Proteger las API: ¿Misión imposible?

Los ciberataques están, sin duda, en aumento. Según el Informe de Investigaciones de Filtración de Datos de Verizon de 2021, el panorama de amenazas es más peligroso hoy que nunca. Las organizaciones de todos los tamaños experimentan un mayor volumen de ataques y una mayor sofisticación por parte de los actores de amenazas que las tienen en el punto de mira. Además, las tasas de éxito de los atacantes también se están disparando.

Analizar los ataques más recientes ayuda a revelar algunas de las vulnerabilidades y técnicas más comunes utilizadas por los hackers durante esta ofensiva sin precedentes contra las ciberdefensas. Algunos de los ataques más populares, como los que figuran en el Top 10 de riesgos y vulnerabilidades de seguridad de 2021 del Open Web Application Security Project (OWASP), implicaron el robo o la vulneración de credenciales. Y según la investigación de seguridad realizada por Akamai, la gran mayoría, casi el 75%, se dirigió directamente a las credenciales almacenadas por las API.

El auge y la posible ruina de las API

No es de extrañar que las interfaces de programación de aplicaciones, conocidas mayoritariamente como API, estén en auge en las redes de casi todas las organizaciones. Son un componente crítico de la mayoría de los servicios basados en la nube, que están sustituyendo rápidamente las funciones de los activos locales en la mayoría de las empresas, organizaciones y organismos gubernamentales. Hoy en día es casi imposible gestionar cualquier tipo de negocio o tarea sin la nube, especialmente si está orientada al público. Y eso significa que las API serán, sin duda, el pegamento que mantenga unidos muchos servicios en todas las redes.

Lo sorprendente de las API es que suelen ser pequeñas y discretas en cuanto a la asignación de recursos de red. Además, son totalmente flexibles, por lo que pueden encargarse de realizar casi cualquier tarea. En esencia, las API son piezas individuales de software diseñadas para controlar o gestionar un programa concreto. Pueden utilizarse para realizar funciones muy específicas, como acceder a datos de un sistema operativo, aplicación o servicio anfitrión.

Desgraciadamente, es esta misma flexibilidad, sumada al hecho de que a menudo son pequeñas y los equipos de seguridad las pasan por alto, lo que convierte a las API en objetivos atractivos. La mayoría de las API son diseñadas por desarrolladores para ofrecer una flexibilidad total, de modo que puedan, por ejemplo, seguir funcionando aunque se modifique o cambie el programa principal que gestionan. Y existen pocos estándares. Casi como copos de nieve, muchas API son únicas, ya que se crean para cumplir una función concreta con un solo programa en una red específica. Si son programadas por desarrolladores que no tienen mucha conciencia de seguridad, o que no se centran específicamente en ella, pueden tener, y probablemente tendrán, un sinfín de vulnerabilidades que los atacantes pueden encontrar y explotar.

Lamentablemente, el problema se está descontrolando rápidamente. Según Gartner, para 2022, las vulnerabilidades relacionadas con las API se convertirán en el vector de ataque más frecuente en todas las categorías de ciberseguridad.

La razón principal por la que los atacantes quieren comprometer las API no es para hacerse cargo de la función específica que realiza la API, sino para robar las credenciales asociadas a ella. Uno de los mayores problemas de las API, además de estar plagadas de vulnerabilidades, es que a menudo tienen demasiados permisos en relación con su funcionalidad principal. Por simplicidad, la mayoría de las API tienen acceso casi de nivel administrador en una red. Si un atacante obtiene el control de una, a menudo puede utilizar sus permisos para lanzar incursiones más profundas y sustanciales en la red. Y como la API tiene permiso para realizar las tareas hacia las que el atacante la redirige, sus acciones a menudo pueden eludir la supervisión de ciberseguridad tradicional, ya que la API no infringe ninguna regla gracias a su pase VIP de acceso total.

Si las organizaciones no tienen cuidado, el auge de las API dentro de sus redes y nubes también puede suponer un gran problema si son atacadas.

Defensa de las API

Por muy peligrosa que se esté volviendo la situación con las API, no es desesperada. Existe un gran esfuerzo a través de movimientos como DevSecOps para ayudar a que los desarrolladores sean más conscientes de la seguridad y para integrar la seguridad y las mejores prácticas en todos los aspectos de la creación de software, desde el desarrollo hasta las pruebas y el despliegue. Incluir la seguridad de las API como parte de esa formación será fundamental para cualquier organización que quiera romper la tendencia de explotación de API durante 2022 y en adelante.

Dicho esto, hay algunas buenas prácticas que se pueden implementar ahora mismo en cuanto a la seguridad de las API.

Lo primero es incluir controles de identidad estrictos para todas las API. Debería considerarlas casi como usuarios humanos a la hora de asignar permisos. Aunque una API esté diseñada solo para realizar una función específica, hay que pensar en lo que podría ocurrir si un atacante logra comprometerla. Considere el uso de control de acceso basado en roles. Lo ideal sería aplicar los principios de confianza cero a sus API y usuarios, pero a menudo es un camino largo. Una buena gestión de identidades es un buen punto de partida. Solo asegúrese de incluir las API como parte de ese programa.

También debería controlar estrictamente las diversas llamadas que realizan sus API tanto como sea posible. Si limita esas llamadas a solicitudes muy centradas en el contexto, será mucho más difícil para un atacante modificarlas con fines nefastos. Incluso puede organizar sus API en capas, con una API inicial que realice una llamada altamente contextual a otra API que sepa exactamente qué buscar y qué ignorar. Esa puede ser una forma eficaz de limitar la funcionalidad disponible para un actor de amenazas, incluso si logran explotar y comprometer una API dentro de esa cadena.

Las amenazas contra las API pueden parecer abrumadoras. Pero al implementar las mejores prácticas junto con el apoyo y la recompensa a los desarrolladores que se convierten en defensores de la seguridad, la situación puede parecer mucho menos desesperada. Con una buena formación y práctica, puede erigir un programa de seguridad sólido que deje poco margen de maniobra a los atacantes, incluso si lograran comprometer uno de sus pequeños pero esenciales caballos de batalla: las API.