Checkliste für API-Sicherheit: Best Practices, Tests und NIST

F5 Newsroom Staff

APIs, also Anwendungsprogrammierschnittstellen, sind eine Reihe von Protokollen, Routinen und Tools, die es verschiedenen Anwendungen, Softwaresystemen oder Komponenten ermöglichen, miteinander zu kommunizieren. APIs spielen in modernen digitalen Infrastrukturen eine immer wichtigere Rolle, da sie als verbindendes Element Anwendungen, Dienste, Systeme und Daten über verteilte Plattformen hinweg miteinander verknüpfen.

APIs sind für heutige digitale Umgebungen so grundlegend, dass Unternehmen zunehmend einen API-First-Ansatz verfolgen, bei dem die Entwicklung von Anwendungen mit der API beginnt. Dies steht im Gegensatz zum traditionellen „Code-First“-Ansatz, bei dem monolithischer Code Vorrang hat und das API-Design erst später – wenn überhaupt – berücksichtigt wird.

Es steht außer Frage, dass APIs immer zahlreicher werden. Ein durchschnittliches Unternehmen verwaltet mittlerweile über 400 APIs innerhalb seiner digitalen Infrastruktur, während 68 % der Unternehmen APIs zur Verwaltung der Anwendungsbereitstellung und -sicherheit einsetzen. Die meisten Unternehmen sind sich zudem bewusst, dass die unkontrollierte Verbreitung von APIs ein Risiko darstellt: 58 % der Unternehmen betrachten die unkontrollierte Verbreitung von APIs als erhebliches Problem. Denn die Allgegenwärtigkeit von APIs vergrößert die Angriffsfläche eines Unternehmens und führt aufgrund ihrer wechselseitigen Abhängigkeiten in Multi-Cloud-Architekturen zu unvorhergesehenen Bedrohungen.

APIs sind anfällig für die Ausnutzung von Schwachstellen, den Missbrauch durch automatisierte Bedrohungen, Denial-of-Service-Angriffe, Fehlkonfigurationen und Angriffe, die Authentifizierungs- und Autorisierungskontrollen umgehen. Robuste Maßnahmen zur API-Sicherheit sind unerlässlich, da APIs kritische Geschäftslogik und vertrauliche Informationen offenlegen. Sie müssen Benutzerdaten, Authentifizierungsdaten und Finanztransaktionen vor unbefugtem Zugriff, Manipulation oder Offenlegung schützen sowie die Integrität und Verfügbarkeit der APIs gewährleisten.

Dieser Blogbeitrag bietet einen kurzen Überblick über die wichtigsten Sicherheitsbedrohungen für APIs sowie eine Checkliste mit zentralen API-Sicherheitsstrategien und Best Practices zum Schutz von APIs in Multicloud-Umgebungen. Dazu gehören Zugriffskontrollen, Eingabevalidierung und Ausgabeverwaltung, API-Tests und Überwachung. Außerdem empfiehlt der Beitrag die wichtigsten einzuhaltenden API-Sicherheitsstandards und stellt API-Sicherheitstools zum Schutz Ihrer wertvollen APIs vor.

1. Zugriffskontrolle, Authentifizierung und Autorisierung

Zugriffskontrolle ist der strukturierte Prozess, mit dem festgelegt und durchgesetzt wird, welche Benutzer Zugriffsrechte auf bestimmte Ressourcen erhalten. Dieser Prozess umfasst sowohl die Authentifizierung als auch die Autorisierung. Bei der Authentifizierung wird die Identität eines Benutzers überprüft, während die Autorisierung bestimmt, welche Zugriffsrechte der authentifizierte Benutzer erhält.

Im Folgenden finden Sie wichtige Empfehlungen für eine Checkliste zur Zugriffskontrolle, mit der sich die API-Sicherheit verbessern lässt:

