Las aplicaciones modernas se construyen a partir de API que conectan aplicaciones móviles, integraciones con socios, microservicios internos y servicios de terceros. Esa arquitectura permitió un desarrollo más rápido, pero también creó una superficie de ataque que los firewalls de aplicaciones web tradicionales nunca se diseñaron para ver completamente.
Encontrar lo que no se puede asegurar sin verlo
Las API en la sombra y zombis—puntos finales no documentados creados para un proyecto olvidado, o versiones antiguas que siguen ejecutándose tras un supuesto retiro—están consistentemente entre los puntos de entrada más explotados. El descubrimiento automatizado que inventaría cada API que realmente recibe tráfico es un requisito previo para cualquier programa de seguridad real.
Más allá del descubrimiento, la lógica de autorización merece el mayor escrutinio: la autorización rota a nivel de objeto, donde un usuario autenticado puede acceder a los datos de otro usuario simplemente cambiando un identificador en una solicitud.
JIG ayuda a las empresas a construir programas de seguridad de API comenzando con la visibilidad.