Ciberseguridad: aumentan ataques de bots maliciosos a las API de empresas por falta de protección
La rápida proliferación de las interfaces de programación de aplicaciones (API) está encabezando la transformación digital, ya que ayudan a los desarrolladores a unir aplicaciones de forma rápida y eficiente, al tiempo que proporcionan una mejor experiencia de usuario. En ese sentido, a medida que crece el volumen de estas aplicaciones, ampliando la vulneración de la ciberseguridad. Por lo tanto, cabe esperar que, en los próximos años, las API se conviertan en uno de los principales objetivos de los ciberdelincuentes. Además de ampliar la superficie de ataque al proporcionar más puntos de entrada a los cibercriminales, también son más susceptibles al abuso de la lógica empresarial y al fraude, lo que las convierte en un objetivo ideal para los ataques automatizados, por lo que estos están aumentando a un ritmo alarmante. Como se indica en el informe “Bad Bot Report 2023” compartido por Imperva, empresa enfocada en la ciberseguridad, el 17 % de todos los ataques dirigidos a API en 2022 procedían de bots, y el 21 % eran otros tipos de amenazas automatizadas. No debería sorprendernos que la falta de protección sea uno de los desafíos del 2023. Pero, ¿por qué las API son un vector cada vez más atacado? Se vulnera ciberseguridad por las API en las organizaciones Imperva indica que las organizaciones deben identificar y documentar todas sus API. Muchas existen y están expuestas públicamente, pero las instituciones no han hecho el inventario ni las conocen activamente. Son las denominadas “API en la sombra”. Los ejemplos incluyen: antiguos puntos finales de API que están obsoletos, pero nunca se eliminaron, nuevos puntos finales de API que no están documentados, o cuando un desarrollador realiza un cambio que expone puntos finales de API no públicos a Internet. Esto nos lleva a preguntare: ¿Cómo se puede proteger lo que no se sabe que está ahí? También está el reto de distinguir entre el tráfico humano y de bots, y también diferenciar los bots buenos y maliciosos. El problema radica en el hecho de que para una API todo parece un bot, ya que están diseñadas para clientes automatizados. Esto hace que sea difícil para las organizaciones proteger sus API contra los ataques de bots. Estas manejan grandes volúmenes de peticiones, pero carecen de mecanismos de defensa incorporados, lo que dificulta la detección y el bloqueo del tráfico de bots maliciosos, permitiendo a los atacantes utilizar la automatización sin riesgo de que salten las alarmas. Las API proporcionan acceso directo a datos sensibles Las API son una vía directa de acceso a datos confidenciales, funcionalidades empresariales, recursos y otra información sensible. Un análisis reciente descubrió que el 13 % de las API manejan información altamente sensible, como números de tarjetas de crédito, números de la seguridad social, direcciones de particulares, etc. Podría interesarle: ¿Qué es un exploit, cómo funciona y qué métodos existen para protegerse de él? Si un atacante consigue acceder a una API que maneja datos, podría obtener potencialmente esta información, lo que daría lugar a una violación de datos. La lógica empresarial suele pasarse por alto la ciberseguridad Según Postman, el 44 % de los desarrolladores de API tienen menos de 2 años de experiencia. Cuando se trata de protegerlas, los desarrolladores suelen aplicar un conjunto estándar de reglas. Incluso si los desarrolladores intentan mitigar el tráfico de bots, a menudo utilizan herramientas y técnicas de seguridad tradicionales. Entre ellas se encuentran la limitación de velocidad, la detección basada en firmas, los protocolos de bloqueo, etc. Estas técnicas suelen ser ineficaces contra los sofisticados ataques de bots que se dirigen a las API. En conclusión, las organizaciones dependen cada vez más de las API, lo que lleva a un rápido crecimiento en su adopción y uso. A su vez, la superficie de ataque que las empresas deben ser capaces de proteger hoy en día ha aumentado significativamente. Los bots, cada día más sofisticados, y la facilidad con la que pueden atacar la logística empresarial, suponen un riesgo significativo. FUENTE: Neira, Juan. »Ciberseguridad: aumentan ataques de bots maliciosos por falta de protección» Valoraanalitik.com. 18/07/2023. (https://www.valoraanalitik.com/2023/07/18/ciberseguridad-aumentan-ataques-de-bots-maliciosos-por-falta-de-proteccion/).
