Policies für API-Cybersecurity Drei Maßnahmen für mehr API-Sicherheit

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Specops Software GmbH

Ob IoT oder hybrides Arbeiten: Die digitale Transformation in Deutschland schreitet zügig voran. Hochwertige Daten sind das Fundament dieser für Innovation notwendigen Entwicklung. Insbesondere sichere API-Schnittstellen sind dafür unerlässlich – und ausgerechnet sie ein beliebtes Ziel für Cyberattacken.

Das Gelingen der digitalen Transformation hängt von vielen Faktoren ab. Einer davon betrifft den Datentransfer zwischen Systemen. Durch einen flüssigen Informationsaustausch können Unternehmen ihre Prozesse und Dienstleistungen optimieren, neue Businessmodelle entwickeln und dadurch weiteres Wertschöpfungspotenzial erschließen. Hier kommen APIs, also Application Programming Interfaces (Anwendungsprogrammierschnittstellen), ins Spiel. Sie dienen dabei als wichtige Zugangsmöglichkeiten, die Unternehmen mit Kunden, Auftragnehmern und Mitarbeitern verbinden. Ob nun für Social-Media-Dienste, Kartenfunktionen oder Datenfunktionen: Letztlich ist dabei stets das Ziel, den Informationsaustausch aus Anwender- wie auch Entwicklersicht möglichst sicher und zuverlässig zu gestalten.

Fortschritte und Bedrohungen für API-Technologie

Nicht zuletzt aufgrund der Fortschritte der Cloud-Technologie hat die API-Entwicklung in den letzten Jahren erheblich an Fahrt aufgenommen: Informationen respektive Datenbestände lassen sich in eigens dafür konzipierten Cloudspeichern und Data Warehouses festhalten, deren Datenmengen von APIs dokumentiert, analysiert und interpretiert werden. Und wie heutzutage bereits bekannt ist, sind Daten ein wertvolles Gut, das teils hochpersönliche Rückschlüsse auf beispielsweise Nutzer und somit wertvolles Wissen erlaubt. Aus diesem Grund wächst die Zahl von Cyberattacken mit APIs als Angriffsziel seit Jahren beständig. Angriffe potenzieren sich sowohl in der Komplexität als auch in der Frequenz. Das belegen auch die Zahlen: So war 2021 bei API-Attacken ein Anstieg von 681 Prozent zu verzeichnen; insgesamt 95 Prozent aller von Salt Security befragten Unternehmen wurden bereits zur Zielscheibe solcher Angriffe.

Web-APIs als Schwachstelle

Als besonders vulnerable Schwachstelle gelten dabei Web-APIs. Einmal entwickelt und aufgesetzt, werden diese bei Aktualisierungen zwar durchaus geprüft. Zum Einsatz kommen dabei Scans, die nach möglichen Sicherheitslücken im System Ausschau halten sollen.

Das Problem jedoch ist, dass solche Scans zum Teil tendenziell langsam arbeiten und daher nicht alle Sicherheitsrisiken in der gebotenen kurzen Zeit erfassen können. Zum anderen verfügen Entwicklerteams nicht über die notwendigen Ressourcen, solche Sicherheits-Checks in Eigenregie durchzuführen, auch, da sie sich stattdessen verständlicherweise mit Coding befassen müssen. Nicht zuletzt sind API-Schnittstellen während Cloud-getriebener Aktualisierungsmaßnahmen mit begrenztem internen Zugriff besonders anfällig für externe Bedrohungen. Hierzu zählen vor allem Denial-of-Service-Attacken (DDoS), bei denen Server gezielt mit einer extrem hohen Anzahl von Anfragen binnen kurzer Zeit so lange überflutet werden, bis diese unter der enormen Last zusammenbrechen.

API-Cybersecurity ist Chefsache

Was sich bereits 2021 als gravierendes Problem abzeichnete – mangelnde Cybersecurity-Maßnahmen zum Schutz von APIs und Daten – hat sich rund zwei Jahre später nicht sonderlich verbessert. Die Anzahl der Attacken ist weiter hoch, und Unternehmen sind sich dieser Schwäche nur allzu bewusst. Wie eine Axway-Studie von 2022 illustriert, befürchten 68 Prozent aller befragten Unternehmen in den nächsten Jahren eine unkontrollierte Zunahme von APIs, was wiederum in einem größeren Risiko für Cyberattacken resultiert.

Klar ist: API-Cybersecurity, das ist mittlerweile Chefsache. Daher sind Chief Information Security Officer (CISO) gefragt, gemeinsam mit den Entwicklerteams den Grundstein für eine weitestgehend sichere IT-Infrastruktur zu legen und dafür eine Security Policy aufzusetzen.

