Las iteraciones rápidas del negocio suelen generar problemas críticos, como activos de API poco claros, superficies de ataque desconocidas y una gestión descentralizada de las políticas de seguridad. La función de seguridad de API de Edge Security Acceleration (ESA) está diseñada para resolver estos inconvenientes. Le ayuda a construir una barrera de seguridad unificada para sus API en la capa perimetral. Esta función ofrece descubrimiento automático, monitoreo continuo y protección de seguridad para las API de su negocio mediante el análisis de las solicitudes de acceso que fluyen por los puntos de presencia (POP) y el uso de modelos de aprendizaje automático.
Comuníquese con su gerente de cuenta para habilitar la función de seguridad de API.
Introducción a las funciones
|
Función |
Descripción general de la función |
|
La función de seguridad de API de Edge Security Acceleration (ESA) ayuda a prevenir filtraciones de datos e interrupciones del servicio provocadas por API desconocidas o en desuso. Utiliza aprendizaje automático para analizar de forma continua el tráfico de su sitio, descubrir automáticamente los endpoints de API e identificar problemas como fugas de datos confidenciales y uso indebido de API. |
|
|
ESA monitorea continuamente las API gestionadas y le permite conocer el rendimiento y el estado de seguridad de las API asociadas a sus sitios. |
|
|
Cargue un esquema de API, como una especificación openapi, y ESA lo vinculará automáticamente con sus API gestionadas. Después, validará las solicitudes entrantes contra dicho esquema y aplicará la acción configurada a las solicitudes que no cumplan con él. |
|
|
Cree una regla de validación de cumplimiento de token de API al agregar un JSON Web Token (JWT) personalizado y vincúlelo a la API que requiere verificación. A continuación, ESA validará el cumplimiento de los token en las solicitudes entrantes y las procesará para proteger las API de su negocio. |
|
|
La configuración de seguridad de API permite gestionar de forma centralizada Session Identifiers, Schema Validation Settings y Token Configurations. |
Impacto en el rendimiento
El análisis de seguridad de API de ESA se ejecuta de manera pasiva en los POP y tiene un impacto mínimo en el rendimiento. Las pruebas demuestran que habilitar las funciones de descubrimiento y monitoreo de API suele aumentar la latencia promedio de procesamiento de solicitudes solo unos milisegundos. Cuando se habilitan funciones de bloqueo activo, como la validación de cumplimiento de arquitectura o la validación de token, el aumento de latencia se mantiene en el rango de los milisegundos. Por lo tanto, el impacto en la experiencia del usuario es prácticamente imperceptible.
Escenarios
Inventariar los activos de API y descubrir riesgos desconocidos
Durante las iteraciones rápidas del negocio, los desarrolladores podrían publicar operaciones de API sin notificar oportunamente al equipo de seguridad. Estas API quedan fuera del sistema de control de seguridad, lo que las convierte en posibles puntos de entrada para ataques.
Función recomendada: API Discovery
Al habilitar la función de descubrimiento de API, ESA descubre e inventaría automáticamente todos los endpoints de API de los que actúa como proxy. Los administradores de seguridad pueden revisar esta lista periódicamente para incorporar las API recién descubiertas a la gestión o marcarlas como obsoletas tras confirmarlo con el equipo de desarrollo. Este proceso garantiza visibilidad total sobre los activos de API y elimina los puntos ciegos de seguridad.
Bloquear solicitudes de API no conformes en el perímetro
Los atacantes suelen sondear o atacar las API públicas al enviar numerosas solicitudes malformadas que no respetan el formato predefinido. Estas solicitudes consumen recursos valiosos de cómputo en el servidor de origen y podrían desencadenar vulnerabilidades desconocidas.
Función recomendada: API Architecture Compliance Validation
Cargue el archivo de especificación openapi correspondiente a las API principales de su negocio. Luego, ESA utilizará este archivo para validar la estructura y los parámetros de cada solicitud entrante en los nodos perimetrales. Cualquier solicitud que no cumpla con la especificación se bloqueará o registrará antes de llegar al servidor de origen. Esto protege eficazmente contra ataques como inyecciones y fuzzing, además de garantizar la estabilidad y seguridad de su negocio principal.
Proteger las API de aplicaciones móviles y web
En una arquitectura con frontend y backend desacoplados, las aplicaciones móviles o de página única suelen invocar API para comunicarse con los servicios de backend. Un aspecto crítico del diseño de seguridad consiste en asegurar que estas API sean invocadas únicamente por clientes legítimos.
Función recomendada: API Token Compliance Validation
Si configura reglas de validación de cumplimiento de token para sus API, puede exigir que todos los clientes incluyan un JSON Web Token (JWT) válido en cada solicitud. ESA verifica firmas, comprueba el tiempo de vida (TTL) y ejecuta otras tareas de validación en los JWT dentro de los POP. Solo las solicitudes legítimas que superan la validación se reenvían al servidor de origen. De este modo, se previenen eficazmente los accesos no autorizados a sus API y los ataques de repetición.
Compatibilidad con los distintos planes
Categoría de la función | Función | Entrance (0 USD/mes) | Pro (15 USD/mes) | Premium (249 USD/mes) | Enterprise (contacte a ventas para conocer los precios) |
Funciones de seguridad de API | Solo admite gestión de API y validación de arquitectura. | Solo admite gestión de API y validación de arquitectura. | Admite todas las funciones | ||
API gestionadas | 15 | 30 | 100 | ||
Identificadores de sesión | 10 | ||||
Archivos de arquitectura | 1 | 1 | 5 | ||
Token JWT | 5 | ||||
Reglas de API | 10 |