Vulnerabilidade na integração de APIs pode entregar informações sigilosas a hackers e gerar grandes danos a empresas
Com milhões de APIs sendo integrados diariamente, é preciso buscar medidas que permitam o monitoramento e a proteção desses sistemas, que podem servir de porta de entrada para ataques cibernéticos
Grande parte da revolução digital observada hoje em dia, em praticamente todas as áreas de tecnologia, passa pelo desenvolvimento de APIs. Esse tipo de programa permite a integração entre diferentes sistemas, permitindo que possam “conversar” entre si e permitir acesso a informações necessárias na hora de executar o programa desejado, como peças de um quebra-cabeça que, ao se juntarem, formam uma grande imagem.
Segundo o relatório State of the API 2022, realizado pela Postman, os Estados Unidos são o país onde mais foram criadas coleções de APIs, com cerca de 5,5 milhões, depois vem a Índia, com 4,6 milhões, China, 2,6 milhões, e Brasil, com 1,4 milhão. Isso mostra o tamanho desse mercado, sendo as mais procuradas nas áreas de plataformas de vendas, como marketplaces, APIs para Twitter, Geo Orientação, Gráficos de Microsoft e Interface Web do Slack, um messenger corporativo usado em milhares de empresas.
Porém, ao mesmo tempo que o advento das APIs fez a revolução tecnológica dar saltos de qualidade, a questão de segurança se tornou também um fator preponderante, já que esse tipo de solução abre portas para acesso a informações que podem ser sigilosas, e cibercriminosos se aproveitam disso para realizarem ataques.
“Muitos hackers exploram a vulnerabilidade para buscar a escalação de privilégios e invadir sistemas, roubando informações vitais de empresas e pessoas. Muitos desses criminosos estudam cada detalhe de certas APIs para encontrar brechas que possam passar despercebidas”, explica Fabrizio Alves, CEO da VIVA Security, empresa especialista em cibersegurança.
Fabrizio Alves, diretor geral da Viva Security
Alves alerta que, dada a quantidade de APIs que um aplicativo pode ter, caso não haja monitoramento constante e em larga escala, a vulnerabilidade aumenta e pode trazer prejuízos incalculáveis. Ele cita o exemplo do Open Banking, que é um sistema de compartilhamento de informações entre bancos a partir do uso de APIs abertas que permitem a outros desenvolvedores (empresas em geral) a criação de aplicações e serviços à volta de uma instituição financeira. Um ataque a uma dessas APIs pode escancarar as informações privilegiadas de muitos usuários, e a dor de cabeça que isso gera é das maiores, inclusive sendo passível de punição pela LGPD (Lei Geral de Proteção de Dados Pessoais).
Ainda segundo o relatório, que contou com a colaboração de mais de 37 mil desenvolvedores, 52% dos incidentes ocorrem em período inferior a 1 ano em que a API está integrada; e 20% desses incidentes ocorrem dentro de 1 mês de integração. Por esta razão, é de extrema importância que, desde o desenvolvimento e durante toda a operação, o tráfego gerado pelas APIs envolvidas seja monitorado e avaliado continuamente.
Essa foi a aposta da VIVA Security ao desenvolver um portfólio que traz uma quebra de paradigma em cibersegurança.
Mais especificamente em torno do tema APIs, existe o SALT: o que o diferencia é a sua capacidade de analisar o tráfego de APIs ao longo de dias, semanas e até meses, aplicando escala de nuvem e algoritmos maduros ao tráfego da API. Ele procura um padrão de atividade suspeita, consolida as atividades em uma única linha do tempo do invasor e reduz em até 96% os falsos positivos.
O objetivo é ter uma visão ampla de todo o ecossistema de aplicações e comunicações e isso vale como um todo, ou seja, também para os demais controles de segurança da organização.
Aliado a isso, o Smart SOC (Security Operations Center) se integra a todos os eventos de segurança, com monitoração proativa, inteligência contra ameaças e resposta a incidentes, gerenciada por centenas de experts em segurança, como um cérebro cibernético.
“Sem um sistema de proteção, certamente uma hora a falha de segurança em APIs irá fazer com que a empresa sofra grande dano, e dada a quantidade apresentada, é impossível rastrear sem sistemas especialistas”, reforça Fabrizio Alves.
Fonte: SEGS
Publicado em: Cybersegurança