La protección de las API se refiere a las actividades, herramientas y prácticas relacionadas con la seguridad de las interfaces de programación de aplicaciones (API). El objetivo de la protección de las API es mantenerlas a salvo de ciberataques, filtraciones y cualquier uso no autorizado o no deseado.
Dado que las API son tan habituales y permiten acceder a funciones y datos confidenciales del software, se están convirtiendo en un objetivo cada vez más codiciado por los atacantes. De ahí que la protección de las API sea un componente fundamental de la seguridad de las aplicaciones web modernas.
La seguridad de API es esencial para proteger datos sensibles, como la información financiera o los datos personales, y evitar ataques que puedan comprometer la integridad de la interfaz de programación de aplicaciones y de los sistemas a los que se conecta.
¿Por qué es importante la protección de las API?
Las API permiten a las empresas integrar diferentes sistemas y tecnologías: sirven para que diversas aplicaciones se «comuniquen» entre sí con rapidez. Las API suelen gestionar tokens de autenticación, datos personales, información de pago y otras muchas actividades de carácter confidencial. Esto las convierte en un objetivo atractivo para los delincuentes.
Dado que las API están sumamente automatizadas y son muy predecibles, esto las convierte en un objetivo más fácil de analizar y explotar para los atacantes. Se sabe que los atacantes aprovechan vulnerabilidades en las API para acceder a datos sensibles o inyectar código malicioso en aplicaciones, lo que conduce a violaciones de la seguridad de datos, bloqueos de sistemas y otras consecuencias graves.
Por estas razones, es importante dar prioridad a las herramientas y estrategias de protección de las API. Sin las medidas de protección adecuadas, las API pueden suponer un gran riesgo para la empresa, su propiedad intelectual, así como su marca y su reputación.
¿Cuáles son las consecuencias de no usar la protección de las API?
Si no implementas herramientas y prácticas eficaces de protección de las API, tu negocio podría sufrir una serie de consecuencias negativas:
Fugas de datos e infracciones normativas
Apropiación de cuentas y abuso de credenciales
Acceso no autorizado a recursos sensibles
Abuso de la lógica empresarial
Degradación del servicio causada por abuso automatizado
Repercusiones en la reputación de la marca y en los ingresos derivadas de los ataques que tienen éxito
¿Qué riesgos puede defender la protección de las API?
Los 10 principales ataques según OWASP recoge los principales riesgos de seguridad de las API y se actualiza cada pocos años. Es un excelente punto de partida para consultar y asegurarte de que tus API estén protegidas.
A partir de esta lista, OWASP señala los siguientes como los principales motivos de preocupación en materia de API:
Autorización de nivel de objeto dañada: OWASP afirma que «las API suelen exponer puntos finales que gestionan identificadores de objetos, lo que crea una amplia superficie de ataque relacionada con problemas de control de acceso a nivel de objeto. Se debe considerar la posibilidad de incluir comprobaciones de autorización a nivel de objeto en todas las funciones que accedan a una fuente de datos utilizando un identificador del usuario».
Autenticación dañada: OWASP afirma que «los mecanismos de autenticación suelen implementarse de forma incorrecta, lo que permite a los atacantes comprometer los tokens de autenticación o aprovechar fallos de implementación para suplantar la identidad de otros usuarios de forma temporal o permanente. Comprometer la capacidad de un sistema para identificar al cliente o al usuario pone en peligro la seguridad general de la API».
Autorización de nivel de propiedad de objeto dañada: OWASP afirma que «hay que centrarse en la causa principal de los problemas de autorización: la falta de validación de la autorización, o una validación incorrecta, a nivel de las propiedades de los objetos. Así se produce la exposición de la información o su manipulación por parte de personas no autorizadas».
Consumo de recursos ilimitado: OWASP afirma que «atender las solicitudes de API requiere recursos como ancho de banda de red, CPU, memoria y almacenamiento. Otros recursos, como correos electrónicos, SMS, llamadas telefónicas o la validación biométrica, los proporcionan los proveedores de servicios a través de integraciones de API y se pagan por solicitud. Los ataques que tienen éxito pueden provocar una denegación de servicio o un aumento de los costes operativos».
Autorización de nivel de función dañada: OWASP afirma que «las causas que provocan los errores de autorización suelen ser diversas. Una habitual es implantar directivas de control de acceso demasiado complejas (con varias jerarquías, grupos y roles) y que no diferencien con claridad las funciones administrativas de las estándar. Al aprovechar estas deficiencias, los atacantes logran acceder a los recursos o las funciones administrativas de otros usuarios».
Acceso no restringido a procesos empresariales confidenciales: OWASP afirma que «las API vulnerables a este riesgo exponen un flujo de negocio —como comprar una entrada o publicar un comentario— sin tener en cuenta el daño que esa funcionalidad podría causar a la empresa si se utiliza en exceso de forma automatizada. Y esto no se debe necesariamente a errores de implementación».
Falsificación de peticiones del lado del servidor: OWASP afirma que «los errores que conducen a la falsificación de peticiones del lado del servidor (SSRF) se dan cuando una API captura un recurso remoto sin validar la URL que haya proporcionado el usuario. Así, un atacante puede obligar a la aplicación a enviar una petición creada expresamente a un destino inesperado, aun cuando se disponga de un firewall o una VPN».
