Die digitale Landschaft entwickelt sich ständig weiter – und mit ihr die Bedrohungen für den öffentlichen Sektor und die kritische Infrastruktur eines Landes. Jüngste, gut dokumentierte Angriffe wie der Sicherheitsvorfall beim US-Finanzministerium Ende letzten Jahres und der Hackerangriff auf den Mobilfunkanbieter T-Mobile, der 2023 bekannt gegeben wurde, führen uns die bestehenden Schwachstellen deutlich vor Augen.
Und zunehmend finden sich diese Schwachstellen in Programmierschnittstellen, kurz APIs. Tatsächlich prognostizierte Gartner kürzlich, dass APIs zum wichtigsten Angriffsvektor werden für Webanwendungen, und meine Erfahrung bestätigt diesen Trend.
Auf dem diese Woche stattfindenden AppWorld Public Sector Symposium, das morgen in Tysons Corner, Virginia, beginnt, werden wir über den Schutz von APIs sowie weitere neue Trends bei der Anwendungsbereitstellung und -sicherheit sprechen. Diese Veranstaltung bietet eine wichtige Gelegenheit, diese Herausforderungen zu untersuchen und wirksame Lösungen zu erörtern.
Die Bedrohung durch Schatten-APIs aufdecken
Eine der größten Herausforderungen, die mir immer wieder begegnet, ist die mangelnde Transparenz hinsichtlich Schwachstellen im Netzwerk. Viele Unternehmen wissen schlichtweg nicht, wie viele APIs sie im Einsatz haben. Wir haben für Kunden API-Bestandsaufnahmen durchgeführt, die davon ausgingen, etwa 100 APIs zu nutzen – tatsächlich waren es jedoch fast 30.000! Das ist keine Seltenheit und stellt ein erhebliches Sicherheitsrisiko dar.
APIs sind in komplexen Ökosystemen im Einsatz und in einem Flickenteppich aus Architekturen, Komponenten, Typen und Protokollen verborgen. Im Durchschnitt nutzen Unternehmen mehr als 20.000 APIs. Bis 2030 wird die Gesamtzahl der im öffentlichen und privaten Sektor eingesetzten APIs voraussichtlich 2 Milliarden übersteigen. Die größten Herausforderungen bei ihrer Verwaltung und Absicherung sind meist eine unzureichende Dokumentation oder Schwierigkeiten bei ihrer Erkennung.
“Die Komplexität der API-Verwaltung über mehrere Clouds hinweg kann Sicherheitsteams schnell überfordern, wenn ihnen ein umfassender Überblick über sämtliche APIs und deren Sicherheitsstatus fehlt.”
Dieses Phänomen der „Schatten-IT“, bei dem sich unbekannte oder nicht verwaltete APIs unkontrolliert ausbreiten, schafft einen idealen Nährboden für Sicherheitslücken. Diesen APIs fehlen häufig angemessene Sicherheitskontrollen, wodurch sie zu leichten Zielen für böswillige Akteure werden. Stellen Sie es sich so vor, als ließen Sie Türen und Fenster Ihres Hauses unverschlossen – eine offene Einladung für alle, die eindringen wollen.
API-Ausnutzung und Angriffsvektoren verstehen
APIs geraten zunehmend ins Visier sowohl staatlicher Akteure als auch cyberkrimineller Organisationen. APIs von Behörden und Verteidigungseinrichtungen sind ebenso anfällig wie öffentlich zugängliche APIs. Aufgrund der sensiblen Daten, die sie verarbeiten, sind sie als Angriffsziele sogar noch attraktiver.
APIs können als Einstiegspunkte für tiefergehende Angriffe auf Netzwerke dienen. Eine kompromittierte API kann Zugriff auf interne Systeme, Datenbanken und andere kritische Ressourcen ermöglichen. Das ist, als würde man einen Geheimgang in das Herzstück Ihres Unternehmens finden. Wie der Fall des US-amerikanischen Netzbetreibers T-Mobile gezeigt hat, können Bedrohungsakteure Schwachstellen in APIs ausnutzen, um sich unbefugten Zugriff auf vertrauliche Daten zu verschaffen, die im Darknet einen hohen Wert haben. In diesem Fall stahlen die Angreifer die personenbezogenen Daten von 37 Millionen bestehenden Kundenkonten.
Erschwerend kommt hinzu, dass ein Unternehmen möglicherweise nicht die vollständige Kontrolle über alle APIs hat, die mit seinen Systemen in Kontakt kommen.
Die Angreifer auf das US-Finanzministerium verschafften sich über eine Schwachstelle in einer Softwarekomponente eines Drittanbieters Zugang – ironischerweise in einer Software, die Teil der Cyberabwehr des Ministeriums war. Solche Angriffe auf die Lieferkette können Organisationen jeder Größe und Bedeutung treffen. Zahlreiche Beispiele wie der Angriff auf SolarWinds und die Gruppe Volt Typhoon sorgten bereits für Schlagzeilen.