• Verwenden Sie keine Basic Authentication für die Zugriffskontrolle. Basic Authentication besteht in der Regel aus einfachen Anmeldedaten wie Benutzername und Passwort, die von einem entschlossenen Angreifer leicht kompromittiert werden können. Verwenden Sie stattdessen stärkere Methoden zur Zugriffskontrolle wie OAuth oder JSON Web Tokens (JWTs).
• Befolgen Sie die Best Practices für API-Token. API-Token werden häufig verwendet, um Zugriff auf API-Endpunkte und -Dienste zu gewähren. Ein unsachgemäßer Umgang mit ihnen kann dazu führen, dass sensible Systeme unbefugten Zugriffen oder Missbrauch ausgesetzt sind. Beschränken Sie den Geltungsbereich und die Berechtigungen von Token, legen Sie für Zugriffstoken immer ein Ablaufdatum fest und speichern und übertragen Sie Token sicher.
• Prüfen Sie auf fehlerhafte Authentifizierung und Autorisierung. Identifizieren und beheben Sie häufige Sicherheitsschwachstellen im Zusammenhang mit der Authentifizierung von Benutzern und ihren Zugriffsberechtigungen. Zu diesen Bedrohungen gehört fehlerhafte Authentifizierung. Diese liegt vor, wenn Angreifer durch die Kompromittierung von Passwörtern, Schlüsseln, Sitzungstoken oder Benutzerkontoinformationen die Identität legitimer Benutzer annehmen können. Eine fehlerhafte Autorisierung auf Objekteigenschaftsebene (Broken Object Property Level Authorization, BOLA) tritt auf, wenn eine Anwendung Zugriffskontrollen auf Objekt- oder Datenebene nicht ordnungsgemäß durchsetzt. Dadurch kann ein Angreifer Autorisierungsprüfungen manipulieren oder umgehen und sich unbefugten Zugriff auf bestimmte Objekte oder Daten innerhalb einer Anwendung verschaffen. Eine fehlerhafte Autorisierung auf Funktionsebene liegt vor, wenn eine API Autorisierungsprüfungen auf Funktions- oder Vorgangsebene nicht ordnungsgemäß durchsetzt. Dadurch können Angreifer auf nicht autorisierte Funktionen zugreifen oder legitime Funktionen manipulieren.
• Identitätsspeicher absichern. Schützen Sie Systeme, in denen sensible identitätsbezogene Daten wie API-Schlüssel, Authentifizierungsprotokolle und Benutzeranmeldedaten gespeichert werden. Dazu gehören die Verschlüsselung ruhender Daten, die Beschränkung des Zugriffs und der Einsatz strenger Zugriffskontrollen. Durch die Absicherung von Identitätsspeichern verringern Unternehmen das Risiko, dass Angreifer unbefugten Zugriff auf kritische Authentifizierungs- und Autorisierungsinformationen erhalten.
• Verwenden Sie ein API-Gateway. Verwalten Sie die Zugriffskontrolle für alle APIs zentral an einem Ort. Dadurch lassen sich einheitliche Richtlinien wie Authentifizierung, Ratenbegrenzungen und Autorisierungsregeln leichter durchsetzen. Indem Unternehmen diese Kontrollen über das Gateway anwenden, verringern sie das Risiko von Fehlkonfigurationen und gewährleisten einen einheitlichen Schutz für alle APIs.
• Verschlüsseln Sie alle sensiblen Daten. Die Verschlüsselung schützt Daten, die über APIs übertragen werden, sowohl während der Übertragung als auch im Ruhezustand vor unbefugtem Zugriff. Selbst wenn Angreifer den Netzwerkverkehr abfangen oder Zugriff auf Speichersysteme erlangen, bleiben verschlüsselte Daten ohne die entsprechenden Entschlüsselungsschlüssel unlesbar. Dies trägt dazu bei, die Vertraulichkeit und Integrität der Daten zu gewährleisten und gesetzliche Vorgaben einzuhalten.
• Ratenbegrenzung implementieren. Durch die Begrenzung der Anzahl von API-Anfragen, die ein Client innerhalb eines bestimmten Zeitraums stellen kann, lassen sich Distributed-Denial-of-Service-Angriffe (DDoS), bei denen Angreifer eine API mit Datenverkehr überlasten, sowie Credential-Stuffing-Angriffe verhindern, indem wiederholte Anmeldeversuche verlangsamt oder blockiert werden.

2. Eingabe und Ausgabe

Die Validierung von API-Eingaben verhindert, dass Hacker schädliche API-Anfragen übermitteln, während die Verwaltung der Ausgaben vor Datenverlust schützt, indem sie sicherstellt, dass die API keine sensiblen Daten preisgibt.

