A lista OWASP Top 10 API Security Risks é importante porque traz uma visão geral atualizada dos riscos de segurança mais críticos associados às APIs. As orientações do OWASP ajudam as organizações a entender e resolver vulnerabilidades comuns de APIs decorrentes de configurações incorretas, controles de autenticação ausentes e mais. A lista OWASP Top 10 API Security Risks também explica como os ataques a APIs funcionam, como identificar abusos de APIs e como proteger sua organização contra ameaças a APIs, como ataques BOLA (Autorização Interrompida em Nível de Objeto).
- Riscos à segurança de APIs: as APIs são essenciais para as iniciativas de nuvem, digitais e IA das empresas, mas representam riscos operacionais significativos devido ao acesso constante delas a dados e sistemas confidenciais e ao fato de que as APIs geralmente estão repletas de vulnerabilidades, como controles de autenticação permissivos e erros de codificação cometidos no desenvolvimento.
- Orientações valiosas do OWASP: a lista OWASP Top 10 API Security Risks traz informações sobre as vulnerabilidades de APIs, incluindo configurações incorretas de APIs, e ajuda as equipes de segurança a entender as ameaças, incluindo ataques que exploram a lógica de negócios de APIs.
- Como a Akamai protege APIs: neste white paper, você aprenderá sobre cada um dos riscos a APIs que o OWASP pesquisou, ao mesmo tempo em que obterá insights sobre como a solução de segurança de APIs da Akamai ajuda as organizações a detetar e atenuar vulnerabilidades e métodos de ataque a APIs identificados pelo OWASP.
Perguntas frequentes (FAQ)
A solução de segurança de APIs da Akamai ajuda a mitigar os riscos de BOLA identificando e classificando endpoints de APIs suscetíveis à exploração de BOLA com base nas entradas recebidas e nas relações entre objetos e propriedades de APIs. Ela também gera alertas sobre tentativas de exploração ou exploração de BOLA bem-sucedida, garantindo atenção e ação imediatas.
A Akamai aborda o risco de Consumo Irrestrito de Recursos identificando endpoints de APIs em risco e fornecendo alertas em tempo real sobre tentativas de ataques volumétricos. Ela também inicia fluxos de trabalho para desacelerar ou bloquear ataques volumétricos e gera alertas sobre erros excessivos, tentativas de login ou comportamento atípico, garantindo que os endpoints de APIs estejam protegidos contra ataques de DoS (negação de serviço).
O Akamai API Security pode ajudar a mitigar o consumo irrestrito de recursos identificando pontos de extremidade de APIs que não têm limites de taxa ou que estão sob ataque por meio de grandes dicionários volumétricos ou ataques de preenchimento de credenciais. A Akamai também pode iniciar fluxos de trabalho para desacelerar ou bloquear ataques volumétricos e gerar alertas sobre tentativas de ataques volumétricos
A BFLA (Autorização Interrompida em Nível de Função) ocorre quando os modelos de controle de acesso de pontos de extremidade de APIs são implementados incorretamente, permitindo o acesso não autorizado a informações confidenciais ou ao sistema como um todo. A Akamai ajuda a mitigar esse risco monitorando cronogramas comportamentais, aplicando políticas de segurança a funções confidenciais, gerenciando a rotação e revogação de chaves por meio de seu API Gateway e gerando alertas sobre tentativas suspeitas de acesso a funções administrativas.
É importante gerenciar e proteger APIs de terceiros porque as organizações dependem cada vez mais delas para ampliar os serviços e funcionalidades. Sem medidas de segurança adequadas, como criptografia, validação de dados, higienização e limites de consumo de recursos, as APIs de terceiros podem representar vulnerabilidades de segurança significativas. A Akamai monitora e valida continuamente esses serviços para garantir a segurança e gerar alertas sobre possíveis explorações.
A Akamai ajuda as organizações quanto ao Gerenciamento Inadequado de Inventário supervisionando persistentemente o tráfego de APIs para descobrir endpoints de APIs ocultos e APIs com riscos potenciais. Ela cria um inventário de APIs atualizado com base na pontuação de risco e na classificação de dados, e gera alertas sobre uma variedade de possíveis explorações, garantindo que todas as APIs, incluindo as APIs sombra, sejam identificadas e protegidas.
A configuração incorreta de segurança refere-se à configuração inadequada de controles de segurança, que pode deixar um sistema vulnerável a ataques. Isso inclui configurações padrão desprotegidas, configurações incompletas ou ad hoc, armazenamento em nuvem aberta e cabeçalhos HTTP(S) mal configurados. A Akamai auxilia na mitigação desse risco identificando endpoints de APIs sombra, verificando endpoints de APIs quanto às práticas recomendadas de configurações de segurança, aplicando políticas de segurança por meio das práticas recomendadas de segurança de APIs e gerando alertas sobre configuração incorreta ou não conformidade com os padrões de segurança de APIs.