Excesso de confiança na proteção de APIs deixa empresas expostas a ataques cibernéticos

Pesquisa revela que 92% das companhias afirmam que têm um plano em vigor para proteger adequadamente as APIs contra ataques cibernéticos; no entanto, 62% admitem que um terço ou mais de suas APIs não estão documentadas

Compartilhar:

A Radware anunciou seu relatório State of API Security 2022, conduzida pela Enterprise Management Associates, revelou uma falsa sensação de segurança entre as organizações quando se trata de proteção de APIs. A pesquisa inclui respostas de CIOs, CTOs, Vice-presidentes e Diretores de TI de organizações globais da América do Norte, EMEA e APAC.

 

De acordo com a pesquisa, o uso de APIs está em alta: 92% das organizações pesquisadas aumentaram significativamente seu uso de APIs, com 59% já executando a maioria de suas aplicações na nuvem. Além disso, quase 97% das organizações usam APIs para comunicações entre cargas de trabalho e sistemas, destacando a crescente dependência de APIs nas operações comerciais diárias.

 

Enquanto 92% dos entrevistados acreditam ter proteção adequada para suas APIs, e 70% acreditam ter visibilidade sobre as aplicações que estão processando dados confidenciais, 62% admitem que um terço ou mais de suas APIs não estão documentadas. APIs não documentadas deixam as organizações vulneráveis a ameaças cibernéticas, como exposições de bancos de dados, violações de dados e ataques scraping.

 

“Para muitas companhias há, inequivocamente, uma falsa sensação de segurança, de que elas estão adequadamente protegidas contra ataques cibernéticos. Na realidade, elas têm lacunas significativas na proteção de APIs desconhecidas e não documentadas”, comentou Gabi Malka, Chief Operations Officer e Chefe de Pesquisa e Desenvolvimento da Radware.

 

Ataques de bot continuam a ser uma ameaça

 

Quase um terço das empresas (32%) entrevistadas afirmaram que os ataques automatizados de bots são uma das ameaças mais comuns às APIs. Em termos de detectar um ataque de API, 29% dizem confiar em alertas de um gateway de API e 21% confiam em firewalls de aplicação web (WAF). 

 

O executivo acrescenta: “os dados da pesquisa indicam que a proteção de APIs não está acompanhando seu uso. Muitas organizações estão baseando suas estratégias de segurança de APIs em falsas suposições — por exemplo, que os gateways de API e os WAFs tradicionais oferecem proteção suficiente. Isso deixa as APIs vulneráveis e expostas a ameaças comuns, como ataques de bots. Uma solução abrangente de proteção de APIs, que inclui proteção de bot, pode endereçar essas ameaças. Mas poucos entrevistados indicaram que tinham soluções que realmente têm a capacidade de fornecer uma segurança eficaz. A proteção empresarial é tão forte quanto seu elo mais fraco.”

 

Metade das empresas pesquisadas enxergam suas ferramentas existentes como apenas pouco ou minimamente eficazes na proteção de suas APIs, com 7% relatando que as soluções que possuem não identificaram nenhum ataque. A incapacidade das ferramentas existentes de proteger adequadamente as APIs contra ameaças comuns aumenta ainda mais a falsa narrativa de segurança.

 

Código aberto contribui para o mito da segurança

 

65% dos entrevistados acreditam que o código aberto é mais seguro do que o código proprietário, e quase 74% acreditam que implantações baseadas em contêineres e arquiteturas de micros serviços são mais seguras do que arquiteturas e implantações monolíticas por padrão.

 

“A crença de que o código aberto é mais seguro por design poderia explicar por que algumas organizações baixam suas guardas quando se trata de gerenciamento de patches. No entanto, como vimos nos casos de Log4j e Heartbleed, o código aberto pode ter as mesmas falhas de segurança que o código proprietário. Acreditar que o código aberto é inerentemente mais seguro por padrão só contribui ainda mais para a falsa narrativa que deixa as organizações vulneráveis a ataques cibernéticos”, finaliza Malka.

Destaques

Colunas & Blogs

Conteúdos Relacionados

Security Report | Overview

Dia da Internet: Phishing e data leak são duas das maiores ameaças ao usuário

Com o desenvolvimento acelerado da tecnologia, a crescente de tentativas de golpes no ambiente online também se torna uma realidade....
Security Report | Overview

Especialistas alertam para novos modelos personalizados de golpe com QR Code

Especialistas da Check Point Software identificaram novos ataques cibernéticos conhecidos por Quishing e explicam como evitar tais golpes...
Security Report | Overview

61% das empresas aumentarão investimento em Cloud Security, segundo relatório

As organizações participantes do estudo estimam que o aumento planejado dos investimentos em segurança na nuvem alcance os 37%, em...
Security Report | Overview

CTIR Gov emite recomendações de enfrentamento ao ransomware Black Basta

Em informe publicado no site oficial da organização, foram trazidas outras informações a respeito do malware, que tem mirado especificamente...