Leia sobre dicas e funcionalidades da GoCache CDN para melhorar a seguranca do seu site, loja virtual ou app mobile.

Quais as principais ferramentas gratuitas para segurança web?

/em

A segurança web é um aspecto essencial para empresas e usuários que desejam proteger seus dados e garantir uma experiência online segura. Felizmente, existem diversas ferramentas gratuitas disponíveis que podem ajudar a identificar vulnerabilidades, proteger contra ameaças e fortalecer a segurança de um site. Neste post, destacaremos algumas das principais ferramentas gratuitas para segurança web que podem ser utilizadas para fortalecer a proteção online.

OWASP ZAP (Zed Attack Proxy):
O OWASP ZAP é uma poderosa ferramenta de segurança de aplicativos web. Ela permite a identificação de vulnerabilidades, como injeção de código, cross-site scripting (XSS), entre outras. Além disso, o ZAP possui recursos avançados, como a capacidade de interceptar e modificar solicitações e respostas HTTP.

Nikto:
O Nikto é uma ferramenta de código aberto que realiza testes de segurança automatizados em servidores web. Ele pode detectar várias vulnerabilidades conhecidas, como configurações incorretas de servidores, scripts maliciosos e arquivos desprotegidos. O Nikto é amplamente utilizado para varreduras rápidas e eficientes em servidores web.

Nmap (Network Mapper):
O Nmap é uma ferramenta de mapeamento de redes amplamente utilizada, que também pode ser usada para fins de segurança web. Ele permite a descoberta de dispositivos na rede, identificação de portas abertas e serviços em execução. O Nmap pode ajudar a identificar possíveis pontos de entrada para invasões e auxiliar na análise de segurança de uma rede.

SSL Server Test (Qualys SSL Labs):
O SSL Server Test é uma ferramenta da Qualys SSL Labs que verifica a configuração do servidor HTTPS de um site. Ele avalia a qualidade da implementação do SSL/TLS e fornece uma classificação baseada em uma série de critérios. Essa ferramenta é útil para garantir que a comunicação segura entre o servidor e o cliente esteja configurada corretamente.

OpenVAS (Open Vulnerability Assessment System):
O OpenVAS é uma ferramenta poderosa de análise de vulnerabilidades que verifica sistemas em busca de falhas de segurança conhecidas. Ele realiza uma varredura abrangente em redes, servidores e aplicativos web em busca de vulnerabilidades, como falhas de configuração, brechas de autenticação e outras vulnerabilidades comuns. O OpenVAS é uma solução flexível e altamente configurável que fornece relatórios detalhados sobre as descobertas de vulnerabilidades.

Wapiti:
O Wapiti é uma ferramenta de segurança web que realiza testes de penetração em sites e aplicativos web. Ele identifica vulnerabilidades, como injeção de SQL, cross-site scripting (XSS), inclusão de arquivo remoto (RFI), entre outras. O Wapiti é projetado para ser fácil de usar, com recursos de personalização e relatórios detalhados para ajudar a identificar e corrigir problemas de segurança.

Conclusão:

A segurança web é uma preocupação essencial atualmente, e o uso de ferramentas adequadas pode ajudar a fortalecer a proteção dos sites contra ameaças cibernéticas. As ferramentas gratuitas mencionadas neste post oferecem uma variedade de recursos úteis para identificar vulnerabilidades, realizar testes de segurança e manter a segurança web em dia. Lembre-se de utilizar essas ferramentas regularmente e combiná-las com práticas recomendadas de segurança para obter os melhores resultados possíveis na proteção dos seus ativos online.

E claro, se você precisa de ajuda profissional para proteger suas aplicações, não deixe de falar conosco.

O que são Bots e como posso me proteger:

/em

A internet está repleta de bots, e nem todos são inofensivos. Bots maliciosos podem representar uma séria ameaça à segurança cibernética, comprometendo a integridade dos sistemas, roubando dados pessoais e até mesmo derrubando websites. Neste artigo, vamos explorar o que são bots, como eles funcionam, e o que você pode fazer para se proteger contra eles.

O que são Bots

Bots, abreviação de robots, são programas de computador que automatizam tarefas específicas. Eles são criados para executar tarefas repetitivas de maneira rápida e eficiente. Existem dois tipos principais de bots: benignos e maliciosos.

Bots benignos são amplamente utilizados por mecanismos de busca, como o Google, para indexar páginas da web e melhorar os resultados de pesquisa. Eles também podem ser usados para fornecer informações úteis, como previsão do tempo e atualizações de notícias.

Por outro lado, bots maliciosos são projetados para realizar atividades prejudiciais sem o conhecimento ou consentimento dos usuários. Eles podem ser usados para espalhar spam, coletar informações confidenciais, distribuir malware e até mesmo realizar ataques de negação de serviço distribuídos (DDoS).

Como os Bots Funcionam

Bots maliciosos aproveitam a automação e escalabilidade para realizar ações prejudiciais. Eles podem ser programados para simular comportamento humano, disfarçando-se como usuários reais. Alguns bots maliciosos são capazes de roubar informações pessoais ao realizar ataques de phishing, enquanto outros exploram vulnerabilidades em sistemas e aplicativos para distribuir malware.

Os bots também podem ser usados para disseminar desinformação, propagar notícias falsas ou criar contas falsas em mídias sociais para influenciar opiniões. Em resumo, os bots maliciosos são criados para explorar vulnerabilidades e obter benefícios indevidos.

Identificando a Presença de Bots

Identificar a presença de bots em suas plataformas e sistemas é crucial para se proteger contra eles. Alguns sinais de alerta podem indicar atividade de bots, como um aumento repentino de tráfego de origem desconhecida, comportamentos padrões suspeitos (como cliques excessivos) ou um aumento de spam e comentários falsos.

Existem ferramentas de detecção de bots disponíveis que podem ajudar a identificar atividades suspeitas. Essas ferramentas utilizam algoritmos e análise de padrões para distinguir bots de usuários genuínos. Para entender mais sobre recursos utilizados para identificar bots, recomendamos o Bot Mitigation da GoCache.

