Interfaz de programación de aplicaciones (API)

An Interfaz de programación de aplicaciones (API) Es un conjunto de definiciones y protocolos para crear e integrar software de aplicación. Las API permiten que su producto se comunique con otros productos y servicios sin necesidad de saber cómo se implementan. Esto simplifica el desarrollo de aplicaciones, ahorrando tiempo y dinero. Al diseñar nuevas herramientas y productos, o gestionar los existentes, las API ofrecen flexibilidad y simplifican el diseño, la administración y el uso.

Algunas API conocidas incluyen Google Maps, Amazon y YouTube. Estas API permiten a los diseñadores web integrar e insertar productos en su sitio web. Por ejemplo, si un diseñador web desea mostrar a sus clientes la ubicación de su oficina, puede insertar Google Maps para mostrar su ubicación en un mapa de Google integrado en su propio sitio web. Las API de YouTube son unas de las más comunes, ya que permiten a los diseñadores insertar cualquier vídeo de YouTube en su sitio web. En esencia, las API permiten a las organizaciones mantener su propia marca y, al mismo tiempo, utilizar otro servicio o producto más eficaz para una tarea específica.

Fuente: RedHat, Webopedia

Lecturas adicionales: OWASP Top Ten

¿Qué significa esto para el propietario de una PYME?

Los propietarios de PYMES no deberían preocuparse demasiado por la seguridad de las API, pero sus profesionales de TI sí. Las API se han convertido en un objetivo cada vez mayor para los hackers, ya que se están dando cuenta de la dificultad de protegerlas adecuadamente. CyberHoot recomienda seguir estas prácticas para proteger sus API: 

Visibilidad

El principio de "saber es poder" parece apropiado cuando se trata de la visibilidad de las API. Los desarrolladores y usuarios de aplicaciones necesitan saber qué API se publican, cómo y cuándo se actualizan, quién accede a ellas y cómo se accede a ellas. Comprender el alcance del uso de las API es el primer paso para protegerlas.

Control de acceso

El acceso a las API debe controlarse; de lo contrario, podría provocar una exposición inapropiada. Garantizar que el conjunto correcto de usuarios/aplicaciones tenga los permisos de acceso adecuados para cada API es un requisito de seguridad fundamental que debe coordinarse con los sistemas de gestión de identidades y accesos (IAM).

Mitigación de bot

En algunos entornos, hasta el 90 % del tráfico de la aplicación (inicio de sesión/registro de cuenta, pago en el carrito de compra) es generado por bots automatizados. Comprender y gestionar los perfiles de tráfico, incluyendo la diferenciación entre bots beneficiosos y dañinos, es necesario para prevenir ataques automatizados sin bloquear el tráfico legítimo. Entre las medidas complementarias eficaces se incluyen la implementación de listas blancas, listas negras, políticas de limitación de velocidad, CAPTCHA, así como geofencing específico para cada caso de uso y los endpoints de API correspondientes.

Prevención de vulnerabilidades

Las API simplifican los procesos de ataque al eliminar el formulario web o la aplicación móvil, lo que permite a un atacante explotar con mayor facilidad una vulnerabilidad específica. Proteger los endpoints de las API del abuso de la lógica de negocio y otras vulnerabilidades es un requisito clave para la mitigación de la seguridad de las API.

Prevención de pérdida de datos

Prevenir la pérdida de datos sobre las API expuestas para usuarios con privilegios apropiados o de otro modo, ya sea debido a errores de programación o brechas de control de seguridad, también es un requisito de seguridad crítico. Muchos ataques de API están diseñados específicamente para obtener acceso a datos críticos disponibles desde servidores y sistemas de back-end.

Conclusiones

Es importante mantenerse al día con las herramientas y el software que utiliza su empresa. Asegúrese de estar al tanto de las nuevas vulnerabilidades en su infraestructura y servicios basados en API. Suscribirse a un boletín informativo sobre ciberseguridad puede ayudarle a mantenerse al tanto de estas amenazas emergentes. Consulte Boletines informativos de CyberHoot y regístrese para recibir actualizaciones mensuales gratuitas. Estar al tanto de las amenazas de seguridad a las que se enfrenta es el primer paso para proteger sus sistemas.

Para obtener más información sobre la seguridad de API, mire este breve video de 2 minutos:

https://www.youtube.com/watch?v=LeVQlxLVD8A

¿Está haciendo lo suficiente para proteger su negocio?

Regístrate hoy en CyberHoot y duerme mejor sabiendo que tu

¡Los empleados están capacitados en ciberseguridad y en guardia!

¡Suscríbete hoy!