Api: una herramienta que ayuda a proteger los datos personales en el mundo digital
Las Api pueden bloquear el acceso y los permisos a la información de hardware y software. Las apis resaltan como una herramienta que otorga seguridad e innovación a las organizaciones y ha permitido, entre otras actividades, el buen funcionamiento del Open Banking a nivel mundial. Para adaptarse a las leyes globales sobre Protección de Datos LGPD, además de tener una política de protección de datos propia acorde con la ley, las organizaciones también necesitan contar con procesos y sistemas que garanticen la seguridad de sus datos y también la información de sus clientes, proveedores, empleados, socios, etc. Sin duda, entre las herramientas más utilizadas, las APIs Interfaz de programación de aplicaciones) han ganado un lugar destacado en el mercado. Con la función de integrar datos entre diferentes sistemas, las APIs han revolucionado el escenario, garantizando, además de la automatización de procesos y el uso de sistemas para crear nuevas funcionalidades, la seguridad de los datos compartidos. A medida que las empresas aumentan su madurez digital, se aplican para hacer crecer el negocio y estimular la innovación. Aporte de las Api a la ciberseguridad Cuando están bien diseñadas, desarrolladas y administradas, las API pueden bloquear el acceso y los permisos a la información de hardware y software y trabajar con datos cifrados, lo que garantiza la protección y dificulta el trabajo de los hackers. Con cada nueva API lanzada, las instituciones deben volver a centrar su atención en garantizar que el intercambio sea seguro. Cuando surgió el término Open, tanto las empresas como los clientes tenían inseguridades sobre la apertura de sus datos bancarios, pero, con las pautas de protección de datos, herramientas como las API y la explicación de las funcionalidades de Open Banking, estas inseguridades perdieron terreno ante la practicidad y la comodidad que acompañan a la apertura de los datos. Existe una necesidad constante de que las empresas miren cuidadosamente las operaciones, los sistemas que usan y transporten datos, haciendo revisiones periódicas de las API y verificaciones de antecedentes en usuarios. FUENTE: Valora Analitik. Api: una herramienta que ayuda a proteger los datos personales en el mundo digital» Valoraanalitik.com. 01/28/2023. (https://www.valoraanalitik.com/2023/01/28/api-una-herramienta-que-ayuda-a-proteger-los-datos-personales-en-el-mundo-digital/).
6 principales riesgos de seguridad de las API, objetivos favoritos de los ciberdelincuentes
Las amenazas de seguridad siempre son una preocupación cuando se trata de las API. La seguridad de las API se puede comparar con conducir un automóvil. Debe ser cauteloso y revisar todo de cerca antes de lanzarlo al mundo. Si no lo hace, se está poniendo en riesgo a sí mismo y a los demás. Los ataques dirigidos a las API son más peligrosos que otras infracciones. Facebook tenía una cuenta de usuario de 50 millones afectada por una violación de API, y una violación de datos de API en la cuenta de Hostinger expuso registros de clientes de 14 millones. Si un pirata informático ingresa a los puntos finales de su API, podría significar un desastre para su proyecto. Dependiendo de las industrias y geografías de las que esté hablando, las API inseguras podrían llevarlo a problemas. Especialmente en la UE, si presta servicios bancarios, podría enfrentar problemas legales y de cumplimiento masivos si se descubre que está utilizando API inseguras. Para mitigar estos riesgos, debe conocer los posibles riesgos de seguridad de las API que los ciberdelincuentes pueden explotar. Podría interesarle: Consejos para avanzar hacia una organización protegida 6 riesgos de seguridad de las API 1. Sin visibilidad de API y riesgo de medios de monitoreo Cuando amplía su uso de redes basadas en la nube, la cantidad de dispositivos y API en uso también aumenta. Desafortunadamente, este crecimiento también conduce a una menor visibilidad de las API que expone interna o externamente. Las API en la sombra, ocultas o obsoletas que quedan fuera de la visibilidad de su equipo de seguridad crean más oportunidades para ataques cibernéticos exitosos en API desconocidas, parámetros