O Commerzbank fortaleceu a segurança de APIs com a Akamai 

Uma das maiores instituições financeiras da Europa com forte presença internacional, o Commerzbank gera valor para os clientes com serviços digitais inovadores, baseados em APIs. Desde o início, o banco enfatizou a criação de soluções altamente reutilizáveis, começando por suas operações CRUD (Create, Read, Update, Delete). Essa abordagem serviu de base para escalabilidade e extensibilidade excepcionais, facilitando a integração de APIs internas e externas ao seu ecossistema com o passar do tempo.

Mas em uma era acelerada pela IA, o Commerzbank entendeu que as medidas tradicionais de segurança não eram suficientes para manter a confiança dos clientes e atender à expectativa crescente por um acesso seguro e contínuo. O banco implementou uma ampla gama de mecanismos robustos, incluindo a adesão aos princípios OWASP, definições de interface bem definidas e limpas, políticas rigorosas, conceitos de token seguro e testes de penetração regulares. No entanto, à medida que as ameaças e a complexidade aumentavam, o Commerzbank precisava de uma solução capaz de se adaptar em tempo real.

Para isso, o banco fez uma parceria com a Akamai e a Deloitte, implantando uma camada dedicada de segurança de APIs que fortaleceu e ampliou a plataforma de gerenciamento de APIs que já usava. A iniciativa ajudou o banco a detectar anomalias, descobrir APIs sombra não gerenciadas e fortalecer a governança entre os departamentos, sem perder a agilidade, a conformidade e a capacidade de escalonar com segurança, conforme o ecossistema de APIs se expande.

O Commerzbank processa mais de 6 bilhões de chamadas de API por mês, oferecendo suporte a um vasto ecossistema digital de aplicações internas, de clientes e de parceiros. Desde 2017, a empresa conta com a Axway Amplify API Management Platform para gerenciar APIs internas e expostas à Internet. No entanto, à medida que as ameaças se tornaram mais sofisticadas, Volker Sulzbach, engenheiro de software e arquiteto de soluções sênior, percebeu que era necessário implantar uma proteção robusta para APIs.

"Nossa plataforma de gerenciamento de APIs cumpre bem seu papel", disse Sulzbach. "Mas queríamos encontrar uma forma de identificar comportamentos anormais de APIs e possíveis ataques antes de causarem problemas."

Enquanto a central de operações de segurança (SOC) do banco cuidava da proteção de rede mais ampla, como firewalls, a equipe de Sulzbach queria supervisionar diretamente todas as APIs relacionadas ao negócio para detectar anomalias e APIs sombra antecipadamente, sem comprometer a inovação.

Depois de avaliar vários fornecedores, o Commerzbank escolheu a solução API Security da Akamai, que descobre, classifica e protege as APIs constantemente em todos os ambientes. "A detecção de anomalias era nossa maior prioridade", disse Sulzbach.

"Precisávamos de uma avaliação baseada em comportamento, não só de inspeções de chamadas individuais. Com a Akamai, isso é possível", continuou ele. Usando a detecção de anomalias baseada em aprendizado de máquina, o API Security identifica comportamento anormais de APIs, possíveis usos indevidos e APIs sombra, oferecendo visibilidade total dos pontos de extremidade gerenciados e não gerenciados.

"Foi impressionante ver como o API Security ajuda a identificar APIs não autorizadas e a incorporar a segurança durante a fase de desenvolvimento", explicou Sulzbach.

A primeira fase de implementação começou com o gateway de sandbox do Commerzbank, usado para simular e testar APIs antes de entrarem em operação. Após a equipe confirmar a precisão e responsividade do API Security, cerca de 25 APIs de produção foram protegidas de início.

"Primeiro, queríamos definir as regras, reduzir os falsos-positivos e garantir que nossas equipes conseguissem responder aos alertas. Na próxima fase, vamos ampliar o uso do API Security", explicou Sulzbach.

Com isso, milhares de APIs e pontos de extremidade serão cobertos, fornecendo visibilidade e segurança contínuas de todo o tráfego interno e externo.