Diese sollte folgende drei Maßnahmen umfassen:

1. Ein Inventar aller APIs durch Attack Surface Management

Angriffsflächenmanagement beziehungsweise Attack Surface Management (ASM) bezeichnet die Erkennung, Analyse, Behebung sowie das Monitoring von Sicherheitslücken, welche in der Gesamtheit die Angriffsfläche eines Unternehmens bilden. Der Clou: Bei dieser Maßnahme versetzt sich ein Unternehmen in die Lage des Feindes, also des Hackers – zum Beispiel unter Zuhilfenahme eigens dafür beauftragter ‚guter‘ Hacker. Hierbei werden alle potenziellen Gefahrenpunkte von bestehenden APIs einer Prüfung unterzogen. Für die interne Qualitätskontrolle sollten die APIs und deren potenzielle sowie tatsächlichen Schwachstellen dokumentiert und anschließend analysiert und behoben werden, um präventiv gegen Angreifer vorzugehen.

Besondere Aufmerksamkeit sollte hier sogenannten Schatten-APIs zuteilwerden: allen APIs eines Drittanbieters, die nicht von der Organisation, die sie verwendet, verwaltet oder gesichert wurden. Häufig werden Schatten-APIs von Entwicklern und anderen Nutzern innerhalb einer Organisation eingeführt, entweder während des Anwendungsentwicklungsprozesses oder zur Ausführung anderer Geschäftsfunktionen. Da sie jedoch nicht unter der Kontrolle der IT- und Sicherheitsteams eines Unternehmens stehen, ist es schwierig, sie gegen neue Schwachstellen und Angriffe zu schützen. Um diese Schatten-APIs aufzuspüren, kann der Einsatz KI-basierter Tools ratsam sein.

2. Sicherheitsmaßnahmen während des gesamten SDLC beachten

Ferner ist es ratsam, Sicherheitsmaßnahmen während des gesamten SDLC (Software Development Life Cycle) zu implementieren, also in allen Phasen, die bis zur Entwicklung einer neuen Software-Anwendung erforderlich sind. Gleichzeitig sollten Unternehmen stets darauf achten, den internen Wissenstransfer voranzutreiben und hierfür die proaktive Unterstützung der Zusammenarbeit zwischen Sicherheits- und Entwicklerteams (DevSecOps) zu forcieren, Entwicklerschulungen inklusive.

Damit verbunden ist das Static Application Security Testing (SAST), bei dem ein Code statisch und vor allem sichtbar bleibt. Anstatt also nachfolgend eine Anwendung zu testen, erfolgt eine Prüfung recht früh in der Entwicklung. So können etwaige Sicherheitsmängel schon frühzeitig erkannt und behoben werden, was sich bei einer fertig entwickelten Anwendung schwieriger gestaltet. Es ist darüber hinaus empfehlenswert, diese Sicherheitsmaßnahme unter realen Test- und Produktionsbedingungen durchzuführen. Hierfür bietet sich die Zuhilfenahme einer integrierten Entwicklungsumgebung (IDE) an.

3. API-Nutzung monitoren

Wie bereits dargelegt, beruhen DDoS-Attacken darauf, ein Zielsystem mit einer Vielzahl an Anfragen zu bombardieren und somit lahmzulegen. Aber auch im Normalfall sollte darauf geachtet werden, ein System nicht unnötig zu belasten und durch eine API-Nutzungsbegrenzung vorab festzulegen, wie oft bestimmte APIs von Nutzern aufgerufen werden dürfen.

Die API-Ratenbegrenzung kann als defensive Sicherheitsmaßnahme für die API und auch als Instrument zur Qualitätskontrolle verwendet werden. Als gemeinsam genutzter Dienst muss sich die API vor übermäßiger Nutzung schützen, um ein optimales Erlebnis für alle Nutzer zu fördern. Die Ratenbegrenzung ist sowohl auf Server- als auch auf Kundenseite wichtig, um die Zuverlässigkeit einer API zu erhöhen und so die Datenflüsse zu regulieren.

Fazit: Früh testen, kontrollieren und andere Perspektiven einnehmen

Kontrolle und eine lückenlose Dokumentation sind wichtige Mittel im Kampf gegen die zunehmend raffinierten Maschen von Hackern. Dabei muss Unternehmen bewusst sein, welcher Zwiespalt durch die Errungenschaften der digitalen Transformation hervorgerufen wird: mehr Datenaustausch, Information und Monetarisierungs­potenzial einerseits, größere Datenvolumina und Sicherheitslücken andererseits. Frühentwickelte Testumgebungen sowie ein größeres Bewusstsein für die Taktiken von Hackern können hier verlässliche Hilfe leisten.

Über den Autor: Tristan Kalos ist Co-Founder und CEO bei Escape. Der Diplom-Ingenieur mit einem Abschluss in Computational and Applied Mathematics sowie einem Masterabschluss im Fach Entrepreneurship studierte in Paris und Berkeley. Nach einigen beruflichen Stationen im Bereich Machine Learning gründete Kalos 2020 zusammen mit Antoine Carossio das Startup Escape, dessen Ziel die Gewährleistung sicherer APIs ist.

(ID:49775137)