O cofundador e CEO da Salt Security, Roey Eliyahu, e o fundador e CEO da TAG Cyber, Ed Amoroso, reuniram-se recentemente para um webinar conjunto sobre segurança de APIs e zero trust. Quando especialistas do setor discutem dois dos temas mais relevantes da cibersegurança, o resultado é sempre informativo — e desta vez não foi diferente.
O que nos levou ao zero trust?
Nos anos 90 e início dos anos 2000, as organizações dependiam de proteções de perímetro, utilizando a autenticação para facilitar o acesso irrestrito dos usuários dentro desse limite. Com a ascensão dos ambientes híbridos e o crescimento da nuvem, esses tipos de proteção tornaram-se obsoletos, dando origem à arquitetura "zero trust".
Ed define "zero trust" como uma condição que ocorre quando o perímetro é dissolvido — o que abrange quase tudo nas arquiteturas híbridas atuais. Como os recursos agora podem ser acessados de praticamente qualquer lugar, não é possível definir um perímetro. O zero trust defende a criação de ambientes "confiáveis" para hospedar aplicações, sistemas e dados que operam com o princípio do privilégio mínimo.
A grande maioria das organizações busca adotar alguma forma de zero trust — um fato que validamos facilmente durante uma rápida pesquisa no webinar com a seguinte pergunta:
O zero trust é uma consideração na sua arquitetura de segurança atual?
- 57% – o zero trust é uma consideração importante
- 7% – o zero trust é uma consideração secundária
- 35% – o zero trust ainda não é uma consideração, mas estamos caminhando para isso
Em outras palavras, apenas 1% respondeu que não considera o zero trust de forma alguma em sua arquitetura! Dada a enorme influência que o zero trust exerce nos planos de segurança, as organizações também precisam entender suas fraquezas em relação à segurança de APIs.
O dilema entre zero trust e segurança de APIs
Muitos riscos de API não podem ser mitigados pelo zero trust. Como as APIs precisam de acesso para funcionar, os métodos de zero trust falham na segurança de APIs. Abaixo, três exemplos discutidos por Roey e Ed ilustram como as metodologias de zero trust não são suficientes para proteger APIs:
- As APIs viabilizam as aplicações de negócio
- APIs desconhecidas não podem ser protegidas com zero trust
- Muitos ataques a APIs originam-se de usuários autenticados
As APIs viabilizam as aplicações de negócio
Com o aumento das iniciativas de transformação digital, o uso de APIs explodiu. As APIs foram projetadas especificamente para compartilhar dados e serviços entre aplicações. A maior parte dos dados que circulam dentro e fora das nossas organizações passa por APIs. Na verdade, como citado por Roey no webinar, 83% do tráfego da Internet é tráfego de API!
Como as APIs viabilizam todas as suas aplicações, elas são fundamentais para entregar valor ao negócio. As APIs usadas em apps de e-commerce permitem que você compre produtos. APIs de fintech permitem que você transfira fundos de sua conta bancária conforme necessário. Para operar um negócio digital, as organizações não podem bloquear essas APIs — caso contrário, não teriam negócio para operar.
APIs desconhecidas não podem ser protegidas com zero trust
Como as APIs estão sendo desenvolvidas e implementadas tão rapidamente, além de sofrerem alterações com tanta frequência, é impossível rastrear todas elas manualmente.
Em nosso relatório State of API Security do 3º trimestre, descobrimos que APIs "fantasma" ou desconhecidas, e APIs "zumbis" ou obsoletas, representam uma grande preocupação para as organizações. 42% das organizações afirmam que sua maior preocupação com a segurança de APIs são as APIs obsoletas. Na verdade, as APIs obsoletas foram apontadas como a principal preocupação de segurança de APIs nas últimas quatro pesquisas realizadas pela Salt Security.
Essas APIs desconhecidas e não protegidas podem estar expostas, e as organizações nem saberiam disso! Qualquer que seja a prática de segurança que você adote, se você não sabe que um ativo existe, não pode aplicar a segurança nele!
Muitos ataques a APIs originam-se de usuários autenticados
Muitos incidentes de segurança de APIs ocorrem pelo uso da API conforme ela foi projetada. Por exemplo, invasores podem usar técnicas de engenharia social para obter as chaves ou credenciais de um usuário autorizado para permitir a exploração. Nesse caso, não importa que cada usuário tenha sido autenticado por zero trust.
Os recentes incidentes da chave de API do Twitter e da Peloton fornecem exemplos de abuso de uma API conforme projetada para exfiltração de dados e acesso não autorizado. O uso legítimo de uma API pode permitir que invasores obtenham acesso a dados restritos, conforme explicado no OWASP API3: Exposição Excessiva de Dados.
Em resumo — alguns riscos de API não podem ser mitigados pelo zero trust
De acordo com Roey e Ed, pode haver muita confusão entre segurança de API e zero trust. A realidade é que – mesmo com uma boa estratégia de zero trust – alguns riscos de segurança de API não podem ser mitigados pelo zero trust. Você pode ouvir o webinar de Roey e Ed na íntegra aqui.
Para saber como a Plataforma de Proteção de APIs da Salt Security pode ajudar a proteger seus serviços e dados críticos, inscreva-se para uma demonstração personalizada.