seguridad de API de OWASP en 2023.
2. Ataques automatizados y abuso de la lógica empresarial: Los atacantes aprovechan cada vez más los ataques automatizados, o bots maliciosos, para atacar la lógica empresarial de las API o su funcionalidad básica. Al imitar el tráfico automatizado habitual de la API, los ataques pasan desapercibidos, lo que permite a los autores de las amenazas llevar a cabo sus actividades maliciosas sin interrupción. En 2023, un asombroso 27% de todos los ataques a API se dirigieron a la lógica empresarial.
3. Las medidas de seguridad tradicionales no pueden detectar el abuso de las API: Las herramientas de seguridad tradicionales, como un firewall de aplicaciones web (WAF), tienen dificultades para detectar y mitigar esta forma de abuso, ya que los ataques a las API se disfrazan hábilmente de tráfico normal.
4. Protección contra robots maliciosos: Un paso crítico: El equipo de Investigación de Amenazas de Imperva descubrió una correlación cada vez mayor entre el abuso de API y los bots maliciosos, lo que pone de relieve la necesidad urgente de aumentar la visibilidad de las infraestructuras de API. Esta visibilidad es vital para permitir una evaluación exhaustiva y la implementación de las soluciones de seguridad necesarias, como Imperva Advanced Bot Protection y las herramientas de evaluación de riesgos de API.

Un enfoque integral de la seguridad de las API

El reporte también examina los innumerables desafíos y vulnerabilidades que las organizaciones enfrentan al asegurar su infraestructura API, reforzando la importancia primordial de una estrategia integral de Seguridad API, combinando Web Application Firewall (WAF) y API Discovery con Advanced Bot Protection y medidas avanzadas de Seguridad API, incluyendo evaluación de riesgos, detección de anomalías y mitigación. abogando por un enfoque integrado crucial para asegurar la protección robusta de APIs.

28/03/2024