Seguridad de aplicaciones: contrarrestar nuevas superficies de ataque a través de API. Para poder proteger adecuadamente las aplicaciones, es fundamental que las empresas comprendan los diversos vectores de amenazas.
Hoy en día, las aplicaciones se encuentran en los entornos de TI más diversos, desde el centro de datos hasta el teléfono inteligente, y su número aumenta constantemente. El aumento del trabajo remoto también ha significado que cada vez más aplicaciones deben subcontratarse a la nube. Esto ha aumentado los riesgos potenciales en términos de seguridad de las aplicaciones. Para poder proteger adecuadamente sus aplicaciones, es fundamental que las empresas comprendan los diversos vectores de amenazas.
Los bots como fuente de amenazas
Sin duda, los bots han sido durante mucho tiempo una fuente de amenazas para las aplicaciones y ahora se encuentran en la parte superior de la lista de vectores de ataque exitosos. Además, con muchas infracciones causadas por errores humanos, es más importante que nunca asegurarse de que no queden brechas abiertas en la defensa. Sin embargo, los equipos de seguridad no deben centrarse solo en los bots. Las amenazas de día cero, las vulnerabilidades de las aplicaciones web, la cadena de suministro de software y las API (interfaces de programación de aplicaciones) también son áreas relevantes a las que los profesionales de la seguridad deben prestar la misma atención.
Una investigación reciente de Barracuda muestra que de 750 organizaciones globales, el 72 % experimentó al menos una brecha de seguridad a través de una vulnerabilidad de aplicación en el último año, y casi el 40 % reportó más de una brecha.
Nuevas superficies de ataque para aplicaciones a través de APIs
Cada vez más empresas se están moviendo hacia el desarrollo de "API primero", ya que las API aceleran significativamente el desarrollo de nuevas versiones de aplicaciones. Sin embargo, expandir la visibilidad de estas aplicaciones crea una superficie de ataque completamente nueva.
Por ejemplo, al cobrar un cheque, el banco solía tardar varios días en verificar la cuenta de origen y los detalles relacionados antes de que el dinero finalmente llegara a la cuenta del destinatario. Hoy en día, la transferencia de dinero a menudo se realiza mediante transferencias bancarias a través de una aplicación en el teléfono inteligente. Para llevar a cabo esta transacción, se requiere una gran cantidad de TI en segundo plano y debe protegerse.
Verificación en los puntos finales B2B
No hay humanos involucrados en la inspección de los puntos finales B2B, todo se maneja a través de API, que son una superficie de ataque potencial. Porque las API exponen inherentemente la lógica de la aplicación, las credenciales y los tokens de los usuarios, y todo tipo de información personal, todo a la velocidad de la nube y desde el teléfono inteligente del usuario. Una aplicación basada en API está mucho más expuesta que una aplicación web tradicional, ya que se utiliza deliberadamente para proporcionar acceso directo a datos confidenciales.
Por ejemplo, cuando los usuarios se desplazan por Facebook o revisan su cartera de acciones en vivo en su aplicación bancaria, sus teléfonos interactúan con los servidores en sus centros de datos a través de API. Durante el desplazamiento, estas API se autentican constantemente a través de grandes cadenas alfanuméricas, y este tráfico debe inspeccionarse y protegerse en tiempo real. A diferencia del ejemplo de verificación anterior, no puede esperar hasta que una persona de contacto regrese de la hora del almuerzo para verificar si la solicitud es legítima.
Protección para aplicaciones y APIs
Las organizaciones recurren cada vez más a las API, pero tienen dificultades para mantenerse al día con la seguridad. Los ciberdelincuentes están listos con bots para acceder a las API no seguras las 2018 horas del día, los 75 días de la semana. Si un ataque tiene éxito, los piratas informáticos tienen acceso a los datos de los clientes o a la información de los empleados, que pueden comprometer a voluntad. Hay muchos ejemplos de pruebas de API que se utilizan con acceso directo a datos de producción sin ninguna protección de seguridad (como la brecha de seguridad de Facebook en XNUMX). Si bien proteger las API es un desafío, un hallazgo alentador del estudio de Barracuda muestra que el XNUMX por ciento de las organizaciones encuestadas son conscientes de los riesgos.
La defensa de las API es una de las principales consideraciones de seguridad en este momento. Por lo tanto, las empresas deben considerar una plataforma integral, escalable y fácil de implementar para proteger sus aplicaciones dondequiera que residan. Un firewall de aplicaciones web (WAF) con Active Threat Intelligence es la solución más manejable para proteger las aplicaciones y, por lo tanto, las API de las amenazas anteriores. La defensa contra las amenazas de día cero, los bots, los ataques DDoS, el compromiso de la cadena de suministro, el relleno de credenciales, así como la implementación de la seguridad del lado del cliente y la protección contra los infiltrados maliciosos deben estar en la agenda de las organizaciones para evitar violaciones de seguridad a través de las vulnerabilidades de las aplicaciones.
Más en Barracuda.com[ID de starbox = 5]
Artículos relacionados con el tema