Tabla de Contenido
La seguridad de APIs abre una oportunidad para integradores: descubrir, inventariar, monitorear y proteger estas conexiones puede convertirse en un nuevo servicio de ciberseguridad.
Las APIs se convirtieron en una pieza central de la transformación digital: conectan aplicaciones, sistemas empresariales, clientes, proveedores y servicios. Para los integradores de ciberseguridad, esa expansión también representa una oportunidad para desarrollar nuevos servicios alrededor de su descubrimiento, evaluación, monitoreo y protección.
Akamai advierte que el riesgo no necesariamente está en que una API tenga una vulnerabilidad tradicional. El problema puede aparecer cuando una petición aparentemente legítima aprovecha de manera indebida la lógica de negocio de una aplicación.
Fernando Serto, CTO de Akamai Technologies, explicó que una solicitud puede utilizar credenciales válidas y parecer normal desde la perspectiva de red, pero generar un comportamiento indebido dentro de la aplicación.
“Muchas veces, el tráfico parece legítimo desde una perspectiva de networking y del lado del servidor. Pero entonces la lógica de un request dentro de esas APIs es lo que causa el problema”.
Para los integradores, esto cambia la conversación con el cliente: proteger APIs requiere conocer no solamente la infraestructura que las soporta, sino también qué hacen, qué información manejan, con qué sistemas se conectan y qué acciones permiten.
¿Por qué las APIs representan una superficie de ataque?
Uno de los primeros problemas que enfrentan las organizaciones es la falta de visibilidad.
Una empresa puede creer que conoce todas las APIs que utiliza, pero un proceso de descubrimiento puede revelar conexiones adicionales, incluyendo APIs creadas por equipos de desarrollo, interfaces que ya no se utilizan o conexiones hacia sistemas que dejaron de actualizarse.
El riesgo está en que una API permanezca activa aunque el negocio ya no la considere parte de su operación cotidiana.
Una conexión olvidada puede mantener acceso a sistemas y datos y convertirse en una puerta de entrada para un atacante.
El inventario de APIs abre una primera oportunidad para el canal
Para un integrador, el primer servicio puede comenzar con algo tan básico como responder una pregunta que muchas organizaciones no pueden contestar con precisión:
¿Cuántas APIs tiene realmente mi empresa y qué hace cada una?
El descubrimiento debe complementarse con información sobre:
- APIs públicas e internas.
- APIs utilizadas en transacciones B2B.
- Conexiones máquina a máquina.
- Sistemas a los que tiene acceso cada API.
- Datos que puede consultar o modificar.
- Usuarios, aplicaciones o máquinas autorizadas.
- APIs obsoletas o que ya no deberían estar activas.
Esto convierte el inventario en algo más que un proyecto de documentación: puede transformarse en una evaluación de superficie de ataque que genere servicios adicionales para el integrador.
Proteger una API requiere entender la lógica de negocio
El reto aumenta cuando una organización pasa de revisar infraestructura a analizar el comportamiento de las aplicaciones.
Un usuario puede estar correctamente autenticado y tener permisos válidos, pero eso no significa que pueda ejecutar cualquier acción dentro de una aplicación.
Por ejemplo, en una aplicación bancaria, un usuario puede tener autorización para consultar su propia información. El riesgo aparece si consigue modificar el flujo de una solicitud para consultar datos correspondientes a otro usuario.
Desde el punto de vista de red, la petición podría parecer legítima.
El comportamiento anómalo aparece cuando se analiza la secuencia de acciones y la lógica del proceso.
Para el integrador, esto abre una conversación diferente con el cliente. Ya no se trata únicamente de implementar una herramienta de seguridad, sino de participar en la identificación de:
- Flujos de negocio.
- APIs involucradas.
- Permisos.
- Relaciones entre aplicaciones.
- Datos expuestos.
- Comportamientos esperados y anómalos.
La Inteligencia Artificial acelera la explotación de las APIs
La Inteligencia Artificial agrega otra variable al problema.
Un atacante que anteriormente necesitaba realizar manualmente múltiples pruebas sobre una aplicación ahora puede automatizar parte de ese proceso y analizar distintas posibilidades en menos tiempo.
Cuando obtiene un token de autenticación válido, puede utilizarlo para explorar diferentes funciones de una aplicación y buscar información o acciones que deberían estar fuera de sus permisos.
Serto ejemplificó el escenario con aplicaciones de servicios públicos en las que un usuario podría intentar consultar información correspondiente a otras personas, como direcciones, identificadores o datos de consumo.
