[Sponsored Post] 29. November 2022

Warum API-Sicherheit ein Schlüssel zum Geschäftserfolg ist

...und wie einfach DACH-Unternehmen sie implementieren können.

Die Sicherung von APIs ist eines der wichtigsten Probleme, die ein Unternehmen heute lösen sollte. © Adobe: denisismagilov / stock.adobe.com / 193545419 — © Adobe: denisismagilov

Unsichere APIs sind anfällig für Cyber-Angriffe. Es gibt zahlreiche Möglichkeiten, wie eine API als Einfallstor missbraucht werden kann. Leider kennen die Menschen sehr häufig nicht alle Fakten über API-Sicherheit. APIs ermöglichen es Unternehmen zwar, ihre Geschäftsmodelle neu zu erfinden, sie können jedoch auch große Verwaltungs- und Sicherheitsherausforderungen mit sich bringen, wie z. B.:

Authentifizierung und Autorisierung (API1, API2, API4, API5),
Datenschutz (API3, API6, API8) und
Verwaltung und Betrieb (API7, API9, API10).

APIs sind anfällig für Angriffe, wenn sie nicht sicher sind. Es gibt zahlreiche Möglichkeiten, wie eine API kompromittiert werden kann. Zunächst einmal muss man wissen, wo sie anfällig und schwach sind.

Was nutzt die performanteste API, wenn bereits in der Codierung dem Hacker Tür und Tor geöffnet werden. Security des API-Codes ist auch heute oft ein nicht ausreichend beachtetes Risiko. Ein sicherer Code darf nicht mehr als Nachgedanke betrachtet werden, sondern sollte als eine gemeinsame, teamübergreifende Verantwortung angesehen werden. Ein entscheidender Schritt ist die feste Einbindung von Security Awareness mittels Shift-Left in den Phasen des Software Development Life Cycles, um der API-Code-Security im SDLC von Anfang an Rechnung zu tragen. Hierzu gehört nicht nur der eigene Code, sondern auch die Security der verwendeten Open Source und 3rd-Party-Komponenten, wie die Log4j-Promblematik gezeigt hat.

Wenn es um API-Verwaltung geht, scheinen viele Unternehmen die harten Lektionen zu ignorieren, die sie in ihrem persönlichen Leben über die Bedeutung der API-Sicherheit gelernt haben. Das ist ein wenig überraschend. Alle von uns verwendeten Verbraucher-APIs befinden sich außerhalb der Firewall, sonst könnten wir sie nicht nutzen. Aber Unternehmen verwenden entweder überhaupt keine API-Verwaltungsprodukte oder wählen API-Verwaltungsprodukte, die nicht alle Sicherheitsstandards erfüllen.

Es gab mehrere bekannte API-Angriffe, wie z. B. bei Moonpig oder SnapChat, die einer Marke großen Schaden zugefügt haben oder je nach Branche zu Geldstrafen geführt haben. Die Wahrheit ist, dass die Menschen sehr häufig nicht alle Fakten über API-Sicherheit kennen.

Aber warum sollte man sich jetzt um die API-Sicherheit kümmern?

Ist die Sicherung von APIs wirklich eines der wichtigsten Probleme, die ein Unternehmen heute lösen sollte? Die Frage ist leicht zu beantworten. Sie ist enorm wichtig, weil das digitale Geschäft die Zukunft ist. Und wenn Sie Ihr digitales Geschäft auf einer unsicheren Grundlage aufbauen, drohen Ihnen nicht nur hohe Geldstrafen und Gerichtsverfahren. Sie könnten mit einem markenschädigenden Ereignis und einem Mangel an Vertrauen in Ihre APIs enden, der sich in einem Mangel an tatsächlicher Nutzung, Kunden und Einnahmen niederschlägt.

Finden Sie eine klare Antwort

Wenn Sie keine klare Antwort haben, dann haben Sie Ihre erste Aufgabe erfüllt. Sie müssen einen Sicherheitsexperten einstellen, der sich in der Welt der APIs, der mobilen Anwendungen, der Cloud-Integration und sogar der Big Data auskennt. Alle sind auf APIs und API-Sicherheit angewiesen.

Außerdem müssen Sie einen mehrschichtigen Ansatz für die Sicherheit entwickeln. Die vielleicht einfachste Analogie ist Ihr Haus. Wenn Sie eine Alarmanlage haben, gibt es mehrere Schichten oder Zonen: ein Tor, Türschlösser, Bewegungsmelder und Kameras. Vielleicht haben Sie jemanden vor Ort und wahrscheinlich sind Sie mit einem Alarmunternehmen verkabelt, das mit Hilfe von Passwörtern herausfinden kann, ob es sich um einen falschen oder echten Alarm handelt. Und sie können die Polizei rufen. Layering gilt in der IT heute allgemein als bewährte Praxis.

Bei der API-Sicherheit verhält es sich ähnlich, zum Teil weil es so viele verschiedene Arten von Bedrohungen gibt und Redundanz sicherer ist.

Eine gute API-Sicherheitsimplementierung hat...

Eine Code-Security Statische Analyse, um zu verhindern, dass beim Release im eigenen API-Code und den verwendeten Komponenten unentdeckte Security-Schwachstellen vorliegen, die einen Missbrauch der API ermöglichen. Die Transformation in ein Secured SDLC mit Dashboards, IDE-Integration, automatisierbaren Audits und Checkpoints im Build/ Test verhindern, dass auf Code-Ebene unsichere APIs die Entwicklung verlassen.
API-Firewalling als Teil der API-Verwaltungsinfrastruktur, die die API-Aufrufe empfängt, bevor die API-Aufrufe tatsächlich aufgerufen werden. Dies wird durch Dienstvirtualisierung oder einen Proxy zusammen mit einer speziellen Regel-Engine erreicht. ModSecurity ist eine übliche Engine, die verwendet wird, und der übliche Schutz vor Bedrohungen gegen die OWASP Top 10 sein könnte.
Identitäts- und Zugriffsmanagement, das jede Nutzung einer API und der damit verbundenen Daten authentifiziert und autorisiert.
Richtlinienverwaltung, die erweiterte technische und geschäftliche Sicherheitsrichtlinien für APIs durchsetzt. Authentifizierung und Autorisierung können auch als Richtlinien implementiert werden, was die Entwicklung vereinfacht.
Auditing, um alle wichtigen Zugriffe und damit verbundenen Daten zu verfolgen. Audit-Protokolle können verwendet werden, um verdächtige Verwendungen im Nachhinein zu untersuchen.
Analysen, um verdächtiges Verhalten zu verfolgen. Im Idealfall können Unternehmen auch eine ausgeklügelte Nachverfolgung über einen längeren Zeitraum hinweg implementieren, um nach Anomalien zu suchen und bei deren Entdeckung eine Warnung auszusprechen.

Weitere Informationen