¿Qué es la Protección de API?

La protección de API se refiere a las actividades, herramientas y prácticas involucradas en proteger las interfaces de programación de aplicaciones (API). El objetivo de la protección de API es proteger las API contra ciberataques, filtración y cualquier uso no autorizado o no deseado.

Debido a que las API son tan comunes y permiten acceder a funciones y datos confidenciales del software, se están convirtiendo en un objetivo cada vez más deseado para los atacantes. Esto hace que la Protección de API sea un componente crítico de la seguridad de las aplicaciones web.

La seguridad de la API es esencial para proteger datos sensibles, como información financiera o datos personales, y para prevenir ataques que podrían comprometer la integridad de la API y de los sistemas a los que se conecta.

¿Por qué es importante la protección de API?

Las API permiten a las empresas integrar diferentes sistemas y tecnologías: funcionan como una forma de que varias aplicación se “comuniquen” rápidamente. Las API suelen manejar token de autenticación, datos personales, información de pago y otras actividades altamente sensibles. Esto las convierte en un objetivo atractivo para actores maliciosos.

Dado que las API están altamente automatizadas y son predecibles, esto las convierte en un objetivo más fácil para que los atacantes las estudien y exploten. Se sabe que los atacantes explotan vulnerabilidades de API para obtener acceso a datos sensibles o inyectar código malicioso en aplicaciones, lo que provoca filtraciones de datos, fallas del sistema y otras consecuencias graves.

Por estas razones, es importante priorizar las herramientas y estrategias de protección de API. Sin las protecciones adecuadas, las API pueden representar un gran riesgo para la empresa, su propiedad intelectual y su marca y reputación.

¿Cuáles son los impactos de no usar la Protección de API?

No implementar herramientas y prácticas sólidas de protección de API puede generar varios impactos negativos para tu empresa:

Filtraciones de datos e infracciones regulatorias
Apropiación de cuenta y abuso de credenciales
Acceso no autorizado a recursos sensibles
Abuso de lógica empresarial
Degradación del servicio causada por abuso automatizado
Impactos resultantes en la reputación de la marca y los ingresos por ataques exitosos

¿Contra qué riesgos puede defender la Protección de API?

El OWASP Top 10 hace un seguimiento de los principales riesgos de seguridad de la API y los actualiza cada pocos años. Este es un excelente punto de partida para consultar y asegurarte de que tus API estén protegidas.

De esta lista, OWASP nombra las siguientes como las principales preocupaciones de la API:

Autorización rota a nivel de objeto: Open Web Application Security Project afirma: “Las API tienden a exponer endpoints que manejan identificadores de objetos, lo que crea una amplia superficie de ataque de problemas de control de acceso a nivel de objeto. Las verificaciones de autorización a nivel de objeto deben considerarse en cada función que accede a una fuente de datos usando un ID del usuario”.
Autenticación rota: Open Web Application Security Project afirma: “Los mecanismos de autenticación suelen implementarse de forma incorrecta, lo que permite que los atacantes comprometan los token de autenticación o exploten fallas de implementación para asumir temporal o permanentemente la identidad de otros usuarios. Comprometer la capacidad de un sistema para identificar al cliente/usuario compromete la Seguridad de la API en general”.
Autorización rota a nivel de propiedad de objeto: OWASP afirma: “centrarse en la causa raíz de los problemas de autorización: la falta de validación de autorización o la validación incorrecta a nivel de propiedad de objeto. Esto provoca la exposición o manipulación de información por partes no autorizadas”.
Consumo irrestricto de recursos: Open Web Application Security Project afirma: “Satisfacer solicitudes de API requiere recursos como ancho de banda de red, CPU, memoria y almacenamiento. Otros recursos, como correos electrónicos/SMS/llamadas telefónicas o validación biométrica, son puestos a disposición por proveedores de servicio mediante integraciones de API y se pagan por solicitud. Los ataques exitosos pueden provocar una denegación de servicio o un aumento de los costos operacionales”.
Autorización rota a nivel de función: Open Web Application Security Project afirma: “Las políticas complejas de control de acceso con diferentes jerarquías, grupos y roles, y una separación poco clara entre las funciones administrativas y las funciones regulares, tienden a generar fallas de autorización. Al explotar estos problemas, los atacantes pueden obtener acceso a los recursos de otros usuarios y/o a funciones administrativas”.
Acceso sin restricciones a flujos empresariales sensibles: OWASP afirma: “Las API vulnerables a este riesgo exponen un flujo empresarial, como comprar un boleto o publicar un comentario, sin compensar cómo la funcionalidad podría perjudicar a la empresa si se usa de forma excesiva y automatizada. ” Esto no necesariamente proviene de errores de implementación.”
Falsificación de solicitudes del lado del servidor: Open Web Application Security Project afirma: “Las fallas de falsificación de solicitudes del lado del servidor (SSRF) pueden ocurrir cuando una API obtiene un recurso remoto sin validar el URI proporcionado por el usuario. Esto permite que un atacante obligue a la aplicación a enviar una solicitud manipulada a un destino inesperado, incluso cuando está protegida por un firewall o una VPN”.
Configuración incorrecta de seguridad:OWASP afirma: “Las API y los sistemas que las respaldan suelen contener configuraciones complejas, diseñadas para hacer que las API sean más personalizables. Los ingenieros de software y DevOps pueden pasar por alto estas configuraciones, o no seguir las mejores prácticas de seguridad en lo que respecta a la configuración, lo que abre la puerta a diferentes tipos de ataques”
Gestión inadecuada del inventario: Open Web Application Security Project afirma: “Las API tienden a exponer más endpoints que las aplicación web tradicionales, lo que hace que la documentación adecuada y actualizada sea muy importante. Un inventario adecuado de hosts y versiones de API desplegadas también es importante para mitigar problemas como versiones de API obsoletas y endpoints de depuración expuestos.”
Consumo inseguro de API: OWASP afirma: “Los desarrolladores tienden a confiar más en los datos recibidos de API de terceros que en la entrada del usuario, por lo que tienden a adoptar estándares de seguridad más débiles. Para comprometer las API, los atacantes van tras servicios integrados de terceros en lugar de intentar comprometer directamente la API objetivo”.

