API Security

Ein umfassender und kontinuierlich aktualisierter Bestandsüberblick über alle APIs im Unternehmen ist essenziell für eine effektive API-Sicherheitsstrategie. Eine on demand oder täglich erfolgende oder Erkennung ist aufgrund der mit API-Angriffen verbundenen Risiken unzureichend. Darüber hinaus ist eine Visualisierung des tatsächlichen API-Verhaltens (API-Aufrufe) erforderlich, damit wichtige Teammitglieder aus den Bereichen Sicherheit, Entwicklung und Betrieb verstehen können, wie APIs verwendet oder missbraucht werden. Dies erleichtert die Kommunikation und Untersuchungen in allen Teams Ihres Unternehmens. 

API Security ermöglicht eine automatisierte und kontinuierliche Entdeckung von APIs über verschiedene Technologien und Infrastrukturen hinweg. Außerdem werden neu bereitgestellte APIs erkannt und die jeweiligen Eigenschaften mit vorhandenen Dokumentationen verglichen. API Security erkennt häufig übersehene Shadow-APIs sowie bekannte API-Schwachstellen wie die „OWASP API Security Top 10“. 

Die API-Erkennung ist ein fortlaufender Prozess. Unsere kontinuierliche Überwachungslösung findet rund um die Uhr neue APIs und Änderungen an bestehenden APIs. Sicherheitsteams erhalten beispiellose Transparenz und erfahren als Erste, wann Entwickler eine neue API oder einen neuen Service bereitstellen.

APIs stärken sämtliche digitale Produkte und Services, die ein Unternehmen anbietet. Daher ist es keine Überraschung, dass APIs immer verbreiteter und umfangreicher werden. Dieses Wachstum führt jedoch zu einer API-Verbreitung, die eine ganz neue Angriffsfläche mit sich bringt.

Die Angreifer von heute suchen nach API-Schwachstellen, einschließlich Software- oder Konfigurationsfehlern, die sie für folgende Zwecke ausnutzen können:

• Zugriff auf sensible Anwendungsfunktionen
• Aufspüren, Kompromittieren und/oder Diebstahl vertraulicher Daten
• Missbrauch der API 

Die „OWASP API Security Top 10“ bietet eine hilfreiche Zusammenfassung einiger der am häufigsten ausgenutzten API-Schwachstellen und -Bedrohungen, die Unternehmen identifizieren und beheben sollten.

Mit API Security können Sie verhindern, dass Ihr Unternehmen dem Risiko eines API-Angriffs aufgrund anfälliger und falsch konfigurierter APIs ausgesetzt wird. Denn die Lösung informiert Sicherheits-, Entwickler- und API-Teams umgehend über potenzielle Risiken, Konfigurationsfehler und Schwachstellen. Sie können auch leicht erkennen, ob ein Partner Ihre API falsch eingerichtet hat oder ob Schwachstellen im Code vorhanden sind. 

Kontextbezogene und bedingte Warnungen funktionieren innerhalb Ihrer bestehenden Workflows reibungslos, z. B. beim automatischen Erstellen eines Jira-Tickets. So können Sie Probleme schnell beheben.

APIs sind für eine programmgesteuerte Verwendung konzipiert. Das macht die Unterscheidung zwischen legitimer Nutzung einerseits und Angriffen und Missbrauch andererseits äußerst schwierig.

API-Bedrohungen verfolgen zwar unterschiedliche Ansätze, zu den häufigsten Methoden gehören jedoch:

• Missbrauch von Geschäftslogik. Logikmissbrauch liegt vor, wenn ein Angreifer Fehler im Anwendungsdesign oder in der Implementierung ausnutzt, um unerwartetes und nicht genehmigtes Verhalten zugunsten des Angreifers zu provozieren. Ältere Sicherheitskontrollen können diese Art von Missbrauch nicht verhindern, was enormen Stress und Druck für CISOs und deren Teams bedeutet.
• Nicht autorisierter Datenzugriff. Eine weitere verbreitete Form des API-Missbrauchs ist die Ausnutzung defekter Autorisierungsmechanismen für den Zugriff auf Daten, die für Angreifer eigentlich unzugänglich sein sollten. Für diese Schwachstellen gibt es viele Bezeichnungen wie etwa „fehlerhafte Autorisierung auf Objektebene“ (Broken Object-Level Authorization: BOLA), „unsicherer direkter Objektverweis“ (Insecure Direct Object Reference: IDOR) und „fehlerhafte Autorisierung auf Funktionsebene“ (Broken Function-Level Authorization: BFLA).
• Kontoübernahme. Nach einem Diebstahl von Anmeldedaten oder gar einem XSS-Angriff (Cross-Site Scripting) kann ein Konto übernommen werden. Sobald dies geschieht, lassen sich selbst hervorragend programmierte und intelligent gesicherte APIs missbrauchen. Schließlich gilt jede authentifizierte Aktivität als legitim, wenn Sie keine Verhaltensanalyse durchführen.
• Daten-Scraping. Wenn Unternehmen Datensätze über öffentliche APIs zur Verfügung stellen, können Cyberkriminelle diese Ressourcen aggressiv abfragen, um große, wertvolle Datensätze komplett zu erfassen.
• Business Denial of Service (DoS). Wenn API-Angreifer oder -Nutzer das Backend auffordern, umfangreiche Aufgaben auszuführen, können sie auf Anwendungsebene eine „Erosion des Service“ oder einen kompletten Denial-of-Service verursachen (eine häufige Schwachstelle in GraphQL, die allerdings bei jeder ressourcenintensiven API-Endpunktimplementierung auftreten kann). Dies kann durch einen absichtlichen Angriff oder durch übermäßige Nutzung durch einen Partner geschehen, die dazu führt, dass die API für andere Partner ausfällt. 
• Ausnutzung von Schwachstellen. Technische Sicherheitslücken in der zugrunde liegenden Infrastruktur können zu einer Gefährdung der Server führen. Beispiele für diese Arten von Schwachstellen reichen von den Sicherheitslücken in Apache Struts (CVE-2017-9791, CVE-2018-11776 und weitere) bis zu den Sicherheitslücken in Log4j (CVE-2021-44228 und weitere).

Um diese und andere API-Sicherheitsrisiken zu erkennen und abzuwehren, sind ausgereifte Sicherheitskontrollen erforderlich, die der komplexen und sich schnell entwickelnde Bedrohungslandschaft gewachsen sind. 

API Security liefert Geschäftskontext, der nicht allein durch die Analyse technischer Elemente wie IP-Adressen und API-Token gewonnen werden kann. Mithilfe von AI/ML-basierten Traffic-Analysen in Echtzeit gibt API Security Geschäftskontext aus. So können Sie eine gründliche Analyse der Ereignisse vor und nach einer Warnung durchführen, um eine Ursache zu ermitteln. Mit API Security können Sie APIs auch nach bestimmten Entitäten wie Nutzern, Partnern oder sogar Geschäftsprozesseinheiten (Rechnung, Zahlung, Bestellung usw.) durchsuchen, um die Aufdeckung von Anomalien zu ermöglichen.