Las APIs impulsan la mayoría del tráfico en Internet y los ciber delincuentes están aprovechándose

Mitigar el riesgo de seguridad de las APIs es un desafío único que frustra incluso a los equipos de seguridad más sofisticados. El problema surge del rápido ritmo del desarrollo de software y la falta de herramientas y procesos maduros para ayudar a que los desarrolladores y los equipos de seguridad trabajen de manera más colaborativa. Como resultado, casi una de cada diez APIs es vulnerable a ataques porque no se eliminó correctamente, no se monitorea o carece de controles de autenticación suficientes.

En su informe, Imperva identificó tres tipos comunes de puntos finales de API mal gestionados que crean riesgos de seguridad para las organizaciones:

1. APIs en la sombra: También conocidas como APIs no documentadas o no descubiertas, estas son APIs que no están supervisadas, olvidadas y/o fuera de la visibilidad del equipo de seguridad. Imperva estima que las APIs en la sombra representan el 4.7% del conjunto de APIs activas de cada organización. Estos puntos finales se introducen por diversas razones, desde el propósito de pruebas de software hasta su uso como conector a un servicio de terceros. Los problemas surgen cuando estos puntos finales de API no se catalogan o gestionan adecuadamente. Las empresas deberían preocuparse por las APIs en la sombra porque típicamente tienen acceso a información sensible, pero nadie sabe dónde existen o a qué están conectadas. Una sola API en la sombra puede provocar una violación de cumplimiento y una multa regulatoria, o peor aún, un ciberdelincuente motivado puede abusar de ella para acceder a datos sensibles de una organización.

2. APIs desactualizadas: La desactivación de un punto final de API es una progresión natural en el ciclo de vida del software. Como resultado, la presencia de APIs desactualizadas no es infrecuente, ya que el software se actualiza a un ritmo continuo y rápido. De hecho, Imperva estima que las APIs desactualizadas, en promedio, representan el 2.6% del conjunto de APIs activas de una organización. Cuando el punto final se desactiva, los servicios que lo respaldan se actualizan y una solicitud al punto final desactivado debería fallar. Sin embargo, si los servicios no se actualizan y la API no se elimina, el punto final se vuelve vulnerable porque carece de los parches necesarios y actualizaciones de software.

3. APIs no autenticadas: A menudo, las APIs no autenticadas se introducen como resultado de una configuración incorrecta, descuido de un proceso de lanzamiento apresurado o la flexibilización de un proceso de autenticación rígido para acomodar versiones antiguas de software. Estas APIs representan, en promedio, el 3.4% del conjunto de APIs activas de una organización. La existencia de APIs no autenticadas supone un riesgo significativo para las organizaciones, ya que puede exponer datos o funcionalidades sensibles a usuarios no autorizados y provocar brechas de datos o manipulación del sistema.

Para mitigar los diversos riesgos de seguridad introducidos por APIs mal gestionadas, se recomienda realizar auditorías regulares para identificar puntos finales de API no supervisados o no autenticados. El monitoreo continuo puede ayudar a detectar cualquier intento de aprovechar las vulnerabilidades asociadas con estos puntos finales. Además, los desarrolladores deben actualizar y mejorar regularmente las APIs para garantizar que los puntos finales desactualizados sean reemplazados por alternativas más seguras.