Además de esta lista, también siempre debes preocuparte por:

APIs ocultas: Son APIs que no están suficientemente protegidas, pero que aún se usan dentro de una empresa. Esto suele ocurrir cuando las APIs se usan o se crean en una parte de la empresa y el equipo de seguridad no las conoce y, por lo tanto, no puede protegerlas adecuadamente.
Ataques de inyección: cuando las API aceptan entradas sin la validación adecuada. Esto permite que los atacantes introduzcan solicitudes maliciosas en una aplicación y causen estragos.

¿Cuáles son las mejores prácticas de protección de API?

Además de invertir en herramientas sólidas de Seguridad de la API, hay varias prácticas recomendadas que puedes seguir para ayudar a mantener seguras tus API.

Diseño y desarrollo

Sigue estándares seguros de Diseño de API (mínimo privilegio, validación de esquemas)
Define los requisitos de autenticación, autorización y limitación de velocidad desde el principio
Documenta claramente los endpoints y el comportamiento esperado

Pruebas de autenticación y autorización

Prueba la expiración, revocación y protección contra repetición de tokens
Verifica los controles de acceso basados en roles y en alcances
Intentar acceso no autorizado a recursos protegidos

Validación de entradas y esquemas

Prueba solicitudes malformadas, cargas útiles sobredimensionadas y tipos de datos inesperados
Valida la aplicación estricta del esquema
Prueba las vulnerabilidades de inyección

Pruebas de API

Simula relleno de credenciales, enumeración y scraping
Prueba los límites de velocidad y el comportamiento de la limitación
Valida la efectividad de la detección de bots y anomalías

Pruebas de lógica empresarial

Intenta manipular el flujo de trabajo para identificar cualquier debilidad
Prueba casos edge y órdenes de operaciones inesperadas

Practica el cifrado

Siempre debes asegurarte de que los datos que viajan a través de las API estén cifrados.

¿Quién necesita Protección de API?

En resumen, cualquier persona o empresa que use API como parte de su ecosistema empresarial debe asegurarse de contar con estrategias y herramientas de Protección de API.

Sin embargo, cuanto más sensibles sean los datos que tocan tus API, mayor será la necesidad de una Protección de API sólida. Quienes necesitan especialmente Protección de API son:

Financial Services industry: Esta es una obvia. Las instituciones financieras y las empresas de tecnología financiera necesitan Protección de API tanto por un requisito de cumplimiento (como Payment Card Industry Data Security Standard) como desde una perspectiva de confianza y seguridad. Tocan los datos más sensibles y requieren una solución de seguridad que refleje eso.
Industria de la salud: Al igual que los datos financieros, los datos de salud son igual de sensibles. Regulaciones como HIPAA requieren prácticas de seguridad sólidas, al igual que los clientes.
Industrias minoristas y de e-commerce: las API son fundamentales para estos negocios, ya que ayudan con el inventario, la funcionalidad de “check out” del sitio web y los envíos. Las debilidades aquí provocan la pérdida de la confianza empresarial y las consiguientes pérdidas de ingresos.

Cómo Fastly puede ayudar

Las pruebas de Seguridad de la API deben ser un esfuerzo continuo. Al combinar diseño seguro, pruebas automatizadas continuas, validación manual, pruebas de abuso con detección de bots y protección basada en edge, las organizaciones pueden reducir significativamente el riesgo de explotación de API mientras mantienen el rendimiento y la escalabilidad.

Seguridad de la API de Fastlyte ofrece una visión completa del panorama de la API. Puedes entender qué existe, tener la confianza de que las cosas funcionan según lo previsto y tomar decisiones específicas de mitigación del abuso de API en toda la plataforma de Fastly.

Edge Cloud Platform de Fastly inspecciona y filtra solicitudes de API en sus ubicaciones de edge distribuidas globalmente. Esto significa que el tráfico malicioso o abusivo, como ataques impulsados por bots, relleno de credenciales o scraping de API, puede bloquearse o limitarse antes de que llegue a los servidores de la aplicación. Detener las amenazas de forma temprana reduce la carga del backend, disminuye la latencia y limita el alcance durante los ataques.