好色先生TV

Las API (interfaces de programación de aplicaciones) son una parte fundamental de las estrategias de transformación digital, y protegerlas es uno de los principales retos. Las API son una superficie de ataque en rápido crecimiento que no se conoce bien y que los desarrolladores y los responsables de seguridad de las aplicaciones pueden pasar por alto.

Tómelo del : "Las API son una parte crítica de las aplicaciones móviles, SaaS y web modernas y pueden encontrarse en aplicaciones orientadas al cliente, a los socios e internas. Por naturaleza, las API exponen la lógica de la aplicación y datos sensibles como la información de identificación personal (PII) y, por ello, se han convertido cada vez más en un objetivo para los atacantes. Sin API seguras, la innovación rápida sería imposible".

---

?En qué se diferencian las aplicaciones basadas en API?

De nuevo, de OWASP:

• El servidor se utiliza más como proxy de datos.
• El componente de renderizado es el cliente, no el servidor.
• Los clientes consumen datos en bruto.
• Las API exponen la implementación subyacente de la aplicación.
• El estado del usuario suele ser mantenido y supervisado por el cliente.
• En cada petición HTTP se envían más parámetros (identificadores de objetos, filtros).

---

?En qué se diferencia la seguridad de las API de la seguridad general de las aplicaciones?

se centra en estrategias para mitigar los riesgos de seguridad específicos de las API. Las vulnerabilidades tradicionales son menos comunes en las aplicaciones basadas en API:

• SQLi - Uso creciente de ORM.
• CSRF - Cabeceras de autorización en lugar de cookies.
• Manipulaciones de rutas - Almacenamiento en la nube.
• Problemas clásicos de seguridad informática - SaaS.

---

?Por qué es importante la seguridad de las API?

La seguridad de las API es importante porque las empresas las utilizan para conectar servicios y transferir datos, por lo que una API pirateada puede provocar una filtración de datos.

---

El uso de API sigue aumentando

En diciembre , Cloudflare informó de que Los atacantes se han dado cuenta y se han centrado más en las API.

Las pruebas de seguridad de las API forman parte de las capacidades básicas del

Las API se han convertido en una parte esencial de las aplicaciones modernas (por ejemplo, aplicaciones de una sola página o móviles), pero los conjuntos de herramientas AST tradicionales pueden no probarlas completamente, lo que lleva a la necesidad de herramientas y capacidades especializadas. La capacidad de descubrir API tanto en entornos de desarrollo como de producción y de probar el código fuente de las API, así como la capacidad de ingerir tráfico registrado o definiciones de API para apoyar las pruebas de una API en ejecución, son funciones típicas.

---

?Cuál es el top 10 de OWASP en seguridad de APIs?

OWASP ha anunciado recientemente la versión candidata de la API Security Top 10. Más información sobre el . Aquí está el top 10:

• API1 - Autorización a nivel de objeto rota
• API2- 础耻迟别苍迟颈肠补肠颈ó苍 de usuario rota
• API3 - Exposición excesiva de datos
• API4 - Falta de recursos y limitación de tarifas
• API5 - Autorización a nivel de función rota
• API6 - Asignación de masa
• API7 - Error de configuración de seguridad
• API8 - Inyección
• API9 - Gestión inadecuada de activos
• API10 - Registro y supervisión insuficientes

---

Fortify ayuda a la seguridad de la API

• Cobertura de la superficie de ataque: descubra automáticamente puntos finales de API nuevos y ocultos durante las pruebas e identifique la amplitud de los puntos finales con esquemas OpenAPI, Swagger, Odata o WSDL.
• 础耻迟别苍迟颈肠补肠颈ó苍 de API: la autenticación de API es variada y compleja. Fortify admite prácticamente todos los tipos de tokens portadores e implementaciones.
• Detección de vulnerabilidades - Cobertura cada vez mayor de vulnerabilidades específicas de las API que afectan a áreas como los tokens portadores o la introspección GraphQL.
• 础耻迟辞尘补迟颈锄补肠颈ó苍 de la exploración: amplíe las pruebas de API con una orquestación de nivel empresarial suministrada a través de SaaS, alojada o in situ.