Laut einem aktuellen Forschungsbericht von Google Cloud war die Hälfte der befragten Unternehmen in den vergangenen zwölf Monaten von einem API-Sicherheitsvorfall betroffen.1 Die Zunahme von Angriffen zur Kontoübernahme über APIs erhöht das Geschäftsrisiko – mit möglichen Umsatzverlusten und einem potenziellen Vertrauensverlust bei Kunden – und belastet zusätzlich die für Produktveröffentlichungen zuständigen Anwendungsteams, da Bereitstellungs-, Implementierungs- und Wartungsprozesse gestört werden.
Erörtern Sie drängende Fragen der API-Sicherheit, um sich in der Bedrohungslandschaft besser zurechtzufinden
Während sich Unternehmen mit der Realität von API-basierter Sicherheitsvorfällen auseinandersetzen, suchen viele nach unkomplizierten, praxisnahen Ansätzen, um Bedrohungen einen Schritt voraus zu sein, ohne ihre betrieblichen Abläufe zu beeinträchtigen. Sie fragen sich: „Welche Maßnahmen ergreifen wir, um den API-Datenverkehr zu analysieren, Bots und Missbrauch zu erkennen und unbefugte Zugriffe zu verhindern, die zu Betrug oder Datendiebstahl führen könnten?“
Kürzlich kamen mehrere App-Entwickler und Sicherheitsexperten mit F5 und Google Cloud zu einem Gespräch darüber zusammen, wie sich die Bedrohung durch Kontoübernahmen abwehren lässt, die über die zahlreichen APIs ihrer Anwendungen verheerenden Schaden anrichten können.
Dieses Webinar – Die Bedrohung durch Kontoübernahmen abwehren – diskutieren Sie mit uns über API-Sicherheit – sollte DevOps- und InfoSec-Teams dabei unterstützen, gemeinsam diese Herausforderungen im Bereich der API-Sicherheit erfolgreich zu bewältigen. Zu den Themen gehörten:
- Die aktuelle Bedrohungslage für APIs
- Warum herkömmliche Verfahren zur Bot-Erkennung nicht mehr wirksam sind
- Möglichkeiten zur Minderung potenzieller Marken- und Reputationsschäden
Falls Sie nicht an der Live-Sitzung teilnehmen konnten, keine Sorge: Einige der Highlights finden Sie in diesem Blogbeitrag. Außerdem können Sie auf die Aufzeichnung auf Abruf zugreifen.
Vorbereiten, schützen und reagieren
Im weiteren Verlauf des Gesprächs erläuterten unsere Diskussionsteilnehmer, wie APIs Sicherheitsrisiken verursachen können und was Unternehmen tun können, um API-basierte Kontoübernahmen zu verhindern. Sie betonten, dass die digitale Angriffsfläche aufgrund der enormen Anzahl der heute eingesetzten APIs exponentiell gewachsen ist und vielen Unternehmen schlicht die für einen wirksamen Schutz erforderliche Transparenz fehlt. Um eine ausreichende Transparenz zu erreichen, empfahlen unsere Experten Unternehmen, die folgenden Fragen zu beantworten:
- Welche APIs gibt es in unserer Umgebung?
- Auf welche Ressourcen kann über diese APIs zugegriffen werden?
- Wer nutzt die APIs?
- Welche spezifischen geschäftlichen Schwachstellen werden durch diese APIs offengelegt?
Um API-gestützte Cyberbedrohungen wirksam zu bekämpfen, müssen Unternehmen herausfinden, wie ihre DevOps-, Informationssicherheits- und Geschäftsteams am besten zusammenarbeiten können, um Schutzmaßnahmen zu implementieren, bevor es Angreifern gelingt, Benutzerkonten zu übernehmen. Ein wirksames Cybersicherheitsprogramm erfordert eine umfassende Strategie, die die richtigen Tools und Erkenntnisse, einen soliden funktionsübergreifenden Plan, eine effektive Zusammenarbeit der Teams, die Fähigkeit zur Bewertung und Messung von Fortschritt und Sicherheitslage sowie die nötige Sicherheit umfasst, der Führungsebene und dem gesamten Unternehmen offen darüber zu berichten, wie gut die Strategie funktioniert.
Um die Abwehr zu verbessern, empfehlen unsere Experten, bereits während der Anwendungsentwicklung und -bereitstellung Schutzmaßnahmen zu integrieren und nach der Bereitstellung eine Echtzeitüberwachung einzurichten. So können Teams schnell reagieren, bevor etwas Schlimmes passiert. Dieser umfassende, mehrschichtige Ansatz ermöglicht die skalierbare Erfassung einer Kombination aus Multicloud-Netzwerkverkehr sowie Daten verteilter Anwendungen und APIs und unterscheidet dabei automatisch zwischen gutartigem und bösartigem Verhalten und entsprechenden Aktivitäten.
