Schwachstelle API-Sicherheit APIs als größte Angriffsfläche und wie Unternehmen darauf reagieren müssen

Anbieter zum Thema

F5 Networks GmbH

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FAST LTA GmbH

APIs sind unverzichtbar für moderne Anwendungen und zugleich zur größten Angriffsfläche im Internet geworden. KI-Integration, fehlende Transparenz und komplexe Hybrid-Clouds erhöhen das Risiko. So machen Unternehmen ihre Schnittstellen und Anwendungen resilient.

Ohne spezielle Schutzmaßnahmen können APIs zur größten Angriffsfläche im Internet werden – verschärft durch die aktuellen Entwicklungen im Bereich KI. Denn immer mehr Unternehmen binden KI-Dienste wie OpenAI, Gemini oder Watson in ihre Anwendungen ein und öffnen damit ungewollt neue Einfallstore für Angreifer.

Cyber-Sicherheit ist eine komplexe Herausforderung für Unternehmen. Häufig tendieren sie dazu, bestimmte Bereiche besonders gut zu schützen, die gerade viel Aufmerksamkeit erhalten. Dafür vernachlässigen sie den Schutz in anderen Bereichen. Ein Beispiel ist die Abwehr von DDoS-Attacken. Da diese Angriffsmethode durch lahmgelegte Webseiten immer wieder für Schlagzeilen sorgt, haben viele Unternehmen mit dem DDoS-Schutz ihres Netzwerk-Layers reagiert. Allerdings bleibt die Anwendungsebene meist ungeschützt. Doch auch hier initiieren Cyberkriminelle DDoS-Angriffe, um verschiedene Komponenten einer Anwendung zu überlasten.

API-Schwachstellen

3 API-Sicherheitsrisiken, die jeder Entwickler kennen muss

API-Erkennung und Sicherheit

Eine umfassende Absicherung von Anwendungen erfordert neben Überlastungs- und Zugriffsschutz aber auch den Schutz von APIs. Denn diese Schnittstellen bilden für Microservices-basierte moderne Anwendungen die Basis zur Kommunikation und Zusammenarbeit. Zusätzlich dienen sie dazu, KI-Modelle zu trainieren und zu verwenden.

Cyberkriminelle nutzen APIs, um darüber Daten zu stehlen oder KI-Modelle zu manipulieren. Diese Erkenntnis setzt sich auch in Unternehmen zunehmend durch: Viele Verantwortliche erkennen inzwischen, dass sie keine gute Übersicht über ihre APIs besitzen. Transparenz in diesem Bereich ist der erste wichtige Schritt hin zu mehr API Security. Denn nur was bekannt ist, lässt sich auch schützen.

Der zweite Schritt liegt in einer engeren Zusammenarbeit zwischen Entwicklungsteams und den Besitzern von APIs und Anwendungen. Dies erfordert Daten, die zeigen, dass es Probleme bei Sicherheit und Inventarisierung sowie im Verständnis der Infrastruktur gibt. Das bildet die Grundlage für gemeinsame Prozesse, um Sicherheit viel früher im Lebenszyklus der Softwareentwicklung einzubauen.

Eine weitere wichtige Anforderung ist der Laufzeit-Schutz. Dieser muss in Echtzeit und inline gewährleistet sein. Zum Beispiel ermöglichen es Sensoren, dass ein laufendes Programm kontinuierlich analysiert wird, um Schwachstellen im Code zu erkennen und zu melden. RASP (Runtime Application Self-Protection) kann sogar in den Programmablauf eingreifen, um Exploits solcher Schwachstellen zu verhindern.

Nicht zuletzt ist auch für KI-Sicherheit zu sorgen. Nicht zuletzt ist auch für KI-Sicherheit zu sorgen. KI-Anwendungen basieren häufig auf APIs. Deshalb reichen klassische Schutzmaßnahmen für Anwendungen und APIs allein nicht aus. Ergänzend ist eine eigene Sicherheitsschicht für KI-Systeme erforderlich. Investitionen in diesem Bereich sollten sich am tatsächlichen Risiko und der konkreten Bedrohungslage orientieren – nicht an der öffentlichen Aufmerksamkeit für das Thema. Denn die darf nicht auf Kosten bewährter Best Practices gehen.

Akamai untersucht den Stand des API-Schutzes

Studie belegt: API-Sicherheitsvorfälle auf Rekordhoch

Automatisierte Angriffe

Aufgrund zunehmender Automatisierung und KI-Unterstützung steigt jedoch die Gefahr durch intelligente Bot-Angriffe. Daher reichen die bisher installierten Schutzmaßnahmen in der Regel nicht aus. Sie müssen hochskaliert und an aktuelle Angriffsmethoden angepasst werden.

Sonst merken Unternehmen gar nicht, dass sie von Bots angegriffen werden. Sie spüren zwar die Symptome wie Betrug, geringere Performance ihrer Anwendungen oder gar Abbrüche, aber können die Ursache nicht erkennen. Daher benötigen sie entsprechende Schutzmechanismen, um diese automatisierten Angriffe auf ihre Anwendungen und APIs zu blockieren. Dafür ist eine starke Sicherheitsbasis erforderlich, die für die Zukunft auch mit Post-Quanten-Kryptographie abgesichert sein muss.

