Softwareentwickler stellen im heutigen Cloud-First-Ökosystem APIs in rasant steigender Zahl bereit. Laut dem F5 2024 State of Application Strategy (SOAS) Report verwaltet inzwischen mehr als ein Drittel der Unternehmen ebenso viele APIs wie Anwendungen, wobei einige Großunternehmen bis zu 10.000 APIs betreuen.1 Da Unternehmen ihre Anwendungsportfolios kontinuierlich modernisieren, wird die Zahl der genutzten APIs bis 2031 voraussichtlich auf über eine Milliarde steigen.2
Warum nimmt die Zahl der APIs so schnell zu?
APIs sind für moderne Anwendungen unverzichtbar geworden, da sie die Effizienz und Interoperabilität verbessern. APIs ermöglichen zudem eine nahtlose Kommunikation zwischen verschiedenen Softwaresystemen. Dadurch können Teams unterschiedliche Dienste integrieren und Prozesse optimieren.
Der Aufstieg der KI verstärkt das Wachstum von APIs, da KI für Funktionen wie Datenverarbeitung, maschinelles Lernen und Automatisierung stark auf sie angewiesen ist. Mit der zunehmenden Verbreitung von KI wird auch der Bedarf an APIs weiter steigen.
Doch das rasante Wachstum bringt erhebliche Sicherheitsherausforderungen mit sich. Der F5 SOAS-Bericht zeigt, dass 95 % der Unternehmen API-Gateways einsetzen1; diese Maßnahme allein reicht jedoch nicht aus. Die API-Sicherheit steht heute vor zwei zentralen Herausforderungen: der Erkennung von APIs und dem Shift-Left-Ansatz, bei dem Sicherheitsmaßnahmen früher in den Entwicklungsprozess integriert werden.
Der aktuelle Stand der API-Sicherheit und bestehende Lücken
Die Schutzmaßnahmen für APIs halten derzeit nicht mit der rasant zunehmenden API-Nutzung Schritt. API-Gateways bieten zwar ein gewisses Maß an Kontrolle, erfüllen jedoch nicht den grundlegenden Bedarf an API-Erkennung und umfassenden Sicherheitsstrategien. Gartner prognostiziert, dass bis 2025 die Hälfte aller APIs nicht verwaltet sein wird, was erhebliche Risiken birgt.3 Solche Schatten-APIs können Unternehmen unbefugten Zugriffen, Datenschutzverletzungen und anderen Bedrohungen aussetzen, da sie außerhalb der Sichtbarkeit und Kontrolle der Sicherheitsteams betrieben werden. Sie weisen Schwachstellen auf, die Angreifer ausnutzen, um sich unbefugten Zugriff auf sensible Daten zu verschaffen. Der erste Schritt zur Abwehr dieser Bedrohung besteht darin, Schatten-APIs in der Umgebung eines Unternehmens zu identifizieren.
Um Schatten-APIs aufzuspüren und die damit verbundenen Multi-Cloud-Komplexitäten zu bewältigen, können Teams zunächst ihren öffentlich zugänglichen Domainbereich mithilfe von Tools untersuchen, die für die API-Erkennung entwickelt wurden. Die Identifizierung aller Endpunkte innerhalb der Domain eines Unternehmens hilft dabei, die API-Landschaft abzubilden. In Multi-Cloud-Umgebungen wird diese Herausforderung jedoch noch größer, da sich APIs über verschiedene Plattformen mit unterschiedlichen Sicherheitsprotokollen und Governance-Anforderungen erstrecken. Diese Komplexität erfordert einen strategischen Ansatz für API-Management und -Sicherheit.
Da Entwickler regelmäßig neue APIs hinzufügen, können sie Lösungen wie Apigee API-Management von Google Cloud und F5 Distributed Cloud API Security einsetzen, die eine kontinuierliche Erkennung und Überwachung ermöglichen. So können sie Sicherheitsmaßnahmen frühzeitig in den Entwicklungszyklus integrieren und die API-Governance verbessern.