Letztlich kommt es bei der API-Sicherheit darauf an, bestmögliche Transparenz und Echtzeitinformationen zur Laufzeit zu erhalten, um jedes Szenario angemessen zu bewältigen.
API-gestütztes Wachstum skalieren und schützen
Die Diskussionen während des Webinars haben gezeigt, dass viele DevOps- und InfoSec-Fachleute die Bedeutung der API-Sicherheit bereits verstehen und wissen, wie wichtig es ist, ein reibungsloses Kundenerlebnis mit einem fortschrittlichen Schutz vor automatisierter, botgestützter Kontoübernahme in Einklang zu bringen. Doch obwohl dieses Bewusstsein vorhanden ist, fällt es vielen nach wie vor schwer, effektive und skalierbare Lösungen für diese Herausforderungen zu finden.
Um diese Schwierigkeiten zu bewältigen, stellte die Diskussionsrunde einige Anwendungsbeispiele und Fallstudien vor, die Best Practices für die Kommunikation mit den wichtigsten Stakeholdern aufzeigen, die für den Schutz des von ihren Unternehmen erwarteten App-basierten Wachstums verantwortlich sind. Zu diesen Maßnahmen gehört es, strategische, gezielte Fragen zu stellen, wie zum Beispiel:
Anwendungsentwicklung: Wie schützen Sie APIs derzeit vor Kontoübernahmeangriffen? Wie stellen Sie sicher, dass APIs keine Kundendaten offenlegen oder Compliance-Risiken verursachen?
Sicherheitsbetrieb: Haben Sie einen vollständigen Überblick darüber, welche Konten möglicherweise gefährdet sind? Können Sie den API-Datenverkehr auf Anzeichen von Missbrauch oder Kompromittierung überwachen?
Netzwerkbetrieb: Wie sichern Sie den API-Datenverkehr in Ihrer gesamten Netzwerkinfrastruktur ab? Haben Sie Bedenken, dass bösartige Bots oder Skripte APIs missbrauchen könnten?
Unternehmensführung: Die Sicherheit von Kundenkonten ist entscheidend, um das Vertrauen der Kunden zu erhalten und Umsatzeinbußen durch betrügerische Transaktionen zu verhindern. Welche Kennzahlen erfassen Sie im Zusammenhang mit Sicherheitsverletzungen?
Google und F5 erwecken Echtzeitschutz für APIs zur Laufzeit zum Leben
Die meisten API-basierten Bedrohungen sind mittlerweile automatisiert, passen sich schnell an dynamische Veränderungen in der Umgebung an und entwickeln sich ständig weiter, um Schutzmaßnahmen noch raffinierter zu umgehen und einer Erkennung zu entgehen. Wirksame API-Sicherheit hängt davon ab, ob ein Unternehmen in der Lage ist, fortschrittliche, automatisierte Schutzmaßnahmen in seine Pipeline für Continuous Integration und Continuous Delivery (CI/CD), seine Betriebsabläufe, seine Infrastruktur und seine Workflows zu integrieren, ohne den Bereitstellungsprozess oder die Benutzererfahrung zu beeinträchtigen.
Google Cloud und F5 verfügen über die Lösungen und das Fachwissen, um Unternehmen dabei zu unterstützen, Betrug durch Kontoübernahmen in allen Umgebungen – Rechenzentren, Clouds und Architekturen – einheitlich zu bekämpfen. API-Schutzmechanismen in Echtzeit erleichtern es DevOps- und InfoSec-Teams, gemeinsam:
- Automatische Erkennung von Endpunkten, die Anwendungen zugeordnet sind
- Positiv- oder Negativlisten für unerwünschte Verbindungen definieren und anwenden
- Netzwerk-, Geräte- und Umgebungstelemetriedaten analysieren
- Anomales Verhalten in Echtzeit erkennen
Wir laden Sie ein, mehr über die Herausforderungen zu erfahren, denen andere bei der API-Sicherheit begegnet sind, und über die von ihnen eingesetzten Lösungen. Sehen Sie sich dazu die vollständige On-Demand-Aufzeichnung des Webinars Die Bedrohung durch Kontoübernahmen abwehren – diskutieren Sie mit uns über API-Sicherheit an. Wir sind überzeugt, dass Sie dort Antworten auf viele Ihrer Fragen zu Ihren eigenen Schutzmaßnahmen gegen Kontoübernahmen finden werden, während Sie ein effektiveres API-Sicherheitsprogramm konzipieren und implementieren.
Wenn Sie weitere Fragen haben, stehen wir Ihnen gerne für ein persönliches Gespräch zur Verfügung. Wenden Sie sich an einen unserer Experten für API-Schutz aus unserem F5 Distributed Cloud Team, und testen Sie unbedingt den F5 Distributed Cloud Web App and API Protection (WAAP)-Simulator: https://simulator.f5.com/s/waap
Quellenangabe:
1 Google Cloud, API-Sicherheitsforschungsbericht 2022: Neueste Erkenntnisse und wichtige Trends, 2022
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...