Esa información puede utilizarse posteriormente para fraude o para construir perfiles de posibles víctimas.
Las aplicaciones de IA también dependen de APIs
El problema no se limita a las aplicaciones tradicionales.
Las propias aplicaciones de Inteligencia Artificial utilizan APIs para conectarse con sistemas empresariales como correo electrónico, CRM y otras plataformas corporativas.
Esto significa que, conforme las empresas incorporan agentes y aplicaciones de IA a sus procesos, aumentan también las conexiones entre sistemas y, con ellas, la necesidad de conocer y controlar qué puede hacer cada integración.
Para los integradores, esto representa una oportunidad para incorporar API Security dentro de proyectos de transformación digital, automatización e Inteligencia Artificial.
¿Qué servicios pueden vender los integradores alrededor de API Security?
La expansión de las APIs permite desarrollar una oferta que vaya más allá de la implementación de tecnología.
1. Descubrimiento e inventario de APIs
Ayudar al cliente a identificar APIs públicas, internas, B2B, máquina a máquina y aquellas que no aparecen en sus inventarios tradicionales.
2. Evaluación de riesgos
Determinar qué APIs están expuestas, qué información manejan y qué sistemas pueden afectar.
3. Análisis de permisos y lógica de negocio
Revisar si los usuarios, aplicaciones y máquinas pueden realizar únicamente las acciones que corresponden a sus privilegios.
4. Monitoreo continuo
Detectar cambios en el comportamiento de las APIs y generar alertas ante patrones que puedan representar abuso o explotación.
5. Protección de APIs
Implementar controles para reducir el riesgo de ataques contra APIs y proteger los datos y aplicaciones conectados.
6. Integración con la infraestructura de seguridad
Conectar la protección de APIs con las plataformas de seguridad que el cliente ya utiliza, evitando que la protección opere como un silo.
7. Servicios administrados
Para los MSSP y proveedores de servicios administrados, el monitoreo y la protección continua pueden convertirse en una fuente de ingresos recurrentes.
El reto también es conectar a seguridad con desarrollo
Serto señala que los equipos de seguridad necesitan trabajar de manera más cercana con los desarrolladores.
La razón es sencilla: los desarrolladores conocen cómo fueron construidas las APIs y cómo funciona la aplicación que existe detrás de ellas, mientras que los equipos de seguridad aportan la perspectiva de protección, controles y gestión del riesgo.
Esta colaboración puede convertirse en parte de la propuesta de valor de los integradores.
En lugar de limitarse a implementar controles de seguridad, pueden participar en proyectos que involucren a TI, desarrollo, seguridad y las áreas de negocio, especialmente cuando las APIs forman parte de procesos críticos.
Akamai apuesta por la visibilidad y protección de APIs
Akamai cuenta con una oferta de seguridad de APIs que combina capacidades de descubrimiento, visibilidad, análisis de comportamiento y controles de protección.
La propuesta contempla APIs públicas y aquellas utilizadas en ambientes internos, transacciones B2B y comunicaciones máquina a máquina.
La compañía dispone de diferentes productos y niveles de visibilidad y control para adaptarse a las necesidades y complejidad de cada organización.
La oportunidad cobra relevancia en empresas que están modernizando aplicaciones, conectando sistemas heredados con nuevos servicios digitales o incrementando el uso de aplicaciones móviles y pagos digitales.
Serto destacó que los procesos de transformación y digitalización suelen estar acompañados por un incremento en el uso de APIs.
La oportunidad para el canal está en convertir API Security en servicio
Para los integradores de ciberseguridad, el crecimiento de las APIs representa una posibilidad para ampliar su portafolio y profundizar la relación con sus clientes.
El punto de entrada puede ser un inventario de APIs, pero el proyecto puede evolucionar hacia evaluación de riesgos, monitoreo, protección, integración y servicios administrados.
El valor para el canal está, por tanto, en pasar de vender una herramienta a ofrecer una capacidad continua para conocer qué APIs existen, qué hacen, qué información pueden alcanzar y si su comportamiento corresponde con la lógica de negocio autorizada.
En un escenario donde la digitalización y la Inteligencia Artificial multiplican las conexiones entre aplicaciones, la seguridad de APIs deja de ser únicamente un asunto de desarrollo.
Para los integradores, puede convertirse en una nueva línea de servicios de ciberseguridad con posibilidades de generar proyectos recurrentes y ampliar el negocio sobre la base instalada.
Te interesa leer: Akamai explica el negocio multimillonario del cibercrimen
