Iterações rápidas de negócios frequentemente introduzem desafios críticos, como ativos de API pouco claros, superfícies de ataque desconhecidas e gerenciamento descentralizado de políticas de segurança. O recurso de Segurança de API do Edge Security Acceleration (ESA) resolve esses problemas ao criar uma barreira unificada de segurança de API na camada de borda. Esse recurso oferece descoberta automática, monitoramento contínuo e proteção para suas APIs de negócios, analisando solicitações de acesso que passam pelos pontos de presença (POPs) com modelos de machine learning.
Entre em contato com seu gerente de conta para ativar o recurso de segurança de API.
Visão geral dos recursos
|
Recurso |
Descrição |
|
O recurso de segurança de API do Edge Security Acceleration (ESA) previne violações de dados e interrupções de service causadas por APIs desconhecidas ou obsoletas. Ele usa machine learning para analisar continuamente o tráfego do seu site, descobrir automaticamente endpoints de API e identificar problemas como vazamento de dados sensíveis e abuso de API. |
|
|
O ESA monitora continuamente as APIs gerenciadas e ajuda você a entender o desempenho e o status de segurança das APIs em seus sites. |
|
|
Faça upload de um esquema de API, como uma especificação OpenAPI, e o ESA o associará automaticamente às suas APIs gerenciadas, validará as solicitações recebidas em relação ao esquema e aplicará a ação configurada às solicitações não conformes. |
|
|
Crie uma regra de validação de conformidade de token de API adicionando um JSON Web Token (JWT) personalizado e vinculando-o à API que exige verificação. O ESA executará a validação de conformidade do token nas solicitações recebidas e as processará para proteger suas APIs de negócios. |
|
|
As configurações de segurança de API permitem gerenciar centralmente Identificadores de Sessão, Configurações de Validação de Esquema e Configurações de Token. |
Impacto no desempenho
O ESA executa a análise de segurança de API passivamente nos POPs, com impacto mínimo no desempenho. Testes mostram que ativar os recursos de descoberta e monitoramento de API geralmente aumenta a latência média de processamento de solicitações em apenas alguns milissegundos. Ao ativar recursos de bloqueio ativo, como validação de conformidade de arquitetura ou validação de token, o aumento da latência permanece na faixa de milissegundos. Isso resulta em praticamente nenhum impacto perceptível na experiência do usuário.
Cenários
Inventariar ativos de API e descobrir riscos desconhecidos
Durante iterações rápidas de negócios, os desenvolvedores podem liberar operações de API sem notificar prontamente a equipe de segurança. Como o sistema de controle de segurança não gerencia essas APIs, elas se tornam potenciais pontos de entrada para ataques.
Recurso recomendado: API Discovery
Ao ativar o recurso de descoberta de API, o ESA descobre e inventaria automaticamente todos os endpoints de API que ele faz proxy. Os administradores de segurança podem revisar regularmente essa lista para colocar APIs recém-descobertas sob gerenciamento ou marcá-las como obsoletas após confirmação com a equipe de desenvolvimento. Esse processo garante visibilidade completa dos ativos de API e elimina pontos cegos de segurança.
Bloquear solicitações de API não conformes na borda
Atacantes frequentemente sondam ou atacam APIs públicas enviando inúmeras solicitações malformadas que não estão em conformidade com o formato predefinido. Essas solicitações consomem recursos computacionais valiosos no servidor de origem e podem acionar vulnerabilidades desconhecidas.
Recurso recomendado: API Architecture Compliance Validation
Faça upload do arquivo de especificação OpenAPI para suas APIs de negócios principais. O ESA usa esse arquivo para validar a estrutura e os parâmetros de cada solicitação recebida nos nós de borda. Qualquer solicitação fora de conformidade com a especificação é bloqueada ou registrada antes de chegar ao servidor de origem. Essa medida protege eficazmente contra ataques como injeção e fuzzing, garantindo a estabilidade e a segurança dos seus negócios principais.
Proteger APIs para aplicativos móveis e web
Em uma arquitetura com frontend e backend desacoplados, aplicativos móveis ou single-page applications normalmente chamam APIs para se comunicar com services de backend. Uma parte crítica do design de segurança é garantir que apenas clientes legítimos invoquem essas APIs.
Recurso recomendado: API Token Compliance Validation
Configure regras de validação de conformidade de token para suas APIs e exija que todos os clientes incluam um JSON Web Token (JWT) válido em cada solicitação. O ESA realiza verificação de assinatura, verificações de tempo de vida (TTL) e outras tarefas de validação em JWTs nos POPs. Apenas solicitações legítimas aprovadas na validação são encaminhadas ao servidor de origem. Isso previne eficazmente o acesso não autorizado às suas APIs e ataques de replay.
Suporte para diferentes planos
Categoria de recurso | Recurso | Entrance (0 USD/mês) | Pro (15 USD/mês) | Premium (249 USD/mês) | Enterprise (contate vendas para preços) |
Recursos de segurança de API | Suporta apenas gerenciamento de API e validação de arquitetura. | Suporta apenas gerenciamento de API e validação de arquitetura. | Suporta todos os recursos | ||
APIs gerenciadas | 15 | 30 | 100 | ||
Identificadores de sessão | 10 | ||||
Arquivos de arquitetura | 1 | 1 | 5 | ||
Tokens JWT | 5 | ||||
Regras de API | 10 |