O que é segurança de API?
Visão geral
As APIs (Interfaces de Programação de Aplicativos) são uma parte fundamental das estratégias de transformação digital, e a proteção dessas APIs é um dos principais desafios. As APIs são uma superfície de ataque em rápido crescimento que não é amplamente compreendida e pode ser ignorada pelos desenvolvedores e gerentes de segurança de aplicativos.
Segurança da API
Veja o que diz o Projeto de Segurança de API da OWASP: "As APIs são uma parte essencial dos aplicativos modernos para dispositivos móveis, SaaS e Web e podem ser encontradas em aplicativos internos, voltados para o cliente e para parceiros. Por natureza, as APIs expõem a lógica do aplicativo e dados confidenciais, como informações de identificação pessoal (PII), e, por isso, tornaram-se cada vez mais um alvo para os invasores. Sem APIs seguras, a inovação rápida seria impossível."
Qual é a diferença entre os aplicativos baseados em API?
Novamente, da OWASP:
- O servidor é usado mais como um proxy para dados.
- O componente de renderização é o cliente, não o servidor.
- Os clientes consomem dados brutos.
- As APIs expõem a implementação subjacente do aplicativo.
- O estado do usuário geralmente é mantido e monitorado pelo cliente.
- Mais parâmetros são enviados em cada solicitação HTTP (IDs de objeto, filtros).
Qual é a diferença entre a segurança de API e a segurança geral de aplicativos?
A segurança da API concentra-se em estratégias para atenuar os riscos de segurança exclusivos das APIs. As vulnerabilidades tradicionais são menos comuns em aplicativos baseados em API:
- SQLi - Aumento do uso de ORMs.
- CSRF - Cabeçalhos de autorização em vez de cookies.
- Manipulações de caminho - Armazenamento baseado em nuvem.
- Problemas clássicos de segurança de TI - SaaS.
Por que a segurança da API é importante?
A segurança da API é importante porque as empresas usam APIs para conectar serviços e transferir dados, portanto, uma API invadida pode levar a uma violação de dados.
O uso da API continua a crescer
Em dezembro de 2021, a Cloudflare informou que as chamadas de API representavam 54% do total de solicitações e aumentaram 21% de fevereiro a dezembro de 2021. Os invasores perceberam e aumentaram seu foco nas APIs.
O teste de segurança de API faz parte dos principais recursos do Gartner MQ for Application Security Testing.
As APIs se tornaram uma parte essencial dos aplicativos modernos (por exemplo, aplicativos móveis ou de página única), mas os conjuntos de ferramentas AST tradicionais podem não testá-las totalmente, o que leva à necessidade de ferramentas e recursos especializados. A capacidade de descobrir APIs em ambientes de desenvolvimento e produção e testar o código-fonte da API, bem como a capacidade de ingerir tráfego registrado ou definições de API para dar suporte ao teste de uma API em execução, são funções típicas.
Quais são os 10 principais itens de segurança de API da OWASP?
A OWASP anunciou recentemente a versão candidata do API Security Top 10. Leia mais sobre o Projeto de Segurança de API da OWASP. Aqui estão os 10 melhores:
- API1 - Autorização em nível de objeto quebrada
- API2- Autenticação de usuário quebrada
- API3 - Exposição excessiva de dados
- API4 - Falta de recursos e limitação de taxas
- API5 - Autorização de nível de função quebrada
- API6 - Atribuição em massa
- API7 - Configuração incorreta de segurança
- API8 - Injeção
- API9 - Gerenciamento inadequado de ativos
- API10 - Registro e monitoramento insuficientes
Fortify ajuda na segurança da API
- Cobertura da superfície de ataque - Descubra automaticamente endpoints de API novos e obscuros durante os testes e identifique a amplitude dos endpoints com esquemas OpenAPI, Swagger, Odata ou WSDL.
- Autenticação de API - A autenticação de API é variada e complexa. O site Fortify é compatível com praticamente todos os tipos de tokens e implementações de portadores.
- Detecção de vulnerabilidades - Cobertura cada vez maior de vulnerabilidades específicas de API que afetam áreas como tokens de portador ou introspecção GraphQL.
- Automação de varredura - Dimensione os testes de API com orquestração de nível empresarial fornecida via SaaS, hospedada ou no local.