Komplexität ist der Feind der Sicherheit

CISOs sollten hier eine Gesamtstrategie für die Anwendungssicherheit verfolgen. Oberstes Ziel ist es, Sicherheitsrisiken wie Schwachstellen und Bedrohungen frühzeitig im Software-Lebenszyklus zu erkennen und wirksam zu adressieren. Dazu zählen auch Laufzeitschutz, Inventarisierung und Transparenz. Dafür ist mit einem breiten Ansatz umfassender Schutz zu bieten. Dieser besteht aus präventiver Abwehr, der Erkennung von Gefahren und die angemessene Reaktion darauf sowie der Untersuchung und Analyse der Angriffe. Unternehmen müssen ihre Fähigkeiten dazu realistisch ermitteln und kontinuierlich verbessern.

API-Security

API-Wirrwarr birgt gefährliche Risiken

Dabei sollten sie die fünf grundlegenden Schritte für die Reaktion auf Angriffe berücksichtigen: identifizieren, schützen, erkennen, reagieren und wiederherstellen. Für jeden dieser Schritte gibt es wiederum eine Reihe von notwendigen Maßnahmen, um sicherzustellen, dass ein Unternehmen auf einen Sicherheitsvorfall vorbereitet ist.

Verwaltung von Richtlinien in vielen Umgebungen

Eine große Herausforderung ist dabei der umfassende Anwendungsschutz in der Cloud, insbesondere der Hybrid-Cloud. Durch die Migration sind viele Analyse- und Reaktionsmöglichkeiten auf Basis von Telemetrie-Daten in der lokalen Umgebung verloren gegangen. Aber auch in der Cloud benötigen Unternehmen für einen aktiven Schutz alle Komponenten der fünf grundlegenden Schritte sowie die entsprechende Richtlinien-Implementierung und -Durchsetzung.

Wer in der Cloud aber keine Visibilität seiner APIs besitzt, kann auch keine Richtlinien durchsetzen. So benötigen Unternehmen Lösungen, die Visibilität in hybriden Umgebungen bieten. Dies gelingt nur mit einer verteilten Lösung, die in allen Umgebungen funktioniert. Dann können Unternehmen auch Anwendungen flexibel zwischen verschiedenen Cloud-Umgebungen und on-Premises migrieren, ohne den Schutz zu gefährden.

Sicherheitsrisiken von Apps und APIs

Immer mehr Webangriffe zielen auf APIs

Konsolidierung von Anbietern

Allerdings erhöht sich die Komplexität des Managements in der Regel, je mehr Umgebungen genutzt werden. So verwenden laut einer aktuellen Studie Security-Teams im Durchschnitt 17 verschiedene Konsolen, um Daten, Warnmeldungen und Vorfälle in unterschiedlichen Umgebungen zu kontrollieren. Diese Komplexität führt häufig zu einer Überlastung der Teams und dazu, dass kritische Events übersehen werden.

Entsprechend sollten Unternehmen die Anzahl der genutzten Tools auf weniger Anbieter reduzieren. Zur Konsolidierung stehen Lösungen zur Verfügung, die zumindest in Teilbereichen eine einheitliche Sicht ermöglichen. So kann zum Beispiel F5 mit einer Konsole Transparenz über die Sicherheit von Anwendungen in allen Umgebungen bieten und damit mehrere Einzellösungen ersetzen.

Eine solche Konsolidierung erleichtert nicht nur die täglichen Arbeitsprozesse, sondern auch das Training für die Mitarbeitenden, die nicht mehr verschiedene Konsolen bedienen müssen. Sie führt zu effizienteren Prozessen, besserer Übersicht und einheitlichen Sicherheitsrichtlinien. Durch die reduzierte Komplexität erhöht sich wiederum die Sicherheit für das Unternehmen.

Effektive API-Security

API-Sicherheit erfordert einen strategischen Ansatz

Umfassender API-Schutz

Zum Schutz von APIs sind somit Transparenz, Sicherheit und Governance frühzeitig in den Entwicklungsprozess und über den gesamten Lebenszyklus hinweg zu integrieren. Dazu gehören erlaubte Nutzungsmuster, Datenbereinigung und Ratenbegrenzungen.

Gleichzeitig sollten Unternehmen umfassende und anpassungsfähige Lösungen für den API-Schutz einsetzen, um schnell auf neue Gefahren zu reagieren. Da immer mehr APIs mit externen Diensten vernetzt sind, haben Sicherheitsmaßnahmen neben eingehenden auch den ausgehenden API-Verkehr zu kontrollieren.

Nur mit einem solchen umfassenden Ansatz für den API-Schutz in allen Umgebungen lassen sich Anwendungen ausreichend absichern. Denn eines sollte Unternehmen immer bewusst sein: Angreifer suchen sich meist das schwächste Glied in der Sicherheitsarchitektur aus, um darüber in die Systeme einzudringen. Daher müssen alle Schwachstellen behoben werden – vom Netzwerk über Anwendungen bis zu den APIs.

Dieser Beitrag basiert auf einem Gespräch mit Josh Goldfarb, Field CISO bei F5.

Schachmatt für Cyberangriffe

Warum WAAP das Sicherheitsspiel verändert

(ID:50548787)