Im Folgenden finden Sie wichtige Empfehlungen für eine Checkliste zur Ein- und Ausgabe, um die API-Sicherheit zu verbessern:

• Benutzereingaben für den Content-Type-Header und das Datenformat validieren. Der Content-Type-Header teilt der API mit, welche Art von Daten gesendet wird. Durch seine Validierung wird sichergestellt, dass die API nur erwartete und unterstützte Formate verarbeitet. Die Überprüfung des Datenformats stellt sicher, dass die Struktur der Nutzdaten den Erwartungen oder Vorgaben der API entspricht. Diese Validierungen können Injection-Angriffe verhindern, indem unerwartete oder fehlerhafte Eingaben abgelehnt werden.
• Erzwingen Sie für jede Art von API-Anfrage die richtige HTTP-Methode. Die strikte Durchsetzung der HTTP-Methoden gewährleistet ein vorhersehbares Verhalten der API und schützt vor Missbrauch oder Rechteausweitung. Beispielsweise sollte GET nur Daten abrufen und nicht ändern, POST wird für Erstellungsanfragen verwendet, PUT/PATCH sollte für Ersetzungs- bzw. Aktualisierungsanfragen und DELETE für Löschanfragen verwendet werden. Werden diese HTTP-Methoden nicht strikt durchgesetzt, könnten böswillige Benutzer die API ausnutzen, indem sie eine nicht autorisierte Methode verwenden – etwa indem sie eine POST- oder PUT-Anfrage an einen GET-Endpunkt senden –, um Daten zu ändern, die sie lediglich anzeigen dürfen.
• Auf schädliche und falsch konfigurierte Eingaben testen. Beim Testen auf Injection-Schwachstellen und Fehlkonfigurationen wird die API aktiv daraufhin überprüft, ob sie Benutzereingaben ordnungsgemäß verarbeitet und bereinigt, um Angriffe zu verhindern. SQL-Injections treten auf, wenn ein Angreifer speziell präparierte Eingaben übermittelt, die die Datenbankabfrage manipulieren und dadurch möglicherweise Daten offenlegen, verändern oder löschen. Falsch konfigurierte Eingabeeinstellungen können es Angreifern hingegen ermöglichen, Kontrollen zu umgehen oder auf sensible Daten zuzugreifen.
• Stellen Sie sicher, dass APIs niemals sensible Daten zurückgeben. Konfigurieren Sie die API so, dass in ihren Antworten keine vertraulichen oder sicherheitskritischen Informationen offengelegt werden. Anmeldedaten und Passwörter dürfen niemals in API-Antworten erscheinen, auch nicht in Fehlermeldungen, da sie abgefangen oder missbraucht werden könnten. Zugriffstoken, Aktualisierungstoken oder Sitzungs-IDs müssen geschützt und dürfen nur in kontrollierten, sicheren Kontexten zurückgegeben werden. Fingerprinting-Header können Informationen über den Server oder den Anwendungs-Stack preisgeben, die Angreifern dabei helfen könnten, gezielte Exploits zu entwickeln.
• Stellen Sie sicher, dass APIs nach Abschluss einer Anfrage einen geeigneten Statuscode zurückgeben. Die API sollte das Ergebnis einer Anfrage mithilfe von Standardstatuscodes korrekt übermitteln, um Klarheit, Konsistenz und ein sicheres Verhalten zu gewährleisten. Zu diesen Statuscodes gehören unter anderem 200 OK, 400 Bad Request, 401 Unauthorized und 405 Method Not Allowed.
• Stellen Sie sicher, dass APIs allgemeine Fehlermeldungen zurückgeben. Detaillierte Fehlermeldungen können interne Funktionsweisen der API offenlegen, etwa die Datenbankstruktur, die Serverkonfiguration oder die Authentifizierungslogik. Angreifer können diese Informationen nutzen, um gezielte Angriffe wie SQL-Injection, Rechteausweitung oder das systematische Ausprobieren von Anmeldedaten durchzuführen.

3. API-Sicherheitstests

API-Sicherheitstests sollten kontinuierlich durchgeführt werden – und nicht nur bei der erstmaligen Bereitstellung –, da APIs dynamisch sind und häufig aktualisiert oder um neue Funktionen erweitert werden. Darüber hinaus entwickelt sich auch die Bedrohungslandschaft weiter, da Angreifer ständig neue Techniken entwickeln.