Como se Proteger contra Bots Maliciosos

Existem várias medidas que você pode adotar para se proteger contra bots maliciosos:

  • Utilize CAPTCHAs e desafios de verificação humana em seus formulários e páginas de login para dificultar a ação dos bots.
  • Implemente rate limiting e controle de acesso para limitar o número de solicitações que podem ser feitas por um determinado tempo, evitando assim ataques de bots em massa.
  • Mantenha listas negras e listas de permissões atualizadas para bloquear bots conhecidos e permitir apenas tráfego legítimo.
  • Monitore constantemente atividades suspeitas em suas plataformas e sistemas, identificando padrões e comportamentos anômalos.
  • Considere o uso de soluções de segurança especializadas, como Web Application Firewalls (WAFs) e soluções de bot mitigation, que podem ajudar a detectar e bloquear bots maliciosos.

Educação e Conscientização dos Usuários

Além das medidas técnicas, é fundamental educar e conscientizar seus funcionários e usuários finais sobre os riscos associados aos bots maliciosos. Algumas práticas recomendadas incluem:

  • Verificar a origem e a confiabilidade de remetentes desconhecidos antes de clicar em links ou baixar arquivos.
  • Evitar clicar em links suspeitos recebidos por e-mail, redes sociais ou outros canais de comunicação.
  • Atualizar regularmente as senhas de contas e utilizar autenticação em dois fatores quando possível.

Conclusão:

A ameaça representada pelos bots maliciosos continua a crescer, e é fundamental entender o que são bots e como se proteger contra eles. Ao implementar medidas de segurança adequadas, como CAPTCHAs, rate limiting e soluções especializadas, você pode mitigar os riscos e garantir a segurança de seus sistemas e dados. Além disso, a educação e a conscientização dos usuários são essenciais para evitar interações prejudiciais com bots maliciosos. Lembre-se de buscar parcerias com especialistas em segurança cibernética para garantir a melhor proteção possível contra essa ameaça em constante evolução.

Quer entender mais sobre os recursos do Bot Mitigation da GoCache? Leia mais aqui

O que é Open Finance?

/em

Open Finance é um conjunto de procedimentos e tecnologias que possibilita a abertura e integração dos sistemas financeiros de instituições, visando o compartilhamento padronizado de dados sobre produtos, serviços e informações cadastrais e transacionais dos usuários. Através do consentimento dos usuários, suas informações podem ser compartilhadas com terceiros com o objetivo de acessar novos produtos, serviços ou melhores condições de contratação.

No Brasil, o Open Finance foi regulamentado pelo Banco Central do Brasil (BCB) e pelo Conselho Monetário Nacional (CMN), sendo implementado em quatro fases entre 2021 e 2022. Esse projeto envolveu um grande número de instituições financeiras, com o BCB identificando 1.065 participantes obrigatórios do Open Finance em um comunicado divulgado em 2020. Até maio de 2022, já haviam ocorrido mais de 233 milhões de interações entre as instituições participantes.

Um dos principais objetivos do Open Finance é garantir o compartilhamento de dados bancários, visto que o mercado de serviços bancários é altamente concentrado e o acesso a esses dados representa uma barreira à entrada de concorrentes. Portanto, as instituições financeiras de maior porte são obrigadas a participar do Open Finance para compartilhar seus dados, enquanto outras instituições podem participar voluntariamente. Além disso, o projeto busca incentivar a inovação, aumentar a eficiência do Sistema Financeiro Nacional e do Sistema de Pagamentos Brasileiro, promover a concorrência e a cidadania financeira.

A concretização do Open Finance depende do compartilhamento de dados relacionados a produtos e serviços nos mercados de pagamentos, crédito, seguros, câmbio e investimentos. Por meio de altos investimentos em tecnologia e inovação por parte das instituições financeiras, juntamente com o envolvimento das fintechs, o Open Finance tem o potencial de aumentar a competitividade e a transparência no mercado financeiro. Isso beneficia e capacita os consumidores, permitindo que eles tenham controle sobre seus próprios dados. Além disso, a redução das barreiras de acesso aos dados facilita a entrada de novos agentes no mercado, como provedores de transações de pagamentos, agregadores de dados e intermediários digitais para propostas de crédito.

Open Finance e LGPD em Incidentes de Segurança:

Tanto a LGPD (Lei Geral de Proteção de Dados) quanto às normas setoriais do BCB (Banco Central do Brasil) estabelecem requisitos relacionados à segurança da informação. É importante destacar que um incidente de segurança pode ser caracterizado pela violação de um ou mais dos seguintes atributos da informação:

  • Confidencialidade: quando uma informação é acessada ou divulgada a pessoas não autorizadas;
  • Integridade: quando uma informação é alterada de maneira não autorizada;
  • Disponibilidade: quando uma informação não pode ser utilizada quando necessária.

Quando se trata das obrigações normativas de segurança, elas podem ser divididas em duas categorias principais: a primeira envolve a adoção de medidas adequadas de segurança da informação como um dever geral. A segunda categoria abrange as obrigações de notificação aos afetados e às autoridades competentes após a ocorrência de um incidente.

Quais as obrigações de segurança da informação?

A LGPD (Lei Geral de Proteção de Dados) estabelece como obrigação dos agentes de tratamento, controladores e operadores, adotar medidas de segurança técnicas e administrativas adequadas para proteger os dados pessoais (artigo 46). Isso significa que os agentes devem implementar tanto medidas técnicas (como o uso de antivírus, testes de sistemas e testes de penetração) quanto medidas administrativas, por meio da implementação de estruturas de governança (como a definição de políticas de segurança da informação e a atribuição de responsabilidades aos colaboradores).

A LGPD não impõe padrões de segurança específicos, mas esclarece que a ANPD (Autoridade Nacional de Proteção de Dados) pode regulamentar o assunto (artigo 46, parágrafo 1º). Além disso, a LGPD estabelece que os agentes de tratamento devem adotar medidas de segurança desde a fase de desenvolvimento do produto/serviço até sua execução/lançamento no mercado (artigo 46, parágrafo 2º).

Em relação às regras setoriais do Open Finance, é importante destacar duas normativas. A Resolução Conjunta do BCB (Banco Central do Brasil) e CMN (Conselho Monetário Nacional) nº 1/2020 estabelece, de forma resumida, a obrigação geral de garantir a segurança da informação no compartilhamento de dados do Open Finance (artigos 4, 31, 39, 40 e 48), a adoção de mecanismos de autenticação para o compartilhamento de dados (artigos 16 e 17) e a necessidade de incluir cláusulas de segurança da informação em contratos de parceria com entidades não autorizadas pelo BCB, incluindo a obrigação do parceiro contratado de informar sobre incidentes (artigo 38).

A Resolução nº 32 do BCB estabelece a criação de um “Manual de Segurança do Open Finance”, com o objetivo de detalhar os padrões de segurança e os requisitos técnicos (artigo 16). Diferentemente da LGPD, que estabelece apenas obrigações gerais de segurança, esse Manual será elaborado pelo BCB e implementado por meio de uma instrução normativa.

Para garantir a segurança e a autenticidade das transações e comunicações realizadas no âmbito do Open Banking, o uso do mTLS (Mutual Transport Layer Security) é exigido.

Links para resoluções:

Como a GoCache pode ajudar?

A GoCache oferece suporte ao mTLS, além de contar com diversas soluções de segurança web que podem desempenhar um papel importante na segurança dos clientes que utilizam o Open Banking. Caso queira entender como a GoCache pode ajudar, entre em contato.

Fontes do artigo:

https://baptistaluz.com.br/wp-content/uploads/2022/05/Bluz_PD_AYIP_OpenFinance.pdf
https://aws-amazon-com.translate.goog/pt/blogs/aws-brasil/suportando-mutual-tls-mtls-utilizando-certificados-do-icp-brasil-para-o-open-banking-no-brasil-utilizando-o-amazon-api-gateway/?_x_tr_sl=pt&_x_tr_tl=en&_x_tr_hl=en&_x_tr_pto=sc

Checklist – API Security

/em

API (Application Programming Interface) está emergindo como um dos vetores de ataque proeminentes. Enquanto o volume de chamadas de API aumentou 321% no ano passado, o tráfego malicioso de API cresceu 681%! Várias organizações enfrentaram incidentes de segurança relacionados à API nos últimos anos. Para ajudá-lo a obter uma segurança de API reforçada, reunimos uma checklist de segurança de API neste artigo.

Checklist dos 7 principais requisitos de segurança para APIs

As melhores práticas para obter proteção e segurança avançadas de API são muitas. Esta lista de verificação de segurança da API concentra-se nos 7 principais requisitos críticos.

Descoberta e inventário de API

Você só pode proteger as APIs se souber que elas existem, e a descoberta e o inventário contínuos ajudam nesse sentido.

• Automatize a descoberta de todos os endpoints, parâmetros e tipos de dados da API usando scanners inteligentes. As ferramentas automatizadas infundem velocidade, agilidade e precisão na descoberta.

• Analise os metadados de tráfego da API usando um mecanismo inteligente para descobrir APIs que anteriormente não estavam no radar dos profissionais de segurança.

• Descubra APIs no ambiente inferior (além apenas do ambiente de produção), dependências de API, APIs de terceiros, etc.

• Marcar, rotular e segmentar APIs, micros serviços, etc.

• Análise em tempo real do tráfego que atinge os endpoints da API. Isso permite que as organizações identifiquem cargas de trabalho, limitem os perímetros em torno de terminais de risco enquanto desprovisionam e removem funcionalidades antigas e APIs zumbis e minimizam os pontos cegos criados por APIs não autorizadas.

Protegendo APIs com detecção e proteção instantâneas contra ameaças

Outro requisito importante na lista de verificação de segurança da API é a proteção e detecção proativa de ameaças à API.

• Use análise comportamental, padrão e heurística para detectar ameaças proativamente, em vez de depender de detecção rudimentar baseada em assinatura

• Implemente segurança em várias camadas para enfrentar e proteger contra diferentes tipos de ameaças, incluindo ataques DDoS, ataques de bot., Os 10 principais riscos de segurança da API OWASP, etc.

• Aproveite a tecnologia avançada, como IA de autoaprendizagem, análise e automação para proteção avançada de API

• A visibilidade em tempo real da postura de segurança é importante

• Criptografe todos os dados para melhorar a segurança da API

• Implemente patches virtuais para manter as vulnerabilidades seguras até que os desenvolvedores as corrijam

Controle de acesso e autenticação de API

Para proteção e segurança mais fortes da API, as organizações devem realizar verificações de autenticação e autorização rigorosas e contínuas enquanto reforçam os controles de acesso. Isso é crítico, pois as falhas de autenticação e autorização estão em segundo lugar na lista de causas de ataques de API.

• Inclua identidades humanas e de máquina ao implementar controles de acesso e autenticação. Não se esqueça de aplicativos e serviços de terceiros.

• Implemente rigorosamente os princípios de confiança zero para garantir que os usuários (incluindo usuários privilegiados) tenham acesso just-in-time e just-enough aos recursos da API. Continue revisando os privilégios para fazer as alterações necessárias instantaneamente.

• Use protocolos de autorização modernos para segurança robusta.

• As APIs públicas não devem ser expostas a solicitações não validadas, mesmo que os usuários sejam autorizados.

• Implemente senhas fortes e complexas em combinação com autenticação multifator.

• Usuários não administradores devem receber apenas os privilégios somente leitura para dados.

• As sessões devem ter uma duração limitada.

• Os tokens devem expirar em intervalos regulares para evitar ataques de repetição.

Design e Desenvolvimento de API

Iniciativas de transformação digital levaram à aceleração no desenvolvimento e uso de APIs em todo o mundo. Devido à pressão dos desenvolvedores para garantir a velocidade de lançamento no mercado, eles geralmente não têm tempo para testes de segurança. Além disso, eles tendem a implantar APIs com vulnerabilidades conhecidas, pontos obscuros para funcionalidades futuras, deixar versões antigas implantadas para compatibilidade com versões anteriores, etc.

Portanto, a segurança da API não deve ser limitada à produção. Uma tática para uma API de segurança avançada é implementar controles e técnicas de segurança desde os estágios de design e desenvolvimento.

• Crie APIs seguras por design

• Use estruturas de desenvolvimento seguras, código, modelos, bibliotecas e assim por diante

• Restrinja a acessibilidade do código-fonte apenas para aqueles que precisam dele

• Revise o design e o código em busca de falhas, especialmente aquelas relacionadas à lógica de negócios

• Inclua verificações de configuração de segurança em sua lista de verificação de segurança de API para eliminar configurações incorretas

• Procure campos de formulário ocultos e documente a resposta da API

Teste de segurança da API

O teste de segurança contínuo é outro requisito importante da lista de verificação de segurança da API. A varredura automatizada tem seus limites e não pode identificar configurações incorretas de segurança, falhas de lógica de negócios ou a capacidade de exploração de diferentes vulnerabilidades. São necessários testes de segurança manuais regulares, por especialistas certificados, por meio de testes de penetração e auditorias.

Registro e monitoramento da API

As APIs de registro e monitoramento ajudam a construir uma linha de base para o que é considerado “normal”, para que os incidentes atípicos possam ser detectados rapidamente.

• Identifique e defina claramente todos os elementos, infraestrutura e aplicativos que precisam ser registrados

• Rastreie e registre parâmetros não relacionados à segurança, como desempenho, velocidade e tempo de atividade da API

• Revise as anomalias em intervalos regulares e ajuste suas APIs de acordo

Resposta à Incidência

Detectar e impedir violações é apenas uma parte da resposta de segurança. As violações de dados, às vezes, são inevitáveis. Nesses casos, ter um plano robusto de resposta à incidência é essencial, pois permite que as organizações se recuperem rapidamente e minimizem o impacto das violações. Deve-se definir claramente as políticas e medidas relacionadas à resposta imediata, investigação, forense, escalonamento, conformidade, etc.

Conclusão

Como os invasores continuam a expor e explorar os pontos fracos das APIs, a necessidade de segurança da API é urgente e crítica. Use esta checklist de segurança para API para começar a solidificar sua postura de segurança de API.

O que é OWASP e qual sua função?

/em

O Open Web Application Security Project (OWASP) é uma fundação sem fins lucrativos dedicada a melhora da segurança na internet. Ele opera sob um modelo de “comunidade aberta”, o que significa que qualquer pessoa pode participar e contribuir com bate-papos, projetos e muito mais relacionados ao OWASP. Tudo, desde ferramentas e vídeos online a fóruns e eventos, o OWASP garante que suas ofertas permaneçam gratuitas e facilmente acessíveis por meio de seu site.

O OWASP Top 10 fornece classificações e orientações de correção para os 10 principais riscos de segurança mais críticos de aplicativos da Web. Aproveitando o amplo conhecimento e experiência dos colaboradores da comunidade aberta do OWASP, o relatório é baseado em um consenso entre especialistas em segurança de todo o mundo.

Os riscos são classificados de acordo com a frequência dos defeitos de segurança descobertos, a gravidade das vulnerabilidades descobertas e a magnitude de seus possíveis impactos. O objetivo do relatório é oferecer aos desenvolvedores e profissionais de segurança de aplicativos da Web informações sobre os riscos de segurança mais prevalentes, para que possam incluir as descobertas e recomendações do relatório em suas próprias práticas de segurança, minimizando assim a presença de riscos conhecidos em seus aplicativos.

Quer conhecer mais sobre a OWASP? Acesse o site: https://owasp.org/

Pentest para API

/em

O mundo se tornou um lugar interconectado por meio de APIs e aplicativos. O problema é que a maioria das empresas não faz o suficiente para garantir a proteção das suas APIs. Pior ainda, a maioria das empresas não considera testar a segurança das suas APIs.

O que é o teste de penetração de API?

O teste de penetração de API é um tipo de teste de segurança executado em interfaces de programação de aplicativos (APIs) para avaliar a força de seus controles de segurança.

O teste de penetração de API visa identificar vulnerabilidades de segurança que os invasores podem explorar para obter acesso a dados confidenciais ou executar outras ações maliciosas.

Ele normalmente envolve tentar atacar a API da mesma forma que um invasor, para encontrar qualquer ponto fraco que um hacker poderia explorar. Isso inclui testes para injeção SQL e cross-site scripting (XSS) e outras vulnerabilidades no nível da API.

É importante observar que o teste de penetração de API difere do teste de segurança geral do aplicativo, pois o foco está especificamente na própria API.

Por que o teste de penetração de API é essencial?

O teste de penetração de API é essencial para garantir a segurança de um aplicativo. Testar a API permite que possíveis vulnerabilidades de segurança sejam identificadas e corrigidas antes que possam ser exploradas. Além disso, o teste de penetração pode ajudar a garantir que a API esteja funcionando conforme o esperado e que não haja riscos de segurança imprevistos.

Ao realizar testes de penetração regulares, as organizações podem reduzir proativamente o risco de violações de segurança e garantir a segurança de seus dados e sistemas.

Além disso, o teste de penetração de API também pode ajudar as organizações a cumprir os regulamentos de conformidade e privacidade.

3 vulnerabilidades comuns encontradas em APIs

Muitos tipos diferentes de vulnerabilidades podem ser encontrados em APIs, mas há três que são particularmente comuns:

1 – Falta de Autenticação e Autorização: esta vulnerabilidade de segurança permite acesso não autorizado a uma API. Isso pode ser explorado para obter acesso a dados confidenciais ou executar ações que o usuário autorizado não deveria ser capaz de fazer.

2 – Limitação de taxa insuficiente: esta vulnerabilidade de segurança permite que muitas solicitações sejam feitas para uma API em um determinado período. Isso pode ser explorado para realizar ataques de negação de serviço ou para sobrecarregar o servidor API.

3 – Comunicação Insegura: Esta é uma vulnerabilidade de segurança que permite que a comunicação entre o cliente API e o servidor seja interceptada. Isso pode ser explorado para escutar conversas ou para visualizar dados confidenciais.

Essas são apenas algumas das muitas vulnerabilidades de segurança que podem ser encontradas em APIs. É importante ter isso em mente quando desenvolver ou usar as APIs.

3 práticas recomendadas para evitar vulnerabilidades de API

Violações de API podem ser devastadoras para qualquer organização. Elas podem levar à perda de dados, danos à reputação e até responsabilidades legais. É por isso que é tão importante implementar medidas de segurança adequadas para evitá-las. Abaixo estão algumas medidas de segurança a serem lembradas para evitar vulnerabilidades de segurança.

1 – Implemente o monitoramento em tempo real

A implementação de um sistema de monitoramento em tempo real é a melhor maneira de proteger sua API contra violações. Ao identificar todos os possíveis pontos de entrada de dados e monitorar cada um deles, você pode detectar violações antes que elas aconteçam e evitar que causem qualquer dano.

2 – Realize verificações regulares de APIs

As varreduras de API são uma parte importante da análise de segurança abrangente. Elas podem ajudar a identificar vulnerabilidades que, de outra forma, poderiam passar despercebidas. As varreduras de API podem ser executadas manualmente ou usando ferramentas automatizadas. As ferramentas automatizadas podem fornecer uma cobertura mais abrangente e podem ser executadas com mais frequência.

3 – Nunca confie nos dados do usuário

Nunca confie nos dados do usuário. Isso é algo que todos os desenvolvedores devem ter em mente ao trabalhar com a entrada do usuário. Só porque um usuário insere algo em um campo de formulário ou caixa de texto não significa que seja preciso ou seguro. Sempre assume que os dados do usuário são maliciosos até que sejam verificados e, mesmo assim, tenha cuidado.

Melhores Práticas de Segurança para APIs

/em

A segurança da API nunca deve ser tomada como garantida. Com a crescente demanda por projetos centrados em dados, as empresas se abriram rapidamente para o seu ecossistema por meio de APIs SOAP ou REST.

As Interfaces de Programação de Aplicativos (ou APIs, para abreviar) são as portas para os dados bem guardados de uma empresa. Elas são extremamente úteis porque permitem que dois aplicativos diferentes se comuniquem.

Superficialmente, isso é ótimo porque torna a vida muito mais fácil para os desenvolvedores, mas, ao mesmo tempo, cria o seguinte desafio: como podemos manter as portas abertas para o ecossistema da API e fechadas para hackers ao mesmo tempo?

Existem maneiras de fazer isso e estratégias que você pode empregar para colher os benefícios que as APIs oferecem, mantendo todos os seus dados seguros. Então, vamos examinar algumas práticas recomendadas para a segurança das API. Aqui estão 12 dicas simples para evitar riscos de segurança e proteger as suas APIs.

1. Criptografia

Seja enigmático. Nada deve ficar claro para comunicações internas ou externas. A criptografia converterá suas informações em código. Isso tornará muito mais difícil que dados confidenciais acabem nas mãos erradas.

Você e seus parceiros devem codificar todas as trocas com TLS (o sucessor do SSL), seja criptografia unidirecional (TLS unidirecional padrão) ou, melhor ainda, criptografia mútua (TLS bidirecional).

Use as versões mais recentes do TLS para bloquear o uso dos conjuntos de cifras mais fracos.

2. Autenticação

Não fale com estranhos. Em termos simples, a autenticidade é real. Significa que algo (ou alguém) é quem diz ser. No mundo digital, a autenticação é o processo de verificação da identidade de um usuário. Ela essencialmente tira a máscara de qualquer pessoa que queira ver as suas informações.

Portanto, você sempre deve saber quem está chamando as suas APIs. Existem vários métodos para autenticar:

Autenticação básica HTTP, em que um usuário precisa fornecer ID de usuário e senha

Chave de API, em que um usuário precisa de um identificador exclusivo configurado para cada API e conhecido pelo API Gateway

Um token que é gerado por um servidor IdP (Provedor de Identidade). OAuth 2 é o protocolo mais popular que oferece suporte a esse método.

No mínimo você deve usar uma chave API (chave assimétrica) ou autenticação básica de acesso (usuário/senha) para aumentar a dificuldade para invadir o seu sistema. Mas você deve considerar o uso do OAuth 2 como seu protocolo de escolha para uma segurança robusta das suas APIs.

3. Conexão OAuth e OpenID

Delegue todas as responsabilidades. Um bom gerente delega responsabilidades e uma ótima API também. Você deve delegar autorização e/ou autenticação das suas APIs a provedores de identidade (IdP) terceirizados.

O que é OAuth 2? É um mecanismo mágico que evita que você tenha que se lembrar de dez mil senhas. Em vez de criar uma conta em cada site, você pode se conectar por meio das credenciais de outro provedor, por exemplo, Facebook ou Google.

Funciona da mesma forma para APIs: o provedor de API depende de um servidor terceirizado para gerenciar as autorizações. O consumidor não insere suas credenciais, mas fornece um token fornecido pelo servidor de terceiros. Ele protege o consumidor, pois ele não divulga suas credenciais, e o provedor da API não precisa se preocupar em proteger os dados de autorização, pois recebe apenas tokens.

OAuth é um protocolo de delegação comumente usado para transmitir autorizações. Para proteger ainda mais suas APIs e adicionar autenticação, você pode adicionar uma camada de identidade sobre ela: este é o padrão Open Id Connect, estendendo o OAuth 2.0 com tokens ID.

4. Chame especialistas em segurança

Não tenha medo de pedir (ou usar) alguma ajuda. Chame alguns especialistas em segurança. Use sistemas antivírus experientes ou servidores ICAP (Internet Content Adaptation Protocol) para ajudá-lo na verificação da carga útil das suas APIs. Isso o ajudará a evitar que qualquer código ou dados maliciosos afetem seus sistemas.

Existem várias APIs de segurança que você pode usar para proteger os seus dados. Elas podem fazer coisas como:

Integrar a autenticação de dois fatores

Criar login sem senha ou senhas únicas baseadas em tempo

Enviar alertas push se houver uma violação

Proteger contra vírus e malware

Evitar fraudes

Informar se uma senha é uma senha conhecida usada por hackers

Adicionar inteligência de ameaças

Fornecer monitoramento de segurança

A melhor parte é que alguns desses sistemas antivírus são gratuitos. Outros oferecem planos mensais. Os planos premium fornecem mais proteção, mas você pode decidir por si mesmo o tipo de segurança de que precisa.

5. Monitoramento: auditoria, log e versão

Seja um stalker. Monitorar continuamente sua API e o que ela faz pode compensar. Seja vigilante como aquele pai superprotetor que quer saber tudo sobre as pessoas ao redor de seu filho ou filha.

Como você faz isso? Você precisa estar pronto para solucionar problemas em caso de erro. Você precisará auditar e registrar informações relevantes no servidor — e manter esse histórico enquanto for razoável em termos de capacidade para seus servidores de produção.

Transforme seus logs em recursos para depuração em caso de incidentes. Manter um registro completo ajudará você a acompanhar e tornar qualquer coisa suspeita mais perceptível.

Além disso, painéis de monitoramento são ferramentas altamente recomendadas para rastrear o seu consumo de API.

Não se esqueça de adicionar a versão em todas as APIs, de preferência no caminho da API, para oferecer várias APIs de versões diferentes funcionando e para retirar e depreciar uma versão em detrimento da outra.

6. Compartilhe o mínimo possível

Seja paranoico. Tudo bem ser excessivamente cauteloso. Lembre-se, é vital proteger seus dados.

Exiba o mínimo de informações possível em suas respostas, especialmente em mensagens de erro. Bloqueie assuntos e conteúdo de e-mail para mensagens predefinidas que não podem ser personalizadas. Como os endereços IP podem fornecer locais, guarde-os para você.

Use IP Whitelist e IP Blacklist, se possível, para restringir o acesso aos seus recursos. Limite o número de administradores, separe o acesso em diferentes funções e oculte informações confidenciais em todas as suas interfaces.

7. Proteção do sistema com limitação e cotas

Acelere-se. Você deve restringir o acesso ao seu sistema a um número limitado de mensagens por segundo para proteger a largura de banda do seu sistema de back-end de acordo com a capacidade de seus servidores. Menos é mais.

Você também deve restringir o acesso pela API e pelo usuário (ou aplicativo) para garantir que ninguém irá abusar do sistema ou de qualquer API em particular.

Limites e cotas de estrangulamento – quando bem definidos – são cruciais para evitar que ataques vindos de diferentes fontes inundem seu sistema com várias solicitações (DDOS – Distributed Denial of Service Attack). Um DDOS pode bloquear usuários legítimos de seus próprios recursos de rede.

8. Validação de dados

Seja exigente e recuse presentes surpresa, especialmente se forem muito grandes. Você deve verificar tudo o que seu servidor aceita. Tenha cuidado para rejeitar qualquer conteúdo adicionado ou dados que sejam muito grandes e sempre verifique o conteúdo que os consumidores estão enviando para você. Use a validação de esquema JSON ou XML e verifique se seus parâmetros são o que deveriam ser (string, integer…) para evitar qualquer injeção SQL ou bomba XML.

9. Infraestrutura

Rede e estar atualizada. Uma boa API deve se apoiar em uma boa rede de segurança, infraestrutura e software atualizados (para servidores, balanceadores de carga), para ser sólida e sempre se beneficiar das últimas correções de segurança.

10. OWASP Top 10

Evite vespas. O Top 10 do OWASP (Open Web Application Security Project) é uma lista das dez piores vulnerabilidades, classificadas de acordo com sua capacidade de exploração e impacto. Além dos pontos acima, para revisar seu sistema, verifique se você protegeu todas as vulnerabilidades OWASP.

11. Firewall API

Construa uma parede. Para algumas pessoas, construir um muro pode resolver todos os problemas da imigração. Este é o caso, pelo menos para as APIs! Sua segurança de API deve ser organizada em duas camadas:

A primeira camada está na DMZ, com um firewall de API para executar mecanismos básicos de segurança, como verificação do tamanho da mensagem, injeções de SQL e qualquer segurança baseada na camada HTTP, bloqueando intrusos antecipadamente. Em seguida, encaminhe a mensagem para a segunda camada.

A segunda camada está em LAN com mecanismos avançados de segurança no conteúdo dos dados.

Quanto mais desafiador for para os invasores cibernéticos obterem suas informações, melhor.

12. API Gateway (Gerenciamento de API)

Porta de entrada para o céu. Todos os mecanismos acima são longos para implementar e manter. Em vez de reinventar a roda, você deve optar por uma solução de gerenciamento de API madura e de alto desempenho com todas essas opções para economizar seu dinheiro, tempo e recursos e aumentar seu tempo de lançamento no mercado. Um API Gateway ajudará você a proteger, controlar e monitorar seu tráfego.

Além de ajudá-lo a proteger facilmente suas APIs, uma solução de gerenciamento de API ajudará você a entender seus dados de API para tomar decisões técnicas e de negócios: a chave para o sucesso!

Agora você sabe mais sobre os mecanismos básicos para proteger suas APIs! Divirta-se protegendo-as, esperançosamente com uma ótima solução de gerenciamento de API.

Não subestime a segurança da API

É lamentável, mas as ameaças da Internet são abundantes e os hackers são implacáveis. Implementar um sólido plano de segurança de API é fundamental para proteger suas informações. Crucialmente, a prática final recomendada é incorporar a segurança da API na mentalidade geral e no processo de como as APIs são projetadas e desenvolvidas.

A Amplify API Management Platform da Axway torna mais fácil do que nunca proteger suas experiências digitais. Ela não apenas monitora e protege sua API, mas você também terá todas as informações necessárias em um só lugar. É visível e fácil de ler. Você nunca ficará vulnerável a ataques cibernéticos, permitindo que você se concentre no que precisa ser feito.

E se você combinar a tecnologia certa com um processo mais deliberado, incorporando segurança ao processo de design desde o início, poderá descobrir e lidar com as ameaças à segurança antes que elas surjam.

Por que a segurança aa API deve ser uma das principais preocupações

/em

Crescimento maciço da API
As APIs servem como blocos de construção de arquiteturas de aplicativos e design de sistemas modernos, e a maior parte do tráfego na Web hoje passa por elas. Um sistema geralmente requer uma API para acessar seus recursos. Quase todas as linhas de código usam uma chamada de API, que ajuda os programadores a criarem os seus produtos com base em esforços anteriores.

O uso de APIs pode acelerar e reduzir o custo do desenvolvimento de aplicativos, permitir flexibilidade, simplificar o design, a administração e o uso e permitir a inovação ao criar novas ferramentas e produtos ou gerenciar os atuais.

O uso generalizado de APIs tornou a segurança da API uma preocupação fundamental. O relatório do Gartner, “How to Build an Effective API Security Strategy”, afirma que “até 2022, os abusos de API serão o vetor de ataque mais frequente, resultando em violações de dados para aplicativos da web corporativos”. Para se proteger contra ataques de API, o Gartner recomenda a adoção de “uma abordagem contínua para a segurança da API em todo o ciclo de desenvolvimento e entrega da API, projetando a segurança [diretamente] nas APIs”.

Essas mudanças no cenário de segurança levaram recentemente a OWASP a lançar uma lista específica de API: as 10 principais vulnerabilidades de segurança de API do OWASP.

As 10 principais ameaças à segurança de API do OWASP

API1: Autorização Quebrada a Nível de Objeto

API6: Atribuição em Massa

API2: Autenticação Quebrada

API7: Configuração Incorreta de Segurança

API3: Exposição Excessiva de Dados

API8: Injeção

API4: Falta de Recurso e Limitação de Taxa

API9: Gestão Inadequada de Ativos

API5: Autenticação Quebrada a Nível de Função

API10: Registro e Monitoramento Insuficientes

Além do top 10 do OWASP, há outros problemas de segurança de API a serem monitorados:

Hackers que também são usuários
Usando regras sofisticadas de controle de acesso, um hacker pode ser um insider ou pode ter usado um endereço de e-mail falso ou uma conta de mídia social para se inscrever no aplicativo.

Contas e credenciais válidas
O preenchimento de credenciais e as compras na dark web são duas das muitas maneiras pelas quais os invasores podem obter credenciais válidas. Os hackers podem assumir o controle de contas legítimas ignorando a primeira camada de regras de controle de acesso porque sabem que os usuários reutilizam senhas.

Tokens roubados
Phishing, olhar para repositórios públicos no GitHub e outros métodos podem levar à perda de um token OAuth. Como a maioria das confirmações de token são tokens de portador leves, um token vazado pode ser usado por qualquer pessoa em qualquer lugar até que expire.

Cenários fora do aplicativo
Os hackers tentam encontrar vulnerabilidades de API ocultas ignorando o aplicativo pelo lado do cliente. Os próprios provedores de API geralmente desconhecem essas vulnerabilidades.

Embora as empresas possam mitigar essas ameaças adicionais à segurança da API, reforçando os procedimentos de segurança, os riscos permanecem.

Ferramentas antigas não irão protegê-lo

Muitas empresas ainda usam ferramentas de segurança antigas, como gateways de API e Web Application Firewalls (WAFs), além de outros métodos tradicionais de proteção. No entanto, à medida que as ameaças se tornam mais complicadas e sofisticadas, as ferramentas padrão ignoram completamente os ataques direcionados às APIs.

Aqui estão alguns exemplos:

Gateways de API: as ferramentas de gerenciamento de API coletam todas as solicitações do usuário e as transformam em uma. Elas se tornam o ponto de entrada para cada nova solicitação executada pelo aplicativo. No entanto, eles protegem apenas as APIs conhecidas por essa ferramenta, enquanto muitas funcionam fora desses gateways.

WAF: Muitas soluções nesta categoria dependem exclusivamente de métodos tradicionais de segurança de aplicativos. Nesta categoria, as assinaturas são usadas para procurar padrões de ataque conhecidos, mas as assinaturas são ineficazes, pois cada API é diferente e possui seu próprio conjunto de vulnerabilidades. Essas soluções baseadas em proxy carecem da arquitetura necessária para compreender o contexto da API e, como resultado, são incapazes de entender a lógica exclusiva ou identificar invasores visando vulnerabilidades específicas.

Ataques de API acontecem com os melhores de nós
Aqui estão alguns exemplos de ataques de API famosos:

USPS (2018): dados de 60 milhões de usuários expostos
A API de visibilidade de informações da empresa, mapeada para seu site online, suportava solicitações não autenticadas para rastreamento de dados

Facebook (2018): dados pessoais de 87 milhões de usuários coletados
A Graph API do desenvolvedor da empresa suportava consultas em alguns membros sem consentimento e limites de taxa.

Venmo (2018 e 2019): detalhes de 207 milhões e 7 milhões de transações de pagamento “raspados”
A API do desenvolvedor da empresa suportava solicitações não autenticadas para download de detalhes da transação com limites de taxa ineficazes ao longo do tempo.

Equifax (2017): informações confidenciais sobre 148 milhões de cidadãos americanos comprometidas
Houve duas comunicações críticas baseadas em HTTP durante a cadeia de eliminação deste ataque cibernético:

Exploração inicial por meio de uma solicitação HTTP manipulada

Exfiltração com um alto volume acumulado de cargas úteis de resposta HTTP

Capital One (2019): informações confidenciais sobre 100 e 6 milhões de cidadãos americanos e canadenses, respectivamente, foram comprometidas. Dois conjuntos críticos de chamadas de API da AWS criaram esta violação:

  • Solicitações forjadas (por SSRF) para um endpoint de metadados para obter credenciais temporárias
  • Uma solicitação de sincronização para o armazenamento S3 para baixar todos os dados na máquina de ataque local

Mesmo as empresas mais sofisticadas podem sofrer com vulnerabilidades de API, resultando em milhões de violações de dados de usuários. No entanto, elas também poderiam ter evitado esse dano com uma solução de segurança de API adequada.

O que você pode fazer
Com o uso massivo e crescente de APIs na Internet, não é de admirar que a segurança da API esteja se tornando uma preocupação significativa para todas as organizações. As ferramentas tradicionais não são mais adequadas, e uma solução específica para APIs agora é obrigatória para qualquer organização.

Precisa proteger suas APIs? Conheça nossos recursos!

O que é Pentest?

/em

Um teste de penetração, também chamado de pentest ou hacking ético, é uma técnica de segurança cibernética que as organizações usam para identificar, testar e destacar vulnerabilidades em sua postura de segurança. Esses testes de penetração geralmente são realizados por hackers éticos. Esses funcionários internos ou terceirizados imitam as estratégias e ações de um invasor para avaliar a hackabilidade dos sistemas de computador, rede ou aplicativos da Web de uma organização. As organizações também podem usar testes de penetração para avaliar sua adesão aos regulamentos de conformidade.

O teste de penetração é considerado uma medida proativa de segurança cibernética porque envolve melhorias consistentes e autoiniciadas com base nos relatórios gerados pelo teste. Isso difere das abordagens não proativas, que não corrigem as fraquezas à medida que surgem. Uma abordagem não proativa para segurança cibernética, por exemplo, envolveria uma empresa atualizando o seu firewall após a ocorrência de uma violação de dados. O objetivo das medidas proativas, como o teste de penetração, é minimizar o número de atualizações retroativas e maximizar a segurança de uma organização.

Quais são os tipos de pentest?

Existem três estratégias principais de teste de penetração, cada uma oferecendo um certo nível de informação necessária para quem está conduzindo o teste realizar seu ataque.

White box – O teste fornece aos testadores todos os detalhes sobre o sistema de uma organização ou rede de destino e verifica o código e a estrutura interna do produto que está sendo testado. Esse teste também é conhecido como caixa-branca, vidro aberto (open glass), teste transparente (transparente test), ou teste baseado em código (code-based testing).

Black box – O teste é um tipo de teste comportamental e funcional em que os testadores não recebem nenhum conhecimento do sistema. As organizações normalmente contratam hackers éticos para testes de caixa preta (Black box), onde um ataque do mundo real é realizado para ter uma ideia das vulnerabilidades do sistema.

Gray box – O teste é uma combinação de técnicas dos testes de caixa branca e caixa preta. Ele fornece aos testadores conhecimento parcial do sistema, como credenciais de baixo nível, fluxogramas lógicos e mapas de rede. A ideia principal por trás do teste de caixa cinza (gray box) é encontrar possíveis problemas de código e funcionalidade.

Quais são as etapas do pentest?

O pentest pode ser dividido em seis etapas:

  1. Reconhecimento e planejamento. Os testadores coletam todas as informações relacionadas ao sistema de destino de fontes públicas e privadas. As fontes podem incluir pesquisas anônimas, engenharia social, recuperação de informações de registro de domínio e rede não intrusiva e verificação de vulnerabilidades. A informação é vital para os testadores, pois fornece pistas sobre a superfície de ataque do sistema alvo e vulnerabilidades abertas, como componentes de rede, detalhes do sistema operacional, portas abertas e pontos de acesso.
  2. Varredura. Com base nos resultados da fase inicial, os testadores podem usar várias ferramentas de varredura para explorar ainda mais o sistema e seus pontos fracos. Ferramentas de pentest – incluindo dialers de guerra, scanners de porta, scanners de vulnerabilidade de segurança e mapeadores de rede – são usadas para detectar o máximo possível de vulnerabilidades e brechas. As vulnerabilidades são selecionadas para exploração.
  3. Obtenção de entrada. Durante esta fase, os testadores exploram as vulnerabilidades avaliadas na fase anterior, fazendo uma conexão com o alvo. Os testadores conduzem ataques comuns de segurança de aplicativos da web – incluindo um ataque de negação de serviço (DoS), injeções de SQL e backdoors, ataques de sessão hijacking e cross-site scripting – para expor as vulnerabilidades do sistema, que são então exploradas por meio de escalonamento de privilégios, interceptação de tráfego ou técnicas de roubo de dados.
  4. Manutenção do acesso. Este estágio garante que os testadores de penetração permaneçam conectados ao alvo pelo maior tempo possível e explorem as vulnerabilidades para infiltração máxima de dados. Este estágio imita uma ameaça persistente avançada, que pode permanecer ativa em um sistema por períodos prolongados para roubar dados confidenciais e causar mais danos.
  5. Análise. Os testadores analisam os resultados obtidos no teste de penetração e os compilam em um relatório. O relatório detalha cada etapa realizada durante o processo de teste, incluindo o seguinte: • as vulnerabilidades que os testadores exploraram;
    • os tipos de dados confidenciais que os testadores acessaram; e
    • a quantidade de tempo que os testadores permaneceram conectados ao alvo.
  6. Limpeza e correção. Após a conclusão do teste, os testadores devem remover todos os vestígios de ferramentas e processos usados ​​durante os estágios anteriores para evitar que um agente de ameaça do mundo real os use como âncora para infiltração no sistema. Durante esse estágio, as organizações devem começar a corrigir quaisquer problemas encontrados em seus controles de segurança e infraestrutura.
Quer fazer um Pentest em sua aplicação? Conheça os serviços da GoCache

Políticas de confiança zero para APIs

/em

Visão Geral
“Zero Trust” é uma estrutura para proteger a infraestrutura e os dados. É a única abordagem desse tipo projetada para atender às preocupações corporativas atuais, como trabalho remoto, configurações de nuvem híbrida, ransomware e ataques de API. Muitos fornecedores tentaram definir o Zero Trust em seus próprios termos. Além disso, uma variedade de padrões de organizações respeitáveis pode ajudá-lo a alinhar o Zero Trust com o seu próprio negócio. Aqui está o que você precisa saber para começar.

A abordagem Zero Trust serve em parte para lidar com as mudanças contínuas trazidas pela metodologia Agile. Essa metodologia, a abordagem atual mais comum no mundo da tecnologia, tenta entregar o melhor produto por meio de pequenas equipes internas multifuncionais. Essas equipes fornecem regularmente pequenas peças de funcionalidade, permitindo a entrada frequente do cliente e a correção de curso. Para o desenvolvimento de APIs, a Agile vincula mudanças e atualizações constantes no software, código e arquitetura de software do produto. Cada atualização pode introduzir novos riscos de segurança.

Uma Política de confiança zero
Zero Trust é um conceito de segurança baseado na premissa de que as organizações não devem confiar em nada dentro ou fora de seus perímetros e devem verificar qualquer tentativa de conexão com seus sistemas antes de fornecer acesso. A arquitetura Zero Trust baseia-se no princípio de que nada pode ser confiável, incluindo qualquer dispositivo, usuário ou programa que tente interagir com a sua arquitetura. Sua configuração padrão é considerar tudo como uma ameaça potencial a ser verificada.

Porque a sua API deve seguir a Política de confiança zero
Existem razões convincentes para adotar uma política de confiança zero. Os programas de software se comunicam entre si usando APIs. Eles são o núcleo dos padrões de software modernos, como arquiteturas de microsserviços. Como resultado, o uso da API explodiu nos últimos anos.

Em um aplicativo, o lado do cliente (por exemplo, um aplicativo móvel ou da Web) interage com o lado do servidor por meio de uma API, seja para consumidores, funcionários, parceiros ou cenários máquina a máquina. As APIs simplificam, para um desenvolvedor, projetar um aplicativo do lado do cliente, aproveitando os microsserviços.

As APIs mudam regularmente – em semanas, dias ou até horas – graças às abordagens de desenvolvimento Agile. O teste de segurança durante o processo de compilação nunca é suficiente para capturar todas as lacunas e vulnerabilidades de codificação no ritmo de desenvolvimento atual. Além disso, as APIs geralmente são amplamente documentadas ou facilmente submetidas a engenharia reversa porque geralmente estão disponíveis em redes públicas, permitindo o acesso de qualquer pessoa. Por serem amplamente utilizadas e por permitirem o acesso às funções e dados essenciais de software, elas se tornaram o principal alvo dos hackers.

Os programas de software modernos são vulneráveis a vários perigos, por isso é aconselhável manter-se atualizado sobre as últimas explorações e falhas de segurança. Os benchmarks para tais defeitos são críticos para garantir a segurança do aplicativo antes que um ataque se torne agudo. Além disso, o Open Web Application Security Project (OWASP) é uma organização sem fins lucrativos respeitável, que publica avaliações de segurança de software. Ela lista as 10 principais vulnerabilidades de API que os invasores podem usar para prejudicar qualquer organização, extrair dados PII (informações de identificação pessoal) ou até mesmo derrubar um sistema em grande escala.