API-Sicherheit Wie sich APIs effektiv schützen lassen

Anbieter zum Thema

FTAPI Software GmbH

Fortra International, Ltd.

Über 600 verschiedene APIs gibt es durchschnittlich in Unternehmen. Wie viele es genau sind, wissen viele Organisationen nicht. Fatal, denn ungeprüfte und ungesicherte APIs sind ein ideales Einfallstor für Cyberkriminelle, um sensible Geschäftsdaten abzugreifen. IT-Sicherheitsteams sind daher gefordert, die Risiken von Schatten-APIs einzudämmen und Angriffe effektiv abzuwehren. Das gelingt mit einem ganzheitlichen Security-Ansatz, der den kompletten API-Lebenszyklus abdeckt.

Ob Onlinebanking im Privaten oder Logins in Dienstanwendungen im beruflichen Umfeld: APIs (Application Programming Interfaces) sind in nahezu allen Bereichen zu finden, in denen Nutzer online aktiv sind. Die Digitalisierung hat die explosionsartige Entwicklung von APIs noch einmal verstärkt, ermöglichen Schnittstellen doch durchgängige, integrierte Geschäftsprozesse, kosteneffektives Arbeiten und hohe Flexibilität in der Ausgestaltung eines unternehmenseigenen IT-Ökosystems. Experten gehen davon aus, dass die API-Nutzung insbesondere in den Branchen Telekommunikation, Technologie und Finanzdienstleistungen in diesem Jahr weiter stark zunehmen wird.

APIs im Fokus von Cyberkriminellen

Somit spielen APIs eine entscheidende Rolle im operativen und wirtschaftlichen Handeln eines Unternehmens. Für Cyberkriminelle sind sie ein lukratives Angriffsziel: Die Anzahl der Taktiken, Techniken und Verfahren, die die Angreifer verwenden, stieg ab Juni 2022 bis zum Jahresende um 550 Prozent von 2.000 auf 11.000 Stück an, wie eine Studie von Cequence Security zeigt. Besonders im Fokus der Angreifer: Schatten-APIs. Dabei handelt es sich um APIs, die außerhalb eines definierten Prozesses ohne Sicherheitsüberprüfungen oder Kontrollen veröffentlicht wurden. Suchanfragen für Schatten-APIs sind im Vergleich zur ersten Jahreshälfte 2022 um 900 Prozent auf rund 45 Milliarden Anfragen gestiegen. Für API-Gateways und Sicherheitsteams bleiben diese Schatten-APIs unsichtbar, haben jedoch genauso wie gesicherte Schnittstellen Zugriff auf sensible Informationen. Im schlimmsten Fall können Angreifer darüber geschäftskritische Daten einsehen und hohen Schaden verursachen.

Organisationen bieten breite Angriffsflächen

Das API-Bedrohungsumfeld entwickelt sich dynamisch. Angriffsflächen und -methoden sind breit gefächert. In den letzten Monaten waren zahlreiche Organisationen von API-Angriffen betroffen. Dabei werden die Methoden der Angreifer immer kreativer. Für Security-Verantwortliche ist es eine schwierige Aufgabe, API-Risiken auszumachen und mit geeigneten Maßnahmen einzudämmen.

So gab es insbesondere bei Telekommunikations-APIs eine Vielzahl an neuen, ausgefeilten Bedrohungsmethoden. Im Vergleich zur Einzelhandelsbranche waren es fast doppelt so viele Angriffe auf Te­le­kom­mu­ni­ka­ti­ons­un­ter­neh­men. Die Angreifer nahmen dabei über einen längeren Zeitraum bestehende Infrastrukturen, Anwendungen und Geräte ins Visier. Mit ihrer Vielzahl an Stammdaten, Benutzerinformationen und mobilen Endgeräten mit unterschiedlichen Dienstkonfigurationen verfügen Te­le­kom­mu­ni­ka­ti­ons­un­ter­neh­men über wertvolle Daten. Damit bieten sie eine große Angriffsfläche mit mehreren digitalen Einstiegspunkten.

Wie lassen sich APIs sichern und vor Cyber-Angriffen schützen?

