Cómo proteger una API antes, durante y después de llegar a producción
Notipress.- Las APIs pueden quedar expuestas mucho antes de que ocurra un ataque. Una configuración incorrecta durante el desarrollo, una interfaz que nadie incorporó al inventario o una versión antigua que sigue disponible son suficientes para abrir puntos ciegos. Frente a ese escenario, Akamai presentó durante un webinar al cual accedió NotiPress una estrategia dividida en cuatro frentes: descubrimiento, gestión de postura, protección en tiempo de ejecución y pruebas activas.
Primero hay que saber qué existe
El descubrimiento funciona como punto de partida porque busca identificar automáticamente las APIs presentes en un entorno, registrar cambios y reconocer cuáles devuelven datos sensibles. Esta tarea cobra relevancia en ecosistemas que pueden modificarse con rapidez y donde un inventario elaborado manualmente corre el riesgo de quedar desactualizado.
“La visibilidad de los datos es fundamental”, afirmó Paulo Braga Craveiro, Senior Security Engineer de Akamai. El estudio regional muestra la dimensión del desafío: solo 26% de las organizaciones encuestadas en México afirmó tener un inventario completo y saber cuáles de sus APIs devuelven información sensible.
Detectar configuraciones débiles antes de que se conviertan en problemas
La gestión de postura busca encontrar configuraciones inseguras y vulnerabilidades que pueden permanecer dentro de una API. El objetivo es localizar ese tipo de condiciones y corregirlas antes de que sean aprovechadas.
Los datos del informe muestran que las configuraciones erróneas figuran entre las causas más señaladas de incidentes: fueron mencionadas por 50% de los encuestados en México.
Vigilar lo que ocurre cuando la API ya está funcionando
Una vez en producción, el tercer frente consiste en analizar solicitudes, respuestas y patrones de comportamiento. Akamai plantea que este seguimiento permite detectar ataques que no necesariamente pueden identificarse observando una petición aislada.
Craveiro señaló que herramientas tradicionales como los firewalls de aplicaciones web siguen siendo útiles frente a determinadas amenazas, pero tienen limitaciones cuando el riesgo depende de comprender una secuencia completa de comportamiento. La propuesta de protección en tiempo de ejecución busca cubrir precisamente esa diferencia.
Las pruebas también entran al ciclo de desarrollo
El cuarto componente son las pruebas activas. Akamai propone integrarlas en los procesos de desarrollo para revisar APIs en preproducción y detectar vulnerabilidades antes de liberarlas. Incluso pueden incorporarse a un pipeline para impedir que una interfaz avance mientras exista un problema pendiente de corrección.
“Cuanto antes tengamos una identificación de los problemas, mejor”, afirmó Craveiro.
