La seguridad de API se convierte en una preocupación de ciberseguridad de nivel C

30 de julio de 2023 Santa Clara / CA / EE. UU.: el logotipo de Akamai se muestra en su sede en Silicon Valley; Akamai Technologies, Inc. es una red de entrega de contenido (CDN) estadounidense y un proveedor de servicios en la nube

Akamai Technologies anunció esta semana que adquirirá Neosec, una empresa de respuesta y detección de amenazas de interfaz de programación de aplicaciones de financiación privada que fue finalista en la competencia RSA Conference Innovation Sandbox de 2023. El acuerdo está programado para cerrarse en junio. También se espera que los empleados de Neosec, incluido el cofundador y director ejecutivo Giora Engel y el cofundador y director ejecutivo Ziv Sivan, se unan al negocio de tecnología de seguridad de Akamai.

La adquisición hace sonar las alarmas: la creciente importancia de la detección de riesgos de API y la corrección de ataques como parte de la detección y respuesta siempre activas, y los beneficios de una plataforma de seguridad más completa.

En el último caso, las empresas de TI como Cisco, Check Point y otras ofrecen una plataforma única holística como alternativa a un enfoque de múltiples proveedores, una gran cantidad de soluciones de software como servicio de seguridad centradas en vulnerabilidades específicas, en lugar de hojeando agujeros conocidos como docenas de holandeses proverbiales, pero sin abordar el panorama general.

Rupesh Chokshi, director general de seguridad de aplicaciones de Akamai, explicó que la adquisición aporta a Akamai la experiencia en API que tanto necesita.

mirar: La ciberseguridad coordinada es seguridad que se alinea con los objetivos comerciales (Tecnopedia)

«Hay muchas cosas en las que nos hemos vuelto realmente buenos, pero no nos hemos centrado en las interacciones de la API. Con esta nueva capacidad, podemos ver anomalías: ¿Por qué se realizan estas llamadas? ¿Cuáles son los datos que se están compartido o atravesado, estamos viendo ¿Qué vulnerabilidades conocidas? Ahora podremos alertar rápidamente a los clientes que esto es lo que está sucediendo «, dijo Chokshi.

«Las empresas exponen la lógica empresarial completa y procesan datos a través de las API, y en una economía basada en la nube, estas API son vulnerables a los ataques cibernéticos», dijo Mani Sundaram, vicepresidente ejecutivo y gerente general del Grupo de Tecnologías de Seguridad de Akamai.La plataforma de Neosec y las aplicaciones de Akamai El portafolio de seguridad permitirá a los clientes obtener visibilidad de todas las API, analizar su comportamiento y prevenir ataques de API».

Los ataques a las API van en aumento

Las empresas de seguridad están viendo un rápido aumento en la actividad de amenazas API. En su informe sobre el estado de la seguridad de las API de marzo, Salt Security observó un aumento del 400 % en los atacantes en comparación con los seis meses anteriores. El informe también encontró:

• El 80% de los ataques ocurren en API autenticadas.
• Casi la mitad de los encuestados ahora dice que la seguridad de la API se ha convertido en una preocupación de alto nivel.
• El 94 % de los encuestados experimentaron problemas de seguridad en las API de producción durante el último año.
• El setenta por ciento de los encuestados dijo que su organización sufrió una violación de datos debido a una violación de seguridad en una API.

Un ejemplo de la efectividad de los ataques de API relativamente simples: el Grupo NCC señaló en su vigilancia anual de amenazas de 2023 que se accedió a una violación de datos de Telstra Optus a través de una API expuesta, exponiendo la información personal de 10 millones de clientes.

Roey Eliyahu, cofundador y director ejecutivo de Salt Security, señaló que, si bien las API impulsan la transformación digital y brindan nuevas oportunidades comerciales y ventajas competitivas, “el costo de las infracciones de las API, como las reportadas recientemente en T-Mobile, Toyota y Optus The Los eventos que han ocurrido han puesto en riesgo tanto los nuevos servicios como la reputación de la marca, además de sus operaciones comerciales».

De acuerdo con el informe Estado de Internet de Akamai, la inclusión de vulnerabilidades de API en el próximo lanzamiento de API Security Top 10 del Open Web Application Security Project es una señal de la creciente conciencia de la industria sobre los riesgos de seguridad de API.

El riesgo aumenta a medida que aumenta la velocidad de desarrollo del software

El informe de Akamai cita dos factores que impulsan el aumento de los ataques API. Uno de ellos es la aceleración de los ciclos de vida de desarrollo de aplicaciones, que «requieren tiempos de respuesta más rápidos para crear e implementar estas aplicaciones en producción, lo que puede provocar una falta de código seguro», dice el informe.

Akamai cita la encuesta del Grupo de estrategia empresarial de Veracode en la que el 48 % de las organizaciones dijeron que lanzaron aplicaciones vulnerables a la producción debido a limitaciones de tiempo (Figura A).

Figura A

Imagen: Akamai. Principales verticales afectados por ataques a aplicaciones web y API en 2023 y 2023.

Akamai también informa que la cantidad de vulnerabilidades está aumentando, con una de cada diez de todas las vulnerabilidades encontradas en aplicaciones orientadas a Internet clasificadas como altas o críticas. El informe también dijo que entre 2023 y 2023, la cantidad de vulnerabilidades de código abierto como Log4Shell se duplicó.

Los atacantes verán la API… pero ¿y usted?

Akamai dijo que la solución de Neosec brinda, entre otras cosas, visibilidad de las API, lo que es fundamental porque las organizaciones a menudo no saben dónde o cuánto se encuentra debajo de una plataforma digital.

