Ich möchte Ihnen heute ein Geheimnis verraten. Von den rund sechs Positionen als Chief Information Security Officer (CISO), die ich in den vergangenen 20 Jahren innehatte, wurde ich nur für eine aufgrund eines Sicherheitsvorfalls eingestellt. Nur eine.
Die anderen fünf Positionen wurden entweder aufgrund natürlicher Fluktuation neu besetzt oder weil wichtige Stakeholder das Vertrauen in den bisherigen Stelleninhaber verloren hatten und dieser ersetzt wurde. Bei der Hälfte war ein Vertrauensverlust der Grund für die Neubesetzung – nicht ein Sicherheitsvorfall.
Warum CISOs ihre API-Umgebung verstehen müssen
Im Bereich der API-Sicherheit lässt sich die Notwendigkeit für CISOs, ihre API-Exposition zu verstehen, in einigen klaren Aussagen zusammenfassen.
Zunächst müssen Sie vier Dinge kennen, um ein Bedrohungsmodell für eine bestimmte Umgebung zu erstellen: Ihre Assets, Akteure, Schnittstellen und Aktionen. Mit anderen Worten: „Wer macht was mit welchem Ziel und über welchen Weg?“
Zweitens steht das „I“ in API für „Interface“. Programmierschnittstellen werden plattform-, sprach- und frameworkübergreifend eingesetzt, und nahezu jede moderne Softwareentwicklung verfolgt einen API-First-Ansatz. In Ihrer Umgebung gibt es garantiert APIs.
Drittens: Wenn Sie als CISO nicht über ein Verzeichnis der Schnittstellen verfügen, über die Ihre sensiblen Daten bereitgestellt und zugänglich gemacht werden – sei es intern oder für Ihre Web- und mobilen Anwendungen –, ist Ihr Bedrohungsmodell unvollständig und weist entsprechende blinde Flecken auf, an denen Dienste und Daten offengelegt sind.
Schließlich fehlt es bei unvollständigen Bedrohungsmodellen an einer umfassenden Sicherheitsaufsicht und dem Nachweis der gebotenen Sorgfalt – zwei entscheidenden Aspekten, deren Umsetzung Prüfer und Aufsichtsbehörden sicherstellen müssen. Es liegt in ihrer Verantwortung, dafür zu sorgen, dass Assets, Akteure, Schnittstellen und Aktionen in einer bestimmten Umgebung verstanden und verwaltet werden.
Bewertung Ihres API-Sicherheitsrisikos
Wir bei F5 möchten, dass unsere Kunden stets die bestinformierten Personen im Raum sind. Deshalb haben wir eine kurze Liste mit Fragen zusammengestellt, anhand derer Sie den aktuellen Zustand Ihres API-Ökosystems beurteilen können. Wenn Sie diese Fragen jetzt beantworten, sind Sie gut vorbereitet, falls sie Ihnen später im Rahmen einer Vor-Ort-Prüfung oder eines externen Audits gestellt werden.
“Indem Sie zeigen, dass Sie Ihre API-Sicherheitslage genau verstehen und kontinuierlich weiterentwickeln, bewahren Sie das Vertrauen, das Sie sich so hart erarbeitet haben.”
Ich habe diese Fragen persönlich mit Regulierungsbehörden und Prüfern verschiedener Behörden erörtert. Da die US-amerikanische Federal Communications Commission inzwischen speziell bei API-Problemen Bußgelder verhängt und Vergleichsvereinbarungen erlässt und die aktuelle Version 4.0+ des Payment Card Industry Data Security Standard (PCI DSS) ausdrücklich die Einhaltung der API-Anforderungen bei der Entwicklung vorschreibt, war es für Sicherheitsteams nie wichtiger, diese Antworten griffbereit zu haben.
Auch wenn Sie nicht alle Fragen beantworten können, ist es für CISOs von entscheidender Bedeutung, den eigenen Stand zu kennen und eine proaktive Haltung zu zeigen. Indem Sie deutlich machen, dass Sie Ihre API-Sicherheitslage genau verstehen und kontinuierlich weiterentwickeln, bewahren Sie das Vertrauen, das Sie sich so hart erarbeitet haben.
Hier ist die Liste, beginnend mit dem einfachsten und endend mit dem schwierigsten Punkt. Wenn Sie auf der Liste nicht so weit kommen, wie Sie möchten, wenden Sie sich an Ihr F5 Account Team. Wir helfen Ihnen gerne weiter.
- Wer ist in unserem Unternehmen für die API-Sicherheit verantwortlich?
- Sind unseren APIs Verantwortliche zugewiesen?
- Wie viel unseres Umsatzes wird über APIs erzielt?
- Wie viele APIs haben wir?
- Wie viele davon werden aktiv genutzt und wie viele sind inaktiv?
- Wie viele sind anfällig für die 10 häufigsten API-Sicherheitsprobleme?
- Decken unsere Penetrationstests API-Schwachstellen und Angriffe auf die Geschäftslogik in der Produktionsumgebung ausreichend ab?
- Welche unserer APIs übertragen oder empfangen Daten, die gesetzlichen oder regulatorischen Vorgaben unterliegen?
- Beobachten wir schädlichen Datenverkehr? An welchen API-Endpunkten?
- Wie hoch ist unser allgemeines API-Sicherheitsrisiko? Hat es sich im Vergleich zum gleichen Zeitpunkt im letzten Jahr verbessert oder verschlechtert?
- Gibt es Entwicklungsteams, die mehr API-Probleme verursachen als andere? Wie werden sie geschult und wie erhalten sie Feedback zu API-Sicherheitsproblemen?
- Gibt es einen Prüfprozess für Code- und API-Änderungen, bevor sie in die Produktivumgebung übernommen werden?
- Wer wird über Sicherheitsereignisse benachrichtigt, die bei unseren APIs erkannt werden?
- Wie hoch ist die durchschnittliche Reaktionszeit in Minuten, wenn ein Angriff mit unzureichender Autorisierung auf Objektebene (Broken Object Level Authorization, BOLA) auf eine unserer produktiven APIs erkannt wird?
- Und schließlich zurück zu den Grundlagen ganz oben auf der Liste: Wissen die Personen, von denen wir annehmen, dass sie für die API-Sicherheit verantwortlich sind, davon und stimmen sie dieser Verantwortung zu?
Stärkung Ihrer Sicherheitslage
Die Bewertung Ihrer API-Umgebung und der potenziellen Bedrohung durch APIs ist der erste Schritt, um blinde Flecken aufzudecken und Ihre Sicherheitslage zu verbessern.
Besuchen Sie F5 diese Woche auf der API World in Santa Clara, Kalifornien, und erfahren Sie alles über APIs. Am Donnerstag um 13:00 Uhr PST werde ich gemeinsam mit zwei meiner Kollegen in einer öffentlichen Session mit dem Titel „Eine Welt der KI ist eine Welt der APIs: Die modernsten modernen Anwendungen absichern“ sprechen. Dieselbe Session findet außerdem am Donnerstag, dem 14. November, um 13:00 Uhr virtuell statt.
F5 veranstaltet außerdem am Dienstag, den 12. November, um 9 Uhr die virtuelle Session „API CTF: Lernen Sie die Grundlagen der API-Sicherheit auf spielerische Weise kennen“.
Sie sind nicht auf der API World? Sehen Sie sich unsere Demo zur API-Sicherheit an.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...