Ataques mais frequentes

Em seu relatório API: a superfície de ataque que conecta todos nós, a Akamai traz uma nova pesquisa sobre o cenário de ameaças à aplicações Web que vem evoluindo com foco principalmente em APIs – interfaces de programação de aplicações, que de acordo com o Gartner, será o vetor de ataque online mais frequente até 2022.

A Akamai analisou ainda 18 meses de tráfego de ataque entre janeiro de 2020 e junho de 2021, encontrando mais de 11 bilhões de tentativas de ataques à aplicações Web.

“Falar sobre o crescimento de ataques a aplicações Web nos leva a discutir a segurança das APIs porque elas expandem muito a superfície de ataques com que as organizações devem se preocupar. As vulnerabilidades em APIs podem pôr muito a perder para empresas e indivíduos em todo o mundo. Não só causando impacto de imagem, com vazamento de informações, mas também afetando a disponibilidade ou desempenho de serviços, ou expondo dados sigilosos do negócio, da infraestrutura, ou dos clientes. Esses dados podem ser posteriormente organizados para compor um ataque de impacto mais relevante, ou uma fraude”, afirma Claudio Baumann, diretor-geral da Akamai na América Latina.

APIs e aplicação Web

Vale lembrar que aplicações Web são acessadas com um navegador, via Internet ou aplicativos desenvolvidos utilizando tecnologias web HTML, JavaScript e CSS. Pode ser executado a partir de um servidor HTTP ou localmente, no dispositivo do usuário. A maior parte das páginas web são naturalmente vulneráveis devido às tecnologias adotadas em sua concepção, à forma como são desenhadas e desenvolvidas, e ao uso de vários objetos e recursos, além da integração de outros sistemas. Na medida em que são priorizados os aspectos funcionais que atendem as áreas de negócios, os requisitos de segurança nem sempre são o foco prioritário.

Já as APIs são acessadas por outras aplicações ou softwares, oferecendo uma interface padronizada, permitindo a criação de plataformas de serviços de maneira mais simples e prática, facilitando a integração com outras aplicações. O uso de APIs tem tido um crescimento acelerado, permitindo a integração de apps e facilitando as integrações de negócios através da internet. Elas se tornaram essenciais para muitas empresas, tornando-se alvos atraentes para cibercriminosos.

Soluções tradicionais não são suficientes

Muitas organizações ainda possuem soluções tradicionais de segurança de rede que não são projetadas para proteger a ampla superfície de ataque que as APIs podem introduzir.

“A detecção, a notificação e a mitigação de ataques a APIs ainda não têm toda atenção necessária. Embora os ataques a APIs geralmente não tenham a mesma visibilidade que os ataques DDoS e ransomware, por exemplo, isso não significa que seus efeitos não sejam danosos, podendo prolongar-se e trazer perdas para o negócio por longos períodos. As ações criminosas direcionadas às APIs não podem ser ignoradas”, explica o diretor-geral.

Nem sempre fica claro onde as vulnerabilidades de API residem. Por exemplo, as APIs geralmente ficam ocultas em aplicativos móveis, levando a acreditar que elas estão imunes à manipulação. Os desenvolvedores presumem que os usuários só vão interagir com as APIs por meio da interface do usuário móvel. No entanto, esse não é o caso.

Por serem mais fáceis e rápidas de automatizar, as APIs acabam beneficiando tanto desenvolvedores quanto invasores, por isso é preciso entender as vulnerabilidades existentes por meio de testes e implementar ou melhorar a proteção, tanto durante o desenvolvimento quanto depois que a API é lançada. “Os cuidados com a segurança das APIs devem ser contínuos, e não limitados ao período de desenvolvimento, já que novas vulnerabilidades e ataques são descobertos o tempo todo”, finaliza Baumann.

A Akamai disponibiliza o relatório API: a superfície de ataque que conecta todos nós, na página do State of the Internet. E, ainda, informações e possibilidade de interações com seus pesquisadores de Segurança por meio da Akamai Intelligent Edge Platform sobre o cenário de ameaças em constante evolução, acessando o Hub de pesquisa de ameaças da empresa.