API-Sicherheit nach links verlagern
Laut Gartner werden bis 2026 40 % der Unternehmen einen WAAP-Anbieter aufgrund seiner fortschrittlichen Funktionen zum Schutz von APIs und zur Sicherheit von Webanwendungen auswählen. Im Jahr 2022 waren es noch weniger als 15 %.4
Das sind zwar erfreuliche Nachrichten, doch mehr Unternehmen können Sicherheitspraktiken durch einen Shift-Left-Ansatz in ihre CI/CD-Pipelines integrieren und so gewährleisten, dass APIs von Anfang an sicher sind. Dazu gehören eine umfassende API-Dokumentation, automatisierte Sicherheitsprüfungen und kontinuierliche Schulungen für Entwicklungs- und Sicherheitsteams.
Spannungen zwischen Entwicklungs- und Sicherheitsteams abbauen
In der Vergangenheit kam es häufig zu Spannungen zwischen Entwicklern, die auf eine schnelle Bereitstellung bedacht sind, und Sicherheitsteams, für die der Schutz an erster Stelle steht. Um diese Spannungen abzubauen, ist es entscheidend, eine Kultur der gemeinsamen Verantwortung für die Sicherheit zu fördern. Zusammenarbeit und gegenseitiges Verständnis können dazu beitragen, Ziele aufeinander abzustimmen und Prozesse zu optimieren.
Den gesamten API-Lebenszyklus absichern
Ein umfassender Ansatz umfasst kontinuierliche Überwachung, regelmäßige Aktualisierungen, proaktive Bedrohungserkennung, die Implementierung starker Authentifizierungs- und Autorisierungsmechanismen sowie den Einsatz fortschrittlicher Sicherheitstools, die mithilfe von KI Bedrohungen erkennen und eindämmen.
F5 und Google Cloud unterstützen Sie beim Shift-Left-Ansatz
Der erste Schritt zur Verbesserung der API-Sicherheit besteht darin, eine umfassende Bestandsaufnahme aller APIs durchzuführen, nicht verwaltete oder veraltete Endpunkte zu identifizieren und deren Funktionen und Sicherheitsmaßnahmen zu dokumentieren. Unternehmen sollten die Absicherung von APIs anhand ihres Risikoniveaus und ihrer potenziellen Auswirkungen priorisieren. Ergänzende Lösungen wie F5 Distributed Cloud API Security und Apigee tragen dazu bei, ein umfassendes Sicherheitskonzept zum Schutz von APIs in allen Umgebungen zu schaffen, sodass Entwickler in einer zunehmend vernetzten Welt beruhigt arbeiten können.
Das Wachstum von APIs eröffnet Unternehmen zwar neue Chancen, doch Teams müssen sich der damit verbundenen Sicherheitsrisiken bewusst sein. Unternehmen können ihre APIs effektiver verwalten, indem sie Sicherheitsaspekte frühzeitig in den Entwicklungsprozess integrieren, auf kontinuierliche Erkennung setzen und die Zusammenarbeit zwischen Entwicklungs- und Sicherheitsteams fördern.
Wenn Sie mehr darüber erfahren möchten, was unsere Spezialisten von F5 und Google Cloud zum Thema API-Sicherheit sagen, sehen Sie sich das On-Demand-Webinar „Shift Left: Transformieren Sie Ihre API-Sicherheit mit F5 und Google Cloud“ an. Besuchen Sie auch die Google Cloud Platform (GCP) für ausführliche Informationen zu unserer Partnerschaft.
Quellen
1. F5, Bericht zum Stand der Anwendungsstrategie 2024, 2024
2. F5, Kontinuierliche Ausbreitung von APIs, Nov. 2021
3. Gartner, Prognosen für 2022: APIs erfordern verbesserte Sicherheit und Verwaltung, Dez. 2021
4. Gartner, Marktleitfaden für den Schutz von Cloud-Webanwendungen und APIs, Nov. 2023
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...