Die Erfahrung zeigt: Traditionelle Schutztechniken reichen für eine übergreifende API Sicherheits-Strategie nicht mehr aus. Gerade bei automatisierten Bots stoßen sie häufig an ihre Grenzen. Botnets agieren zumeist rund um die Uhr und sind schwer zu enttarnen, weil sie menschliches Verhalten nachahmen. Über Webanwendungen attackieren sie APIs und greifen sensible Daten ab. Damit sind Bots ein nicht zu vernachlässigendes Sicherheitsrisiko.

API-Lebenszyklus fest im Blick

Um wirkungsvolle API-Schutzmaßnahmen zu initiieren und Angriffe in Echtzeit abzuwehren, müssen Security-Entscheider die APIs über ihren gesamten Lebenszyklus hinweg im Blick behalten.

1. API-Sichtbarkeit erhöhen

Hier geht es darum, zunächst genau aufzuschlüsseln, wie viele APIs im Unternehmen überhaupt betrieben werden. Erst wenn alle APIs für ein Unternehmen vollständig sichtbar und erfasst sind, lassen sich auch die Risiken bewerten und eindämmen. Sicherheitsteams sollten hier auf Tools zurückgreifen, die die APIs auch aus der Perspektive des Angreifers darstellen und exakt seine Ansicht widerspiegeln. So bekommen Unternehmen einen vollständigen Überblick über ihre internen und öffentlich exponierten APIs und Ressourcen.

2. APIs inventarisieren

Sind die APIs erkannt, können sie inventarisiert werden. Damit reduziert sich die Gefahr, die von Schatten-APIs oder veralteten APIs ausgeht. Für Entwickler gilt daher, jede API – privat, öffentlich oder die eines Partners – zu dokumentieren und im Blick zu behalten.

3. APIs monitoren

Verwaltete und nicht verwaltete APIs, die ermittelt und inventarisiert sind, sollten unter ständiger Beobachtung stehen. Auf Basis eines lückenlosen Monitorings können IT-Security-Teams Risiken passgenauer bewerten und Bedrohungen beheben, die etwa durch Codierungsfehler zu Datenverlust und Geschäftsunterbrechungen führen können.

4. APIs schützen

Um APIs ganzheitlich und umfassend vor dem gesamten Spektrum automatisierter Angriffe zu schützen, reichen API-Gateway-Lösungen allein nicht mehr aus. Es kommt darauf an, die Perspektiven von Angreifern, Verteidigern und Entwicklern zu kennen und in einem Security-Konzept zu berücksichtigen. So lässt sich ein hohes Sicherheitsniveau schaffen:

• Discover: Automatisierte Erkennungstools und Mechanismen, um mögliche Bedrohungen zu entschärfen,

• Comply: API-Bestandsüberprüfung und Sicherstellung, dass APIs den Compliance-Vorgaben entsprechen und keine sensiblen Daten preisgeben,

• Protect: Integration von Sicherheitsmaßnahmen in einen Security-Katalog und für eine höhere Widerstandsfähigkeit von APIs gegen automatisierte Angriffe.

Auf diese Weise lässt sich organisatorisch und technisch ein hoher API-Schutz sicherstellen – auch für Unternehmen, die besonders dem Risiko eines Cyberangriffs ausgesetzt sind. Dazu gehören insbesondere Organisationen aus Branchen, die sensible Informationen wie personenbezogene Daten oder Zahlungskartendaten verwalten oder auch geschäftskritische Dienste anbieten, beispielsweise Unternehmen in den Sektoren E-Commerce und Telekommunikation sowie Finanzdienstleistungen.

End-to-End-Security-Ansatz für hohe API-Sicherheit

Mit einem ganzheitlichen Security-Ansatz schützen „Digital First“-Unternehmen ihre API-basierten Anwendungen vor Betrug, Datenverlust, Business-Logic-Angriffen, Exploits und unbeabsichtigten Datenlecks. Durch Bots verursachte Störungen wie etwa der Ausfall einer Website, verzerrte Verkaufsanalysen, Image- und Markenschäden durch unzufriedene Kunden oder ausufernde Infrastrukturkosten lassen sich damit verhindern.

Über den Autor: Mario van Riesen verantwortet seit über zwei Jahren als Regional Sales Director DACH & CEE die Vertriebsaktivitäten von Cequence Security im DACH-Raum sowie in Zentral- und Osteuropa. Insgesamt bewegt sich van Riesen seit mehr als 25 Jahren im IT- und Security-Umfeld und zeichnet sich durch seine Security-Expertise rund um API-Sicherheit aus.

(ID:49691663)