Las APIs están en todas partes y son un elemento común de nuestra vida diaria Por: Héctor Heredia, Sales Engineer F5 Al momento que realizamos un pago en alguna farmacia, pedimos algún servicio de ride, o bien, consultamos saldo bancario desde nuestro móvil, se están realizando llamados API hacia alguna infraestructura en la nube pública o el centro de datos tradicional (on-premises). Las APIs están en todas partes y son un elemento común de nuestra vida diaria y muy transparente de usar. Han mejorado la forma en que hacemos las cosas – dados los ejemplos del inicio – y en el contexto de la pandemia fueron parte fundamental para que muchos de nosotros continuáramos con nuestras actividades. Ahora bien, del lado del Proveedor, es una historia diferente desde el punto de vista del aseguramiento de este tipo de tráfico: En los albores de la tan trillada Transformación Digital, los encargados de la seguridad en las empresas empezaron a darse cuenta del reto que era proteger las APIs: muchas soluciones Open Source, muchos conceptos nuevos ahora en su cancha, un perímetro de red en el camino de la desaparición, una conversación casi nula con las áreas de aplicaciones. En fin, mucho que digerir. El reto entonces se tradujo en una superficie de ataque extendida y tan distribuida como las aplicaciones de donde viene. Los ambientes donde hoy en día corren las APIs, tienen muchas variantes que hacen complicado, y de paso innecesario, englobar toda la seguridad en una única solución. Esto genera mucha inquietud en quien se encarga de protegerlas. Nada más considere lo siguiente: • Estilo de Arquitectura. Los tipos de datos que se buscan extraer, el orígen del llamado: ¿es un móvil con buenas capacidades de cómputo o es un sensor?; de qué fuentes y en qué formatos se busca mover la información, son factores determinantes sobre el estilo de Arquitectura a utilizar. Sea REST API, GraphQL, gRPC, cada una de estas opciones representa una decisión del lado de Desarrollo, que ahora el team de Seguridad debe entender y asegurar. No se debe asumir que con las soluciones ya existentes se cubren las nuevas amenazas. Por ejemplo: una consulta recursiva con fines de abuso sobre GraphQL, no es identificada con éxito por un WAF tradicional, aunque conozca muy bien el protocolo HTTP, sino por aquel que entiende la semántica propia de este estilo de arquitectura. Por otro lado, si las APIs son para intercambio de datos entre microservicios ¿con qué soluciones protegemos estas interacciones? y ¿de quién es la responsabilidad? Hoy en día los microservicios corren en ambientes como kubernetes y la comunicación entre containers también puede representar peligro. Solo con estos cuestionamientos ya se puede usted dar una idea de lo que representó a sus expertos de Seguridad proteger esa nueva app que lanzaron durante la pandemia, o aquel e-commerce que estaba en el tintero. • Lugar y… Leer más ¿Cómo va con su seguridad de APIs?