Der Wandel von monolithischen Anwendungen hin zu Microservice-Ökosystemen hat APIs zu einem strategischen und kritischen Kontrollpunkt gemacht. Während Web Application Firewalls (WAFs) bisher ein wichtiges Instrument zum Schutz HTTP-basierter Anwendungen waren, fehlten für APIs vergleichbare Kontrollen, um angemessene Compliance, Sicherheit und Auditierbarkeit zu gewährleisten. Da der API- und nicht-menschliche Datenverkehr den Webanwendungsverkehr übersteigt, müssen auch die Sicherheitskontrollen weiterentwickelt werden. Sicherheitsverantwortliche sollten die neuen Trends als Gelegenheit nutzen, mehr über den Schutz von APIs zu erfahren und Verbesserungen der API-Sicherheit in ihrer eigenen Organisation voranzutreiben.
Die API-Explosion ist allgegenwärtig – Die Verbreitung von APIs wird weiter zunehmen. Zudem ist es möglicherweise nicht nur das DevOps-Team, das APIs bereitstellt. Auch andere Bereiche des Unternehmens, etwa das Marketingteam, können eigene APIs veröffentlichen oder im Rahmen ihrer Marketingaktivitäten sogar APIs von Drittanbietern nutzen. Für das Sicherheitsteam ist eine genaue Bestandsaufnahme der verwendeten APIs ein entscheidender erster Schritt.
Zusammenarbeit ist entscheidend – Sicherheitsteams müssen mit DevOps zusammenarbeiten, um angemessene API-Sicherheitskontrollen zu konzipieren und zu implementieren. DevOps will schnell vorankommen. Die Sicherheitsteams müssen die Abläufe von DevOps verstehen und Sicherheitskontrollen einführen, die zentral verwaltet und in die CI/CD-Prozesse automatisiert integriert werden können.
Die Sicherheit von API-Gateways hinkt hinterher – Heutige API-Gateways konzentrieren sich in der Regel auf Authentifizierung, Versionierung und Analysen (zur Verbrauchserfassung und Abrechnung). Diese Sicherheitskontrollen sind zwar wichtig, bieten jedoch keinen umfassenden Schutz für APIs. Eine ausreichende API-Sicherheit muss vor Angriffen auf Authentifizierungsdienste, Layer-7-DoS-Angriffen, Datenexfiltration, Exploits, Injektionen und Anomalien schützen.
APIs stehen direkt im Fadenkreuz und bleiben angreifbar
APIs bilden als entscheidende Kontrollpunkte das Herzstück heutiger digitaler Geschäftsplattformen. APIs sind in der Regel so konzipiert, dass sie extern zugänglich sind und von Geschäftspartnern, Kunden und Microservices genutzt werden können. Genau wie Webanwendungen können APIs ein Zugang zu sensiblen Daten sein, die angemessen geschützt werden müssen. Jüngste API-bezogene Vorfälle bei Unternehmen wie Venmo, Facebook und Salesforce verdeutlichen, wie wichtig API-Sicherheit ist. F5 Labs stellt weitere bemerkenswerte API-Pannen hier vor.
Wie bei vielen technologischen Fortschritten hinkt die Sicherheit oft hinterher. Die API-Sicherheit bildet dabei keine Ausnahme. Während die API-getriebene Wirtschaft weiter an Fahrt gewinnt, können Sicherheitsexperten angesichts des Umfangs, des Tempos und der Komplexität der API-Sicherheit schnell überfordert sein.
Die massenhafte Verbreitung von APIs wird sich fortsetzen. Da Anwendungen zunehmend in den Mittelpunkt von Unternehmen rücken, wird die Verbreitung von APIs weiter stark zunehmen. Das Programable Web API-Verzeichnis verzeichnete 2019 einen rasanten Anstieg der veröffentlichten APIs (Hunderte neuer APIs pro Monat). Wir gehen davon aus, dass diese Zahl weiter steigen wird, insbesondere da verschiedene Branchen die API-basierte Interoperabilität vorantreiben. Die PSD2 der EU (überarbeitete Zahlungsdiensterichtlinie) ist hierfür ein gutes Beispiel.
Die Sicherheit muss mit der CI/CD-Pipeline Schritt halten. API-Gateways, die eine „Versionierung“ unterstützen, ermöglichen es API-Anbietern, kontinuierlich neue Funktionen und Features hinzuzufügen, ohne bestehende Client-Integrationen zu beeinträchtigen. Das ist ideal für CI/CD. Wenn Sicherheitsmaßnahmen den Prozess jedoch verlangsamen, kann sich dies direkt auf das Geschäft auswirken und die Vorteile der agilen Entwicklung zunichtemachen. Um mit diesen Umgebungen Schritt zu halten, müssen Sicherheitskontrollen automatisiert und so in den Release-Prozess integriert werden, dass das Sicherheitsteam gemeinsame Kontrollen zentral durchsetzen kann, ohne die Release-Zyklen zu beeinträchtigen.
Unterschiedliche Zuständigkeiten für die API-Sicherheit spielen eine Rolle. APIs werden im gesamten Unternehmen eingesetzt – in mobilen Apps, Microservices, in der Cloud und in lokalen Umgebungen. Die unternehmensweiten Möglichkeiten zur Transparenz und API-Inventarisierung befinden sich noch im Aufbau, sodass einige APIs außerhalb des Zuständigkeitsbereichs des Sicherheitsteams liegen. Führungskräfte und Stakeholder aus verschiedenen Unternehmensbereichen müssen dafür sensibilisiert werden, einheitliche Sicherheitspraktiken und -kontrollen durchzusetzen.
Die Sicherheit von API-Gateways ist noch nicht ausgereift. Viele Anbieter positionieren heute API-Gateways am Markt – darunter Unternehmen wie MuleSoft, Google (Apigee), Kong, Istio und Oracle. Diese bieten erforderliche API-Gateway-Funktionen wie Versionierung, Routing, Analyse/Messung und Authentifizierung. Jede dieser Lösungen hat ihre eigenen Stärken und bietet einen Mehrwert. Umfassende Sicherheitskontrollen zum Schutz vor Zugriffsverletzungen, Injektionen, DoS-Angriffen und Exploits müssen jedoch zusammen mit weiteren Sicherheitsdiensten für Gateways implementiert werden.
_____
Nachdem wir nun die Ausgangslage beleuchtet haben, dürfen Sie sich auf einen Blogbeitrag in der nächsten Woche freuen (Link hier eingefügt). Darin gehen wir näher darauf ein, wie Sie die oben beschriebenen Herausforderungen bewältigen können …
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...