Configuración incorrecta de la seguridad: OWASP afirma que «las API y los sistemas que las sustentan suelen incluir configuraciones complejas, pensadas para que las API sean más personalizables. Los ingenieros de software y de DevOps pueden pasar por alto estas configuraciones o no seguir las mejores prácticas de seguridad a la hora de configurarlas, lo que abre la puerta a distintos tipos de ataques».
Gestión incorrecta del inventario: OWASP afirma que «las API suelen dejar expuestos más puntos de conexión que las aplicaciones web convencionales, lo que significa que es muy importante elaborar documentación que sea pertinente y esté actualizada. Además, para mitigar problemas como la obsolescencia de las versiones de las API y la exposición de puntos de conexión de depuración, también es muy importante contar con hosts adecuados e inventariar las versiones de API desplegadas».
Consumo peligroso de API: OWASP afirma que «los desarrolladores suelen confiar más en los datos que reciben de las API de terceros que en los introducidos por los usuarios, por lo que tienden a adoptar estándares de seguridad menos estrictos. Para comprometer las API, los atacantes se centran en los servicios de terceros integrados en lugar de intentar comprometer directamente la API objetivo».
Además de esta lista, también debes tener siempre en cuenta lo siguiente:
API ocultas: son API que no están lo suficientemente protegidas, pero que se siguen utilizando dentro de una empresa. Suele ocurrir cuando se utilizan o crean API en una parte de la empresa y el equipo de seguridad no tiene conocimiento de ellas, por lo que no puede protegerlas adecuadamente.
AtaqueS por inyección: cuando las API aceptan entradas sin una validación adecuada. De esta forma, los atacantes pueden introducir solicitudes maliciosas en una aplicación y causar estragos.
¿Cuáles son las prácticas recomendadas para la protección de las API?
Además de invertir en herramientas eficaces de seguridad para API, hay varias prácticas recomendadas que puedes seguir para garantizar la seguridad de tus API.
Diseño y desarrollo
Seguir estándares de diseño de API seguras (privilegio mínimo, validación de esquemas)
Definir desde el principio los requisitos de autenticación, autorización y limitación de frecuencia
Documentar los puntos finales y el comportamiento esperado con claridad
Pruebas de autenticación y autorización
Probar la protección contra caducidad, revocación y repetición de tokens
Comprobar los controles de acceso basados en roles y alcances
Intentar acceder sin autorización a recursos protegidos
Validación de entradas y esquemas
Probar solicitudes con errores de formato, cargas útiles demasiado grandes y tipos de datos inesperados
Validar la aplicación estricta de esquemas
Prueba de vulnerabilidades de inyección
Pruebas de API
Simular el relleno de credenciales, la enumeración y la extracción de datos
Poner a prueba los límites de volumen y el comportamiento de aceleración
Validar la eficacia de los bots y la detección de anomalías
Pruebas de lógica de negocio
Intentar manipular el flujo de trabajo para identificar cualquier punto débil
Probar casos límite y orden inesperado de las operaciones
Practica el cifrado
Siempre debes asegurarte de que los datos que viajan a través de API estén cifrados.
¿Quién necesita protección de las API?
En resumen, cualquier persona o empresa que utilice API como parte de su ecosistema empresarial debe asegurarse de contar con estrategias y herramientas de protección de las API.
Sin embargo, cuanto más confidenciales sean los datos con los que trabajan tus API, mayor será la necesidad de contar con una protección sólida para ellas. Los que más necesitan protección para sus API son:
El sector de los servicios financieros: obvio. Las instituciones financieras y las empresas de tecnología financiera necesitan proteger sus API tanto por requisitos de cumplimiento normativo (como la norma PCI DSS) como por motivos de confianza y seguridad. Manipulan los datos más confidenciales y necesitan soluciones de seguridad que estén a la altura.
Sector sanitario: al igual que los datos financieros, los datos sanitarios son igualmente sensibles. Normativas como la HIPAA exigen medidas de seguridad rigurosas, al igual que los clientes.
Sectores del retail y el comercio electrónico: las API son fundamentales para estos negocios, ya que facilitan la gestión del inventario, el proceso de pago en la web y los envíos. Cualquier fallo en este ámbito provoca una pérdida de confianza por parte de los clientes y, por consiguiente, una disminución de los ingresos.
Así te ayuda Fastly
Las pruebas de seguridad de API deberían ser un esfuerzo continuo. Al combinar un diseño seguro, pruebas automatizadas continuas, validación manual, pruebas de abuso con detección de bots y protección basada en el borde, las organizaciones pueden reducir significativamente el riesgo de explotación de las API, manteniendo al mismo tiempo el rendimiento y la escalabilidad.
Fastly API Security te da una visión completa de tu panorama de API: comprende lo que existe, ten la seguridad de que todo funciona según lo previsto y toma decisiones específicas para mitigar el uso indebido de las API en toda la plataforma Fastly.
La plataforma de edge cloud de Fastly inspecciona y filtra las peticiones de interfaz de programación de aplicaciones en sus ubicaciones de borde distribuidas globalmente. Esto significa que el tráfico malicioso o abusivo, como los ataques impulsados por bots, el relleno de credenciales o el scraping de API, puede bloquearse o limitarse antes de que llegue a tus servidores de aplicaciones. Detener las amenazas pronto reduce la carga del backend, disminuye la latencia y limita el radio de explosión durante los ataques.