A Black Friday e ameaça às APIs das empresas

24/11/2022 mindsecblog Artigos, Notícias 0

A Black Friday e ameaça às APIs das empresas. Sinônimo de compartilhamento de felicidade entre vendedores e consumidores, mas frequentemente posta à prova pelos cibercriminosos

Black Friday virou sinônimo de compartilhamento de felicidade entre vendedores e consumidores, com as promoções impulsionando exponencialmente as vendas, fazendo que um universo cada vez maior de pessoas tenha acesso aos seus sonhos de consumo. Esta relação harmoniosa tem sido frequentemente posta à prova pelos cibercriminosos, que aproveitam a chegada de um contingente cada vez maior de compradores online para disparar o seu arsenal de fraudes.

Esta realidade tem feito com que a cada novembro surja uma série de artigos e reportagens alertando os consumidores para os perigos das compras pela Internet e sobre as ações preventivas mais indicadas para evitar prejuízos com o roubo de dados e de informações pessoais. Porém, as empresas que comercializam seus produtos e serviços online também precisam ser alertadas. Os cibercriminosos cada vez mais estão ansiosos pela chegada da Black Friday e atentos ao lado mais lucrativo desta equação.

O aumento do tráfego de acessos à Internet estende-se para além dos consumidores motivados pelas promoções especiais de fim de ano e não é constituído apenas por consumidores que procuram as melhores ofertas. Os malfeitores também estão ansiosos por esse momento de aumento das vendas. A chegada da Black Friday é um momento mais do que adequado para as empresas se conscientizarem das medidas de proteção necessárias para tornar suas APIs mais seguras.Quatro medidas podem ser decisivas para manter os problemas longe desta relação de felicidade entre vendedores e consumidores, incluindo:

Manter um inventário preciso

As organizações devem, antes de mais nada, ter um inventário completo das APIs ativas em sua infraestrutura. Afinal, as empresas apontaram as APIs desatualizadas como sua maior preocupação de segurança nas últimas quatro edições o Relatório sobre o Estado da Segurança de API da Salt Labs. Esse esforço deve ser permanente, atualizado de forma contínua e automática, se considerarmos o ritmo acelerado de atualizações das APIs. De acordo com a pesquisa da Salt Labs, 31% das organizações atualizam suas APIs semanalmente e 11% atualizam as APIs diariamente.

Entender como se desenrolam os ataques

As APIs foram criadas com base tanto na lógica de negócios como na lógica dos aplicativos subjacentes e os riscos de segurança mais significativos decorrem de falhas relacionadas com a lógica de negócios. Nos ataques de lógica de aplicativos, os hackers buscam brechas como a obtenção de acesso não autorizado a dados ou funcionalidades dentro da API, ou fraquezas para lançar ataques pontuais. Os invasores fazem várias chamadas de API como parte de seus esforços de reconhecimento. As organizações devem ser capazes de detectar vulnerabilidades baseadas em lógica nas APIs, o que requer contexto de lógica de negócios.

Mantenha-se informado sobre as principais vulnerabilidades da API

Para ajudar as empresas a entender e reduzir as vulnerabilidades exclusivas de API bem como as crescentes ameaças contra elas, a OWASP publicou o OWASP API Security Top 10. Apesar do imenso valor desta lista, que inclui descrições detalhadas e exemplos de cenários de ataque para ameaças, as pesquisas mostram que apenas 55% das organizações atualmente a usam como parte de seu programa de segurança. Trata-se de um valioso recurso nitidamente subutilizado. Pode apostar que os cibercriminosos já leram atentamente essa lista…

Adote uma estratégia holística

Para proteger suas APIs, as organizações devem analisar grandes quantidades de tráfego e de atividade ao longo do tempo. Detectar padrões de abuso e de ataque requer um monitoramento contextual profundo e contínuo de milhões de chamadas de APIs e de usuários. A análise de dados em larga escala, quase em tempo real, educa as equipes sobre a atividade típica da API e revela as anomalias: esse é o tipo de contexto que as equipes precisam para detectar ataques e vulnerabilidades da API antes que ocorra uma violação. Somente a combinação de Big Data em escala de nuvem combinada com IA e ML pode coletar, armazenar e analisar rapidamente milhares de atributos estruturais e comportamentais em milhões de usuários e chamadas de API, fazendo uma correlação quase que em tempo real para identificar com precisão a intenção do usuário.

Infelizmente, todos esses desafios não terminam depois da Black Friday. Com o crescimento exponencial das APIs, fica cada vez mais difícil proteger essa nova e crítica camada de negócios que fornece conectividade para os aplicativos modernos de hoje. As organizações precisam adotar segurança de API dedicada que tenha a capacidade de proteger as APIs em todo o seu ciclo de vida – do desenvolvimento à implantação e ao tempo de execução. Somente soluções de big data baseadas em nuvem que combinam inteligência artificial (IA) e aprendizado de máquina (ML) podem correlacionar atividades em milhões de chamadas de API e usuários ao longo do tempo para fornecer análise em tempo real de dados de API e detectar possíveis ameaças à medida que ocorrem.

Por Daniela Costa, diretora para a América Latina da Salt Security

Veja também: