Das müssen CISOs jetzt beachten 4 große Herausforderungen der API-Sicherheit

In den letzten Jahren nahm die API-Nutzung explosionsartig zu, da API-bezogene Lösungen nahtlose Konnektivität und Interoperabilität zwischen Systemen ermöglichen. Von einem leichteren Datenaustausch bis hin zu plattformübergreifenden Funktionen erzielen Unternehmen mit einem API-first-Ansatz bessere finanzielle Ergebnisse.

APIs tragen zur Umsatzgenerierung bei. Das sagen 66 Prozent der Teilnehmer beim Postman's 2023 State of the API Report. Von diesen benennen 43 Prozent sogar, dass APIs mehr als ein Viertel des Gesamtumsatzes ihres Unternehmens ausmachen. Darüber hinaus hat der Aufstieg der API-Wirtschaft Unternehmen dazu veranlasst, ihre Dienste zu öffnen, die Zusammenarbeit zu fördern und die Schaffung neuer Produkte und Dienstleistungen durch die Integration von Drittanbietern zu ermöglichen.

Mit der zunehmenden Beliebtheit von APIs sind auch die Sicherheitsrisiken gestiegen, die sie für Unternehmen darstellen. Eine kürzlich durchgeführte ESG-Umfrage zur API-Sicherheit ergab, dass 92 Prozent der teilnehmenden Unternehmen, die APIs nutzen, in den letzten 12 Monaten einen Sicherheitsverstoß erlitten haben. APIs enthalten wertvolle Daten wie persönliche Benutzerdaten, finanzielle Details oder geschäftskritische Informationen. In Sektoren wie den Finanzdienstleistungen können APIs ausgenutzt werden, um Finanztransaktionen zu manipulieren oder Anmeldeinformationen zu stehlen, um direkten finanziellen Gewinn zu erzielen. Was API-Angriffe zunehmend besorgniserregend macht, ist die niedrige Einstiegshürde. APIs haben eine öffentlich zugängliche Dokumentation. Die Ausnutzung von Schwachstellen ist für Hacker einfach. Sie können sich leicht unbefugten Zugang zur Manipulation von Endgeräten verschaffen, potenziellen Datenverletzungen herbeiführen und die Kontrolle von Systemen übernehmen.

Wer ist zuständig?

Es ist verwunderlich, dass APIs in vielen Unternehmen nach wie vor eine unzureichend geschützte Angriffsfläche darstellen. Schuld daran ist, dass die API-Sicherheit ins Niemandsland fällt, sprich die Verantwortlichkeiten nicht klar definiert sind. API-Sicherheit ist in der Regel die Aufgabe von Sicherheitsteams. Aber die APIs selbst werden von Produktteams entwickelt, die der Geschwindigkeit und Markteinführung Priorität einräumen. Daher sind die Sicherheitsteams darauf angewiesen, dass die Entwickler die Probleme während der Entwicklung der Produkte angehen.

Diese Achillesferse könnte im Jahr 2024 von bösartigen Akteuren verstärkt ausgenutzt werden. Es ist daher entscheidend, wie gut CISOs und ihre Teams das hohe Risiko verstehen, welches unzureichend geschützte APIs für das Unternehmen bedeuten, wenn sie eine API-Sicherheitsstrategie für die nächsten 12 Monate entwickeln. Es liegt an den CISOs, Initiativen zwischen Sicherheits- und Produktteams voranzutreiben, um die Transparenz von APIs zu gewährleisten und Strategien zur Eindämmung potenzieller Bedrohungen zu entwickeln.

Die vier die größten Herausforderungen 2024 und wie CISCOs ihnen begegnen können

Es zeigt sich bereits ein Wandel. Unternehmen werden sich der dringenden Notwendigkeit von API-Sicherheit bewusst, und CISOs spielen eine wichtige Rolle bei der richtigen Absicherung der Unternehmensumgebung.

1. Authentifizierte Angriffe

Der Schutz vor API-Bedrohungen stellt eine große Herausforderung dar, auf die sich CISOs einstellen sollten, da herkömmliche, Perimeter-basierte Lösungen bei der Erkennung solcher Bedrohungen unwirksam sind.

Hacker finden neue innovative Wege, um einen authentifizierten Benutzerzugang zu erhalten. Kostengünstige APIs sind auch von ihnen leicht zu erwerben und sie können sich als Kunden oder Partner ausgeben. Aber auch höhere Kosten schrecken viele Hacker nicht mehr ab. Cyberkriminelle, die von Staaten unterstützt werden und damit mehr Zugang zu finanziellen Mitteln und Ressourcen haben, sind auf dem Vormarsch. Einmal als Kunde akzeptiert, nutzen Hacker ihren autorisierten Zugang bewusst aus, um sensible Daten zu stehlen, API-Endpunkte zu manipulieren oder unbefugte Aktionen durchzuführen, was zu Datenschutzverletzungen, Serviceunterbrechungen oder Kompromittierung von Systemen führt.

Da WAFs (Web Application Firewall) nur HTTP-Anfragen überwachen, bieten neue Perimeter-basierte API-Sicherheitslösungen, die Benutzeranfragen und nicht Antworten verfolgen, keine vollständige Transparenz des API-Datenverkehrs. Die Aktionen von böswilligen Kunden oder Partnern erscheinen legitim, da sie von authentifizierten Benutzern stammen. Die Sicherung von APIs in einer modernen Bedrohungslandschaft erfordert einen Ansatz zur Erkennung von Bedrohungen und zur Reaktion auf Vorfälle (TDIR), der den Schutz innerhalb des Perimeters priorisiert, um sicherzustellen, dass selbst wenn böswillige Akteure Zugang erhalten, die Bedrohung schnell erkannt und die Berechtigungen entzogen werden.

CISOs müssen sicherstellen, dass ihre API-Sicherheitsstrategie einen mehrschichtigen Ansatz verfolgt, der den Schutz des Perimeters durch Sicherheit auf Anwendungsebene ergänzt. Die genauen und vollständigen Informationen über Anfrage- und Antwortdaten von APIs sind notwendig, um unbekannte Angriffe zu isolieren, da Hacker Wege finden, um von herkömmlichen Lösungen unentdeckt zu bleiben.

2. Akzeptanz durch die Geschäftsleitung

Der Markt für API-Sicherheit steckt noch in den Kinderschuhen. Die Bedrohung durch API-Angriffe ist in den letzten Jahren stetig gestiegen, was zeigt, dass eine erhebliche Bildungslücke in Sachen API-Sicherheit besteht. Die Wahrheit ist, dass die meisten Unternehmen keinen vollständigen Einblick in ihre API-Umgebung oder ihre API-Risiken haben. Die API-Bestände ändern sich außergewöhnlich schnell, was die Verfolgung von Änderungen und Risiken erschwert.

Die stetig steigenden Zahlen von API-Angriffen und daraus resultierenden Millardenschäden verdeutlichen, wie wichtig es ist, dass Budgetverantwortliche und anderen Mitgliedern der Führungsebene mehr in API-Sicherheit und entsprechende Lösungen investieren. CISOs brauchen diese Unterstützung, um den Herausforderungen im Schutz von APIs vor Angreifern effektiv begegnen zu können.

Es braucht eine umfassende Transparenz innerhalb der API-Umgebung, um das Ausmaß der API-Belastung in Echtzeit zu erkennen. Diese Transparenz ist entscheidend, um die Sicherheitsziele mit den Geschäftszielen in Einklang zu bringen.

Indem sie einen allumfassenden Überblick über alle APIs in Echtzeit haben, können CISOs die potenziellen Geschäftsrisiken, die mit unsicheren APIs verbunden sind, genau messen. Ein API-Angriff kann sich erheblich auf die finanzielle Gesundheit eines Unternehmens auswirken, den Ruf schädigen und zu Umsatzeinbußen aufgrund unterbrochener Dienste oder der Notwendigkeit, für die Wiederherstellung des Datenzugriffs zu zahlen, führen. Dank der Echtzeit-Transparenz von APIs können CISOs die Risiken quantifizieren und Sicherheitsmaßnahmen effektiv planen, da sie die direkten Auswirkungen auf das Endergebnis des Unternehmens verstehen.

3. Vorschriften einhalten mit dem richtigen Sicherheitstool

Die Datenschutz-Grundverordnung (DSGVO), der Payment Card Industry Data Security Standard (PCI-DSS) und der Health Insurance Portability and Accountability Act (HIPAA) sind nur einige der Vorschriften, die Unternehmen einhalten müssen, um zu verhindern, dass personenbezogene Daten über APIs offengelegt werden. Da Unternehmen international tätig sind, müssen sie sicherstellen, dass ihre API-Sicherheit den verschiedenen regionalen gesetzlichen Rahmenbedingungen entspricht.

Bei APIs sind die Risiken für Dritte aufgrund der sensiblen Informationen, die APIs verarbeiten, besonders hoch. SaaS-Sicherheitslösungen erfordern einen langwierigen und komplizierten Prozess, um konform zu sein, da die Daten gefiltert, redigiert und anonymisiert werden müssen, bevor sie in eine Cloud-Umgebung hochgeladen werden können. Organisationen in Sektoren wie den Finanzdienstleistungen oder dem Gesundheitswesen sind besonders vorsichtig, wenn es darum geht, Daten mit Dritten zu teilen.

Die Zahl der API-Endpunkte nimmt jedoch in einem nie dagewesenen Ausmaß zu, und herkömmliche On-Premise-Lösungen haben nicht die Kapazität, eine so große Datenmenge zu verarbeiten. Die Herausforderung für CISOs besteht darin, Sicherheitstools zu finden, die die Einhaltung von Vorschriften nicht zu einem Hindernis für Effizienz und Betrieb machen.

Eine Möglichkeit ist, On-Premise-Tools zu bevorzugen, bei denen die Daten nicht erst verarbeitet werden müssen, bevor sie analysiert werden. Diese Tools sind innerhalb weniger Tage einsatzbereit, da nicht sichergestellt werden muss, dass die Datenverarbeitung den Risikoanforderungen Dritter entspricht.

4. Proaktiver Ansatz als zentraler Bestandteil der API-Sicherheit

Angesichts der Bedrohung durch KI-gestützte (Künstliche Intelligenz) Angriffe und der zunehmenden Raffinesse von Hackern ist die proaktive Bedrohungsjagd zum zentralen Bestandteil aller TDIR-Strategien geworden. CISOs müssen ihre TDIR-Strategien überdenken, um Echtzeit-Scans des API-Verkehrs einzubeziehen und eine frühzeitige Erkennung von API-Bedrohungen sicherzustellen. Es reicht nicht mehr aus, sich auf Leitfäden wie die „OWASP Top 10 API Security Risks“ zu verlassen, da Angreifer bekannte Bedrohungserkennung leicht umgehen können. CISOs sollten ihre API-Sicherheitsstrategien auf der vollständigen Beobachtbarkeit des API-Datenverkehrs aufbauen. Ein proaktiver Ansatz für APIs stellt sicher, dass selbst ausgefeilte oder Insider-Bedrohungen als bösartiger Datenverkehr erkannt und gestoppt werden, bevor sie das Anwendungsverhalten stören können.

Umdenken in 2024

In der sich entwickelnden Landschaft der API-Sicherheit im Jahr 2024 stehen CISOs vor einer Vielzahl von Herausforderungen. Das exponentielle Wachstum von APIs bringt finanzielle Vorteile, erhöht aber auch die Sicherheitsrisiken, insbesondere im Hinblick auf Insider-Bedrohungen und sich entwickelnde Angriffsmethoden. Die Bewältigung dieser Herausforderungen erfordert einen mehrschichtigen Sicherheitsansatz, Verteidigungsmaßnahmen innerhalb der Grenzen und proaktive Strategien, um potenzielle Verstöße zu erkennen und schnell darauf zu reagieren. Die Zustimmung der Unternehmensleitung, die Einhaltung von Compliance-Standards und die Vereinbarkeit von Sicherheit und betrieblicher Effizienz sind entscheidende Hürden. Die Priorisierung von Echtzeit-API-Transparenz und der Einsatz proaktiver Maßnahmen gegen sich entwickelnde Bedrohungen werden für CISOs bei der Stärkung der API-Sicherheit und dem Schutz der organisatorischen Integrität in den kommenden Jahren von höchster Priorität sein.

Über den Autor: Andy Grolnick ist CEO vom Security-Anbieter Graylog.

(ID:49930715)