El Open Web Application Security Project (OWASP) elabora una lista de los mayores riesgos de seguridad para las interfaces de programación de aplicaciones (API).
Después de leer este artículo podrás:
Contenido relacionado
¿Qué es la seguridad de la API?
¿Qué es el OWASP Top 10?
¿Qué es una API?
¿Qué es una llamada de la API?
¿Qué es la seguridad de las aplicaciones web?
Suscríbete a theNET, el resumen mensual de Cloudflare sobre las ideas más populares de Internet.
Copiar el enlace del artículo
El Open Web Application Security Project (Proyecto de Seguridad de Aplicaciones de la Red en Abierto u OWASP) es una organización sin fin de lucro cuyo objetivo es promover la seguridad de las aplicaciones de la red. La OWASP ofrece muchos recursos gratuitos para construir una aplicación web más segura.
Uno de los recursos más consultados de la organización es OWASP Top 10, que enumera los 10 mayores problemas de seguridad de la aplicación web. OWASP también mantiene una lista separada y similar para las interfaces de programación de aplicaciones (APIs), que son cruciales para impulsar la mayoría de las experiencias web y móviles.
Las API ayudan a las empresas a obtener ventajas competitivas al incorporar funciones de inteligencia empresarial, al facilitar las implementaciones en la nube y al integrar las funciones de la IA. Al mismo tiempo, las API pueden implicar nuevos riesgos al permitir que terceros accedan a la aplicación, compartan datos y ejecuten flujos de trabajo potencialmente confidenciales.
La edición 2023 del OWASP API Security Top 10 resalta los riesgos clave que las organizaciones deben mitigar para proteger mejor la seguridad de sus API, aplicaciones y datos. La lista incluye lo siguiente:
Para obtener más información sobre estos 10 riesgos de seguridad, consulta la página oficial de OWASP.
Hay cierto cruce entre el Top 10 de OWASP (lista completa aquí) y el Top 10 de OWASP API Security. Por ejemplo, la interrupción del control de acceso es el primer problema de la lista de los 10 principales problemas de OWASP, y hay varias formas de interrupción de la autenticación y la autorización entre los cinco primeros problemas de seguridad de la lista de las APIs. Además, la configuración errónea de la seguridad y la falsificación de solicitudes del lado del servidor aparecen en ambas listas.
Sin embargo, las APIs presentan varios riesgos distintos en comparación con la aplicación web. Los desarrolladores deben tener en cuenta ambas listas.
Cloudflare API Shield ayuda a mantener la seguridad y el funcionamiento de las API mediante las funciones de detección de API, la gestión y supervisión centralizadas de las API, y las defensas innovadoras en capas. API Shield forma parte de la cartera de soluciones de seguridad de aplicaciones de Cloudflare, que ofrece funciones adicionales para detener ataques de bots, de DDoS y de aplicaciones, y al mismo tiempo supervisa los ataques a la cadena de suministro.
Descubre cómo las capacidades de Cloudflare abordan los riesgos específicos detallados en el informe OWASP API Security Top 10. Descubre más soluciones de seguridad de las APIs de Cloudflare.
OWASP es una organización sin fines de lucro que fomenta la seguridad de las aplicaciones web al ofrecer recursos gratuitos, como prácticas recomendadas de seguridad y listas de riesgos, para ayudar a las organizaciones a asegurar sus aplicaciones.
El OWASP API Security Top 10 es una lista de los riesgos de seguridad más críticos que enfrentan las API. Ayuda a las organizaciones a comprender y abordar las vulnerabilidades habituales en el diseño e implementación de las API.
El "control de acceso defectuoso" puede referirse a varios riesgos de OWASP para las API: control de acceso defectuoso a nivel de objeto, control de acceso defectuoso a nivel de propiedad de objeto y control de acceso defectuoso a nivel de función. Las tres vulnerabilidades pueden permitir a los atacantes exponer o manipular datos sensibles.
Los riesgos clave de las API incluyen el consumo ilimitado de recursos, la falsificación de solicitudes del lado del servidor (SSRF) y la gestión deficiente del inventario de las API, lo que puede llevar a la exposición de datos o la interrupción del servicio.
Las vulnerabilidades de autenticación ocurren cuando las API no verifican adecuadamente a los usuarios, lo que permite a los atacantes hacerse pasar por usuarios legítimos y obtener acceso no autorizado a datos sensibles.
Los riesgos de las API de terceros pueden surgir cuando una API interactúa con servicios externos. Los atacantes pueden dirigirse a esos servicios externos en lugar de atacar directamente la API, especialmente cuando la API tiende a confiar en los datos de esos servicios de terceros.
Cloudflare API Shield es una solución que ayuda a las organizaciones a asegurar sus API mediante la detección de las API, la gestión centralizada, el monitoreo y las defensas de seguridad en capas.
Ambas listas categorizan los riesgos de seguridad habituales. El OWASP API Security Top 10 es específico para las API, mientras que el OWASP Top 10 se aplica a las aplicaciones web en general. Las API son casi siempre componentes cruciales de la infraestructura de una aplicación web, por lo que los desarrolladores de aplicaciones web con conciencia de seguridad deben considerar ambas listas. Existe cierta superposición en los tipos de riesgos de seguridad que enfrentan las API y las aplicaciones web, como problemas con el control de acceso roto y la falsificación de solicitudes del lado del servidor, pero la implementación de soluciones para estos riesgos será ligeramente diferente para las API y las aplicaciones web.
La explotación del flujo de negocio ocurre cuando los atacantes abusan de los flujos de trabajo legítimos de las API, como realizar compras o reservas excesivas, para interrumpir las operaciones comerciales.