Empresa financeira

A instituição já havia implantado uma plataforma de gerenciamento de APIs para autenticação e controle de tráfego, mas havia dúvidas sobre sua capacidade de prevenir o abuso de APIs e ataques cibernéticos. Embora os gateways de APIs forneçam controles básicos de segurança de APIs, que são muito necessários, eles infelizmente não são suficientes para proteger adequadamente as organizações contra ameaças específicas a APIs.

Por exemplo, a Autorização Interrompida em Nível de Objeto, muitas vezes referida como BOLA, aparece como tráfego normal de APIs para gateways. Essa falta de conscientização contextual entre solicitações e respostas de APIs permite que os ataques de BOLA passem sem serem detectados e acessem serviços de back-end importantes. Essa falha não só pode deixar as organizações vulneráveis às explorações do BOLA, como também pode abrir a porta para outros ataques e abusos de lógica empresarial.

Outra limitação de visibilidade envolve a manutenção de um inventário de APIs preciso. Como acontece com a maioria das grandes organizações, o banco estava tendo dificuldades com APIs desconhecidas em seu ambiente. A realidade é: as empresas gerenciam milhares de APIs, muitas das quais não são direcionadas por meio de um proxy, como um gateway de APIs. Essas são chamadas de APIs não autorizadas ou APIs zumbis. Essas APIs provavelmente foram implantadas por ex-funcionários ou antes que a organização começasse a levar a sério a segurança de APIs. Seja qual for a razão pela qual elas existem, o gateway de APIs do banco não podia vê-las, então era fácil subestimar quantas APIs existiam.

A organização implantou a plataforma completa de segurança de APIs da Noname (agora parte do Akamai API Security), incluindo soluções de gerenciamento de postura de APIs, proteção de tempo de execução e testes no ambiente. A postura de segurança do cliente melhorou exponencialmente, pois agora ele é capaz de detectar e corrigir vulnerabilidades em um dos vetores de ameaças mais obscuros do mundo.

Agora, APIs desconhecidas podem ser descobertas e reveladas dentro da plataforma, permitindo visibilidade completa e mitigação de riscos. A instituição reduziu drasticamente a dispersão de APIs e melhorou a conformidade, já que o Akamai API Security classifica dados confidenciais para ajudar a satisfazer regulamentações como GDPR, HIPAA, entre outros.

O banco também agora tem a capacidade de interromper ataques em tempo real e proteger ativos de dados do cliente. A solução de proteção do tempo de execução detecta e prioriza ameaças potenciais, além de monitorar continuamente a atividade das APIs. Ao fazer a integração com firewalls de aplicações web, gateways de APIs, gerenciamento de informações e eventos de segurança, gerenciamento de serviços de tecnologia da informação e outras ferramentas de fluxo de trabalho, nossa plataforma permite a correção de ameaças manualmente, semiautomaticamente ou automaticamente.

As APIs se tornaram rapidamente o vetor de ataque preferido dos hackers, e não há sinais de desaceleração desses ataques. Por exemplo, vimos “um aumento de 257% em ataques a aplicações web e APIs contra instituições de serviços financeiros ano a ano” em 2022. A empresa de serviços financeiros estará bem preparada para evitar se tornar parte da estatística e se defender contra essa tendência graças ao Akamai API Security. Em particular, as equipes de segurança dos clientes entenderão melhor os perigos que as APIs apresentam e poderão criar sistemas ainda mais seguros.