Robuste API-Sicherheitsmaßnahmen müssen alle Aspekte berücksichtigen. Unser Bericht „State of Application Strategy 2024: API-Sicherheit“ zeigt, welche APIs offenbar den größten Risiken ausgesetzt sind, welche häufig nicht geschützt werden und wie API-Sicherheitsmodelle und Verantwortlichkeiten möglicherweise angepasst werden müssen, um APIs im KI-Zeitalter zu schützen. Kleiner Vorgeschmack: Auch Zero-Trust-Sicherheit hat einen blinden Fleck, wenn sie APIs nicht mit einbezieht.
Kann KI Ihr Verbündeter bei der API-Sicherheit sein? KI-gestützte Abwehr nutzen
KI verschärft die Herausforderungen bei der API-Sicherheit, trägt aber zugleich zu deren Bewältigung bei. Gartner schätzt, dass die Einführung von KI bis 2026 für mehr als 30 % der steigenden Nachfrage nach APIs verantwortlich sein wird, da große Sprachmodelle zahlreiche APIs benötigen, um Daten zu erfassen und auszutauschen. Jede API muss dokumentiert und abgesichert werden, wodurch sich zahlreiche Möglichkeiten für böswillige Aktivitäten ergeben.
Glücklicherweise sind Unternehmen nicht schutzlos, und KI entwickelt sich zu einem leistungsstarken Instrument für die Abwehr. KI und maschinelles Lernen können den API-Datenverkehr in Echtzeit analysieren und dabei Anomalien und verdächtiges Verhalten erkennen, die Menschen bei einer manuellen Prüfung unmöglich identifizieren könnten.
KI kann APIs klassifizieren, normale Verhaltensmuster erkennen und auf potenziellen Missbrauch oder Sicherheitslücken hinweisen. Sie kann außerdem dazu eingesetzt werden, Sicherheitsrichtlinien dynamisch zu erstellen, sich an neue Bedrohungen anzupassen und sicherzustellen, dass Ihre APIs jederzeit geschützt sind. Es ist, als würde ein unermüdlicher, intelligenter Sicherheitsdienst Ihren API-Datenverkehr ständig überwachen.
Konsistenten Schutz über verschiedene Umgebungen hinweg gewährleisten
Heutige Organisationen des öffentlichen Sektors nutzen Hybrid- und Multicloud-Umgebungen – mit AWS, Azure, Google Cloud und anderen Anbietern –, um Skalierbarkeit und Ausfallsicherheit zu erreichen. Dies erschwert jedoch zugleich die API-Sicherheit. Die grundlegenden Unterschiede zwischen den Cloud-Anbietern mit ihren jeweils eigenen Sicherheitstools und Konfigurationen führen zu einer fragmentierten Sicherheitsarchitektur. Wer sich ausschließlich auf die nativen Sicherheitsfunktionen der Cloud verlässt, hinterlässt Lücken, die Angreifer nur allzu gern ausnutzen. Das ist, als wollte man eine Burg mit verschiedenen Armeen verteidigen, die sich untereinander nicht abstimmen.
Die Komplexität der API-Verwaltung über mehrere Clouds hinweg kann Sicherheitsteams schnell überfordern, wenn ihnen ein umfassender Überblick über sämtliche APIs und deren Sicherheitsstatus fehlt. Um diese Herausforderung zu bewältigen, ist ein einheitlicher Ansatz erforderlich. Dieser beginnt mit einem einzigen, konsistenten Satz von Sicherheitsrichtlinien für alle Clouds, der Authentifizierung, Autorisierung und weitere Aspekte abdeckt. Ebenso unerlässlich sind standardisierte Sicherheitskontrollen, die überall ein grundlegendes Schutzniveau gewährleisten.
Automatisierte Sicherheitstests, die in den API-Entwicklungszyklus integriert sind, ermöglichen zudem die frühzeitige Erkennung von Schwachstellen. Echtzeitüberwachung und Bedrohungserkennung schaffen Transparenz und ermöglichen eine schnelle Reaktion auf Vorfälle. Gleichzeitig steuert ein robustes Identity-and-Access-Management-System (IAM) den API-Zugriff, während klare Richtlinien für die API-Governance einheitliche Sicherheitspraktiken gewährleisten.
Die Absicherung von APIs in einer Multicloud-Welt erfordert einen proaktiven, zentralisierten und standardisierten Ansatz. Durch die Umsetzung dieser Grundsätze können moderne Organisationen des öffentlichen Sektors und Betreiber kritischer Infrastrukturen Risiken mindern und die dauerhafte Sicherheit ihrer APIs gewährleisten. Letztlich geht es darum, einen starken, anpassungsfähigen Schutz gegen sich ständig weiterentwickelnde Bedrohungen aufzubauen.
Möchten Sie mehr erfahren? Hören Sie sich den aktuellen Federal Tech Podcast mit meinem Gespräch mit John Gilroy an. Besuchen Sie außerdem die Webseite F5 Public Sector Solutions.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...