de API y lógica comercial. Las herramientas tradicionales como la puerta de enlace de API carecen de la capacidad de ofrecer un inventario completo de todas las API. La visibilidad de una API, incluye: Visibilidad centralizada, así como un inventario de todas las API Vista detallada de los tráficos de la API Visibilidad de las API que transmiten información confidencial Análisis automático de riesgos de API con criterios predefinidos 2. Incompetencia de la API Es importante prestar atención a las llamadas a la API para evitar pasar solicitudes duplicadas o repetidas a la API. Cuando dos API implementadas intentan usar la misma URL, puede causar problemas de uso de API repetitivos y redundantes. Esto se debe a que los extremos de ambas API utilizan la misma URL. Para evitar esto, cada API debe tener su propia URL única con optimización. 3. Amenazas a la disponibilidad del servicio Los ataques DDoS API dirigidos, con la ayuda de botnets, pueden sobrecargar los ciclos de CPU y la potencia del procesador del servidor API, enviando llamadas de servicio con solicitudes no válidas y haciendo que no esté disponible para el tráfico legítimo. Los ataques DDoS a la API se dirigen no solo a los servidores donde se ejecutan las API, sino también a cada punto final de la API. La limitación de velocidad le brinda la confianza para mantener sus aplicaciones en buen estado, pero un buen plan de respuesta viene con soluciones de seguridad de múltiples capas. La protección API precisa y completamente administrada monitorea continuamente el tráfico API y bloquea instantáneamente las solicitudes maliciosas antes de que lleguen a su servidor. Lea también: El 73% de las empresas en el mundo ha sufrido ciberataques 4. Dudar sobre la utilización de la API Como empresa B2B, a menudo necesita exponer sus números de utilización interna de API a equipos fuera de la organización. Esta puede ser una excelente manera de facilitar la colaboración y permitir que otros accedan a sus datos y servicios. Sin embargo, es fundamental considerar detenidamente a quién otorga acceso a su API y qué nivel de acceso necesitan. No desea abrir su API de manera demasiado amplia y crear riesgos de seguridad. Las llamadas a la API deben supervisarse de cerca cuando se comparten entre socios o clientes. Esto ayuda a garantizar que todos usen la API según lo previsto y no sobrecarguen el sistema. 5. Inyección API Inyección de API es un término utilizado para describir cuándo se inyecta código malicioso con la solicitud de API. El comando inyectado, cuando se ejecuta, puede incluso eliminar todo el sitio del usuario del servidor. La razón principal por la que las API son vulnerables a este riesgo es que el desarrollador de la API no desinfecta la entrada antes de que aparezca en el código de la API. Esta laguna de seguridad causa graves problemas a los usuarios, incluido el robo de identidad y las filtraciones de datos, por lo que es fundamental conocer el riesgo. Agregue validación de entrada en el lado del servidor para evitar ataques de inyección y evitar la ejecución de caracteres especiales. 6. Ataques contra dispositivos IoT a través de API La utilización efectiva de IoT depende del nivel de gestión de seguridad de la API; si eso no sucede, tendrá dificultades con su dispositivo IoT. A medida que pasa el tiempo y avanza la tecnología, los piratas informáticos siempre usarán nuevas formas de explotar las vulnerabilidades en los productos de IoT. Si bien las API permiten una potente extensibilidad, abren nuevas puertas para que los piratas informáticos accedan a datos confidenciales en sus dispositivos IoT. Para evitar muchas amenazas y desafíos que enfrentan los dispositivos IoT, las API deben ser más seguras. Por lo tanto, debe mantener sus dispositivos IoT actualizados con los parches de seguridad más recientes para garantizar que estén protegidos contra las amenazas más recientes. FUENTE: Ehacking. »¡LOS 6 PRINCIPALES RIESGOS DE SEGURIDAD DE LAS API! OBJETIVOS FAVORITOS DE LOS ATACANTES SI NO SE GESTIONAN» Blog.ehcgroup.io. 09/09/2022. (https://blog.ehcgroup.io/2022/09/09/09/43/35/13882/los-6-principales-riesgos-de-seguridad-de-las-api-objetivos-favoritos-de-los-atacantes-si-no-se-gestionan/noticias-de-seguridad/ehacking/)