«Esa es la prioridad número uno», dijo Chokshi. «En lenguaje de seguridad, es descubrimiento y visibilidad. Va a ser interesante porque los clientes quieren una línea de base: quieren saber (qué tan expuesta está su API)».

Informes de seguridad de lectura obligada

Debido a que las grandes organizaciones pueden tener miles de aplicaciones, a menudo quieren centrarse en las API de alto riesgo porque no pueden manejar todo a la vez, agregó.

«Están utilizando muchos puntos de salida diferentes, puertas de enlace API como Apigee o Kong (de Google Cloud), o balanceadores de carga como F5, por lo que existe toda esta complejidad en cada entorno empresarial en el que tenemos que trabajar con el cliente. Esa pregunta va El objetivo final es descubrir la visibilidad y el descubrimiento, y la inteligencia, y luego trabajar en la protección: ¿Cuánto podemos hacer bloqueando, cuánto podemos hacer respondiendo, podemos automatizar?”, Dijo Chokshi.

Dean Phillips, director ejecutivo de programas del sector público en la firma de seguridad API Noname y ex agente especial del FBI, dijo que el riesgo se multiplica por problemas de visibilidad, un problema crónico para las empresas con un número grande y creciente de aplicaciones e interfaces integradas.

“Descubrimos que más del 30 por ciento de las API activas en el espacio de la seguridad privada son desconocidas para los usuarios”, dice, “por lo que hay muchas cosas que los usuarios no saben, incluidos los datos confidenciales que las aplicaciones móviles no necesariamente conocen. necesita o usa, no solo sus nombres y direcciones, sino también números de seguro social, cumpleaños. Es un gran problema. ¿Cómo proteges lo que tienes si no sabes lo que está haciendo o lo que está haciendo?

Ataques API en aumento en 2023

Según el informe Threat Horizons de abril de 2023 del equipo de acciones de ciberseguridad de Google Cloud, un aumento en los compromisos de API fue un factor en uno de cada cinco incidentes en el último año. Según el informe, los clientes retrasaron las actualizaciones de seguridad porque «les preocupaba que dichas actualizaciones también pudieran introducir cambios inesperados en la API, lo que podría romper la funcionalidad de sus aplicaciones».

Sin embargo, el informe decía que la API en realidad no cambió con actualizaciones menores, abordando el entorno operativo general del clúster de Kubernetes, y el alcance de la actualización era manejable. «Sin embargo, los clientes no siempre conocen esta opción de configuración», dice el informe.

Enfoque creciente en la seguridad de las API

Debido a la ubicuidad de las API como intermediarios en más y más transacciones nativas de la nube, Chokshi dijo que ve el potencial para que el mercado de seguridad de API se convierta en un superconjunto de seguridad.

“Habrá una interacción mucho mayor debido a áreas como la industria automotriz, la atención médica y las ciudades inteligentes en comparación con los usuarios finales tradicionales o las aplicaciones móviles”, dijo.

«También hay muchas empresas en las que la API es fundamental para el back-end: el cliente intenta abrir la aplicación o la cuenta, realiza una verificación de crédito o algo en el back-end. En esta economía de la nube, cada vez más negocios-a-negocios las transacciones (incluida la cadena de suministro) están impulsadas por API. En general, el mercado de API está creciendo rápidamente, pero carece de las herramientas necesarias para mantenerse al día. Por lo tanto, la seguridad se vuelve aún más importante”, agregó Chokshi.

Phillips está de acuerdo en que la API es un espacio dinámico. «Se está calentando y mucha gente está tratando de involucrarse con la seguridad de API debido a la creciente conciencia de que son el vector de ataque número uno», dijo, y señaló que para 2023, Gartner estimó que las API serán el número uno. un vector de ataque del año pasado. . «Hemos visto un tremendo crecimiento», dijo Phillips.

El monitoreo de API se unió a la plataforma

La adquisición de Alamai se produce después de pasar de soluciones puntuales a servicios integrados, de productos a plataformas, una virtud que los consultores de la industria han promocionado durante años.

“Este es un diálogo continuo entre las mejores soluciones de plataforma y tecnología”, dijo Wendi Whitmore, vicepresidenta sénior del equipo de Unit 42 en Palo Alto Networks. «La discusión anterior fue una o la otra. Diría que nuestra capacidad para proporcionar una gama más amplia de soluciones de tecnología cruzada es realmente convincente, y diría que la mayoría de nuestros productos son los mejores de su clase. Va a ser más difícil para las organizaciones. competir en un mundo de resolver un pequeño problema”, dijo. «Nunca ha habido una bala de plata. Hoy es demasiado complicado».

Chokshi dijo que la adquisición de Akamai, y el enfoque de la plataforma de seguridad para la ciberdefensa, permite que la empresa se beneficie de la adyacencia, de modo que los atacantes no estén en un punto de visibilidad (o productos de seguridad, si la organización usa múltiples proveedores) y otro. «Ya brindamos un alto nivel de protección y están contentos con nuestro portal y plataforma, por lo que esto se convierte en una característica adicional en el mismo continuo».

Phillips dijo que el enfoque de «prosperidad a la izquierda» de Noname, esencialmente cambiando a la izquierda para abordar las vulnerabilidades de la API antes de que se hagan evidentes, predice que habrá más consolidación, poniendo las capacidades de seguridad de la API en manos de los principales jugadores. «La industria ha reconocido plenamente que la seguridad de las API está creciendo. Las API han existido durante mucho tiempo, pero la conciencia de las vulnerabilidades no. Los ataques están aumentando, pero la pregunta es ¿cuál es el impacto? ¿Es el ataque lo suficientemente doloroso como para impulsar la acción? «