Akamai plantea cuatro frentes para proteger APIs desde el desarrollo hasta producción

Cómo proteger una API antes, durante y después de llegar a producción

LasAPIs pueden quedar expuestas mucho antes de que ocurra un ataque. Una configuración incorrecta durante el desarrollo, una interfaz que nadie incorporó al inventario o una versión antigua que sigue disponible son suficientes para abrir puntos ciegos. Frente a ese escenario, Akamaipresentó durante un webinar al cual accedió NotiPress una estrategia dividida en cuatro frentes: descubrimiento, gestión de postura, protección en tiempo de ejecución y pruebas activas.

El descubrimiento funciona como punto de partida porquebusca identificar automáticamente las APIs presentes en un entorno, registrar cambios y reconocer cuáles devuelven datos sensibles. Esta tarea cobra relevancia en ecosistemas que pueden modificarse con rapidez y donde un inventario elaborado manualmente corre el riesgo de quedar desactualizado.

"La visibilidad de los datos es fundamental", afirmó Paulo Braga Craveiro, Senior Security Engineer de Akamai. El estudio regional muestra la dimensión del desafío: solo 26% de las organizaciones encuestadas en México afirmó tener un inventario completo y saber cuáles de sus APIs devuelven información sensible.

La gestión de postura buscaencontrar configuraciones inseguras y vulnerabilidades que pueden permanecer dentro de una API. El objetivo es localizar ese tipo de condiciones y corregirlas antes de que sean aprovechadas.

Los datos del informe muestran que las configuraciones erróneas figuran entre las causas más señaladas de incidentes: fueron mencionadas por 50% de los encuestados en México.

Una vez en producción, el tercer frente consiste en analizar solicitudes, respuestas y patrones de comportamiento. Akamai plantea que este seguimiento permite detectar ataques que no necesariamente pueden identificarse observando una petición aislada.

Craveiro señaló que herramientas tradicionales como los firewalls de aplicaciones web siguen siendo útiles frente a determinadas amenazas, pero tienen limitaciones cuando el riesgo depende de comprender una secuencia completa de comportamiento. La propuesta de protección en tiempo de ejecución busca cubrir precisamente esa diferencia.

El cuarto componente son las pruebas activas. Akamai propone integrarlas en los procesos de desarrollo para revisar APIs en preproducción y detectar vulnerabilidades antes de liberarlas. Incluso pueden incorporarse a un pipeline para impedir que una interfaz avance mientras exista un problema pendiente de corrección.

"Cuanto antes tengamos una identificación de los problemas, mejor", afirmó Craveiro.

TecnologíaCiberseguridadNegocios