As APIs fantasmas, também conhecidas como Shadow ou Ghost APIs, são interfaces de programação de aplicativos que, embora criadas para atender necessidades pontuais, não são oficialmente documentadas ou gerenciadas pela equipe de TI de uma organização. Mesmo sendo criadas com boas intenções, muitas vezes por desenvolvedores ou departamentos específicos, essas APIs podem cair no esquecimento e representar sérios riscos para a segurança cibernética.
Identificando APIs fantasmas
A identificação de APIs fantasmas é um desafio, pois operam fora do controle direto da equipe de TI. Algumas práticas podem ajudar a reconhecer atividades suspeitas de API no sistema, incluindo:
Monitoramento de proxies de saída: Interceptando cada chamada de API de saída para identificar transações de API não reconhecidas ou outras atividades suspeitas.
Análise de logs: Utilizando ferramentas de logging para monitorar todos os endpoints, APIs e dados de resposta, avaliando o desempenho da aplicação de ponta a ponta.
Riscos associados às APIs fantasmas
As APIs fantasmas podem ser exploradas por atacantes, que aproveitam a falta de segurança dessas APIs para acessar dados sensíveis e outros recursos do sistema.
As APIs fantasmas, por operarem fora dos processos padrão de TI e segurança, muitas vezes carecem das medidas de segurança aplicadas às APIs oficiais.
O papel da Salt Security
A Salt Security oferece uma plataforma de proteção de API que auxilia as organizações na identificação contínua de todas as suas APIs, incluindo as APIs fantasmas e zumbi, além de prevenir a exposição de dados sensíveis. As soluções da Salt Security permitem que as organizações identifiquem APIs que estão expondo informações pessoalmente identificáveis (PII) ou outros dados sensíveis, bloqueiem ataques à API e correlacionem atividades para bloquear atacantes ainda durante a fase de reconhecimento. Um aspecto interessante é que os clientes da Salt descobriram entre 40% a 800% mais APIs do que o documentado, evidenciando a extensão do problema das APIs fantasmas.
Estratégias de mitigação
Para mitigar os riscos associados às APIs fantasmas, algumas estratégias podem ser adotadas:
Implementação de políticas claras de governança de APIs: Estabelecendo padrões e diretrizes bem definidos para a implementação e uso de APIs.
Criptografia de dados: Implementando criptografia de dados para proteger as informações transmitidas através de APIs.
Restrição de privilégios de acesso: Restringindo os privilégios de acesso às APIs para reduzir a exposição a riscos de segurança.
É crucial que as organizações adotem uma abordagem proativa para identificar, analisar e mitigar os riscos associados às APIs fantasmas. Os nossos parceiros têm um papel vital em ajudar seus clientes a entender e enfrentar esses riscos, proporcionando soluções robustas de segurança cibernética e promovendo a conscientização sobre as melhores práticas de governança de API. Ao se associar a fabricantes como a Salt Security, é possível oferecer soluções confiáveis e eficazes para gerenciar e proteger o inventário de APIs dos seus clientes.
Posts recentes