Im Folgenden finden Sie wichtige Empfehlungen für eine Checkliste für API-Sicherheitstests:

• Führen Sie Funktionstests durch. Stellen Sie sicher, dass die Kernfunktionen der API wie vorgesehen funktionieren und auch nach der Einführung neuer Funktionen oder der Installation von Patches stabil bleiben.
• Performance testen. Führen Sie einen Lasttest der API durch, um ihre Leistungsgrenzen zu ermitteln und festzustellen, wie lange die API benötigt, um sich nach einem Vorfall wieder zu erholen.
• Führen Sie Schwachstellenscans und Penetrationstests durch. Verwenden Sie einen automatisierten API-Scanner, um den Quellcode zu testen und nach Laufzeitfehlern zu suchen, und führen Sie regelmäßig Penetrationstests durch, um API-Schwachstellen gegenüber komplexeren, neuen oder neuartigen Angriffen zu identifizieren.

4. Überwachung

Die Überwachung von APIs ist von entscheidender Bedeutung, da sie dabei hilft, Bedrohungen in Echtzeit zu erkennen und eine Vergleichsbasis für „normale“ Aktivitäten zu schaffen, die zur Identifizierung von Anomalien erforderlich ist. Durch kontinuierliche Überwachung können Sicherheitsteams ungewöhnliche Muster wie einen sprunghaften Anstieg des Datenverkehrs, wiederholte fehlgeschlagene Anmeldeversuche oder eine ungewöhnliche Nutzung von Endpunkten schnell erkennen – häufig Anzeichen für Angriffe.

Eine Checkliste für das API-Monitoring sollte Folgendes enthalten:

• Verwenden Sie ein API-Discovery-Tool, um kontinuierlich nach neuen APIs zu suchen und diese zu dokumentieren. Was Sie nicht kennen, können Sie auch nicht schützen. Entwickler stellen APIs möglicherweise ohne formelle Genehmigung bereit oder testen sie, wodurch nicht erfasste oder undokumentierte Endpunkte („Schatten-APIs“) entstehen. Diese können von Sicherheitsteams übersehen und zu leichten Zielen für Angreifer werden. Durch kontinuierliche Erkennung wird sichergestellt, dass jede öffentlich zugängliche API inventarisiert, bewertet, abgesichert und ordnungsgemäß verwaltet wird.
• Führen Sie einen zentralen Katalog aller APIs. Eine zentrale, strukturierte Übersicht über das gesamte API-Ökosystem vereinfacht die API-Überwachung durch bessere Transparenz, effizientere Verwaltung und schnellere Reaktion auf Sicherheitsvorfälle.
• API-Datenverkehr protokollieren und analysieren. Erkennen Sie unerwartete Spitzen beim Anfragevolumen, die auf einen DDoS-Angriff hindeuten können, und überwachen Sie Anfragen aus ungewöhnlichen geografischen Regionen, die für legitime Benutzer untypisch sind und auf unbefugte Zugriffsversuche hinweisen können. Ein Anstieg fehlgeschlagener Anfragen kann auf Credential-Stuffing-Aktivitäten oder falsch konfigurierte Clients hindeuten, die wiederholt ungültige Eingaben an die API senden.

5. API-Sicherheitsstandards: OWASP und NIST

Das Open Worldwide Application Security Project (OWASP) und das National Institute of Standards and Technology (NIST) veröffentlichen beide Best Practices für Cybersicherheit.

• OWASP konzentriert sich speziell auf Anwendungssicherheit und veröffentlicht Listen der häufigsten Risiken für Webanwendungen und große Sprachmodelle. Die OWASP Top 10 API Security Risks bieten konkrete Handlungsempfehlungen für die sichere Gestaltung von APIs und für Sicherheitstests.
• NIST befasst sich umfassend mit Cybersicherheit und veröffentlicht das NIST Cybersecurity Framework (CSF). Das NIST CSF hilft dabei, Ihre API-Sicherheit mit übergeordneten Strategien in Einklang zu bringen. Es gliedert sich in sechs Säulen: Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen und Steuern.

6. API-Sicherheitstools

Aufgrund des Trends hin zu einem API-First-Anwendungsdesign und der zunehmenden Verbreitung von APIs bietet eine umfassende Lösung zum Schutz von Webanwendungen und APIs (WAAP) den wirksamsten Schutz für API-Landschaften. Eine WAAP-Lösung gewährleistet ganzheitliche Sicherheit und vereint eine Web Application Firewall (WAF), Dienste zur Erkennung und zum Schutz von APIs, DDoS-Abwehr und Bot-Management in einer einzigen Lösung.

