El Open Web Application Security Project (OWASP) elabora una lista de los mayores riesgos de seguridad para las interfaces de programación de aplicaciones (API).
Después de leer este artículo podrás:
Contenido relacionado
¿Qué es la seguridad de la API?
¿Qué es el OWASP Top 10?
¿Qué es una API?
¿Qué es una llamada de la API?
¿Qué es la seguridad de aplicaciones web?
Suscríbase a theNET, el resumen mensual de Cloudflare sobre las ideas más populares de Internet.
Copiar enlace del artículo
El Open Web Application Security Project (Proyecto de Seguridad de Aplicaciones de la Red en Abierto u OWASP) es una organización sin fin de lucro cuyo objetivo es promover la seguridad de las aplicaciones de la red. El OWASP ofrece muchos recursos gratuitos para construir una aplicación web más segura.
Uno de los recursos más consultados de la organización es OWASP Top 10, que enumera los 10 mayores problemas de seguridad de la aplicación web . OWASP también mantiene una lista separada y similar para las interfaces de programación de aplicaciones (APIs), que son cruciales para impulsar la mayoría de las experiencias web y móviles.
Las APIs pueden impulsar ventajas competitivas para las empresas al proporcionar inteligencia empresarial, facilitar las implementaciones en la nube y permitir la integración de las capacidades de la IA. Pero al mismo tiempo las APIs pueden introducir nuevos riesgos al permitir que terceros accedan a la aplicación, compartan datos y ejecuten flujos de trabajo potencialmente confidenciales.
Este OWASP Top 10 API Security, cuya última publicación es de 2023, destaca los problemas clave que las organizaciones deben abordar para proteger mejor sus APIs, aplicaciones y datos. La lista incluye:
Para obtener más información sobre estos 10 riesgos de seguridad, consulta la página oficial de OWASP.
Hay cierto cruce entre el Top 10 de OWASP (lista completa aquí) y el Top 10 de OWASP API Security. Por ejemplo, la interrupción del control de acceso es el primer problema de la lista del Top 10 de OWASP, y hay varias formas de interrupción de la autenticación y la autorización entre los cinco primeros problemas de seguridad de la lista de las APIs. Además, la configuración errónea de la seguridad y la falsificación de solicitudes del lado del servidor aparecen en ambas listas.
Sin embargo, las APIs presentan varios riesgos distintos en comparación con la aplicación web . Los desarrolladores deben tener en cuenta ambas listas.
API Shield de Cloudflare, que ayuda a mantener las APIs seguras y funcionando tal y como deberían a través de las capacidades de detección de APIs, la gestión y supervisión centralizadas de las APIs, y las defensas innovadoras por capas. API Shield forma parte de la cartera de soluciones de seguridad de aplicaciones de Cloudflare, que ofrece funciones adicionales para detener ataques de bots, ataques DDoS y ataques de aplicación a la vez que supervisa los ataques a la cadena de suministro.
Descubre cómo las capacidades de Cloudflare abordan los riesgos específicos detallados en el Top 10 de OWASP API Security. Y descubre más soluciones de seguridad de las APIs de Cloudflare.
OWASP es una organización sin ánimo de lucro que fomenta la seguridad de las aplicaciones web al ofrecer recursos gratuitos, como las prácticas recomendadas de seguridad y las listas de riesgos, con el objetivo de ayudar a las organizaciones a proteger sus aplicaciones.
La lista de las 10 principales vulnerabilidades de las API de OWASP es una lista de los riesgos de seguridad más críticos a los que se enfrentan las API. Ayuda a las organizaciones a comprender y abordar las vulnerabilidades más comunes en el diseño y la implementación de las API.
"Violación de autorización" puede referirse a varios riesgos de OWASP para las API: violación de autorización a nivel de objeto, violación de autorización a nivel de propiedad de objeto y violación de autorización a nivel de función. Las tres vulnerabilidades pueden permitir a los atacantes exponer o manipular datos confidenciales.
Los principales riesgos relacionados con las API incluyen el consumo ilimitado de recursos, la falsificación de solicitudes del lado del servidor (SSRF) y la gestión deficiente del inventario de API, todo lo cual puede llevar a la exposición de datos o a la interrupción del servicio.
Las vulnerabilidades de autenticación se producen cuando las API no verifican adecuadamente a los usuarios, lo que permite a los atacantes suplantar a usuarios legítimos y obtener acceso no autorizado a datos confidenciales.
Las API de terceros pueden suponer un riesgo cuando una API interactúa con servicios externos. Los atacantes pueden tener como objetivo esos servicios externos en lugar de atacar directamente la API, especialmente cuando la API tiende a confiar en los datos de esos servicios de terceros.
Cloudflare API Shield es una solución que ayuda a las organizaciones a proteger sus API, ya que proporciona descubrimiento de API, gestión centralizada, supervisión y defensa de seguridad por capas.
Ambas listas categorizan los riesgos de seguridad más comunes. La lista de las 10 principales vulnerabilidades de seguridad de las API de OWASP es específica de las API, mientras que la lista de las 10 principales vulnerabilidades de seguridad de OWASP es aplicable a las aplicaciones web en general. Las API son casi siempre componentes esenciales de la infraestructura de una aplicación web, por lo que los desarrolladores de aplicaciones web preocupados por la seguridad deben considerar ambas listas. Existe cierto solapamiento entre los tipos de riesgos de seguridad que afrontan las API y los de las aplicaciones web, como los problemas relacionados con la pérdida del control de acceso y la falsificación de solicitudes del lado del servidor. Sin embargo, la implementación de soluciones para estos riesgos no será exactamente igual para ambas.
La explotación del flujo de negocio se produce cuando los atacantes abusan de flujos de trabajo legítimos de las API (por ejemplo, realizan un número excesivo de compras o reservas) con el objetivo de interrumpir las operaciones comerciales.