Zu den wichtigsten Vorteilen von WAAP gehören:

• Verbesserte Beobachtbarkeit. Umfassende Einblicke in den Datenverkehr von Webanwendungen und APIs durch Protokollierung, Metriken und Echtzeitanalysen ermöglichen es Sicherheitsteams, Anomalien zu erkennen, Probleme schneller zu beheben und verwertbare Erkenntnisse über Benutzeraktivitäten und neu auftretende Bedrohungsmuster zu gewinnen.
• Integrierter, umfassender Schutz. WAAP kombiniert eine leistungsstarke API-Erkennung und -Transparenz mit wichtigen Durchsetzungsfunktionen zur Kontrolle und Abwehr von API-Bedrohungen. Dazu gehören spezielle Funktionen für Positiv- und Negativlisten, Ratenbegrenzung und Geo-IP-Filterung sowie die Erstellung benutzerdefinierter Regeln. Darüber hinaus umfasst WAAP Schutz vor DoS-Angriffen auf Schicht 7, Funktionen zur Verhinderung von Datenverlust (Data Loss Prevention, DLP), mit denen sensible Daten erkannt und maskiert werden können, Bot-Management und eine WAF – alles in einer einzigen Lösung. Dieser ganzheitliche Ansatz gewährleistet, dass APIs sowohl transparent als auch geschützt sind, und ermöglicht so eine ordnungsgemäße Governance und eine zuverlässige API-Performance.
• Zentrale Richtlinienverwaltung. WAAP verwaltet die Sicherheitsrichtlinien für alle Webanwendungen und APIs über eine zentrale Steuerungsstelle – unabhängig davon, wo die Anwendungen gehostet werden oder wie ihre zugrunde liegende Architektur aufgebaut ist. Dieser zentrale Ansatz gewährleistet eine einheitliche Durchsetzung, minimiert Konfigurationsfehler und vereinfacht den Sicherheitsbetrieb in heterogenen Umgebungen.
• Optimierte Richtlinienverwaltung und -pflege. Durch die Automatisierung und Optimierung der Implementierung und Aktualisierung von Richtlinien für Anwendungen und APIs erleichtern WAAP-Lösungen die bedarfsgerechte Anwendung, Verfeinerung und Anpassung von Richtlinien für alle Anwendungen und APIs, um auf sich wandelnde Bedrohungen und ein verändertes Anwendungsverhalten zu reagieren. Dies reduziert den manuellen Aufwand, beschleunigt die Reaktion auf neu auftretende Exploits und gewährleistet eine einheitliche Durchsetzung in allen Systemen.
• Lückenlose Audit-Trails. Detaillierte Protokolle und Audit-Trails zu Zugriffen, Richtlinienänderungen und Sicherheitsereignissen sind unerlässlich, um die Einhaltung gesetzlicher und branchenspezifischer Standards über alle Bedrohungsvektoren und Komponenten einer Anwendung hinweg nachzuweisen, einschließlich APIs, Infrastruktur und Daten.

API-Sicherheit von F5

F5 bietet API-Sicherheit als Teil seiner Lösungen für Web Application and API Protection (WAAP). Diese schützen APIs in komplexen Hybrid- und Multi-Cloud-Umgebungen, reduzieren die Komplexität und steigern zugleich die betriebliche Effizienz. Die WAAP-Lösungen von F5 bieten einen umfassenden Ansatz zum Schutz von APIs während ihres gesamten Lebenszyklus – von der Entwicklungs- und Testphase über die Veröffentlichung und den Betrieb bis hin zur Überwachung.

Die WAAP-Lösungen von F5 minimieren Risiken und verbessern die digitale Resilienz, indem sie die kritische Geschäftslogik, auf der Webanwendungen und APIs basieren, kontinuierlich schützen. Durch die dynamische Erkennung von APIs sowie die kontinuierliche Überwachung und Bedrohungserkennung sorgen sie für umfassende API-Transparenz und schützen API-Endpunkte zugleich mit wichtigen Kontroll- und Durchsetzungsmechanismen. Die WAAP-Lösungen von F5 können in jeder Umgebung bereitgestellt werden – lokal, in der Cloud oder als Service.

Über den Autor

F5 Newsroom Staff

Weitere Blogbeiträge von F5 Newsroom Staff