Die jüngste Offenlegung einer Datenschutzverletzung durch T-Mobile verdeutlicht die Herausforderungen des aufstrebenden „Wilden Westens“ der Anwendungssicherheit – der APIs. Einer Einzelperson (oder Gruppe) gelang es, durch die Nutzung (oder den Missbrauch) einer API die personenbezogenen Daten von über 30 Millionen Kunden zu sammeln und mehr als einen Monat lang täglich Informationen abzuschöpfen, bevor dies entdeckt wurde.
Zum Zeitpunkt der Erstellung dieses Artikels sind nur wenige Details darüber bekannt, wie oder warum die API in diesem Fall missbraucht wurde (z. B. Funktionsmissbrauch, fehlerhafte Autorisierung auf Objektebene, übermäßige Datenpreisgabe) oder wie der Sicherheitsverstoß letztlich entdeckt wurde. Betrachtet man allein die Zahlen, wurden über diese API im Durchschnitt täglich Daten von 902.000 Kunden abgezogen, ohne dass Schwellenwerte zur Ratenbegrenzung, zeitbasierte Verhaltensanomalien usw. ausgelöst wurden. Möglicherweise wurden sie aber doch ausgelöst, jedoch nicht mit einer angemessenen Bedrohungsstufe, die eine schnelle Erkennung und Gegenmaßnahmen durch die Betriebsteams ermöglicht hätte – der Vorfall weist die typischen Merkmale eines schleichenden „Low-and-Slow“-Angriffs auf.
Sicherheitsverletzungen wie diese geben uns die Gelegenheit, darüber nachzudenken, wie allgegenwärtig APIs sind, wie wichtig sie heute für Unternehmen sind und welche besondere Rolle sie für die Sicherheit (oder Unsicherheit) jeder Anwendung und damit einer gesamten Organisation spielen können. Bei einer Analyse von Sicherheitsverletzungen der vergangenen Jahre hat F5 Labs festgestellt, dass bei Vorfällen im Zusammenhang mit APIs die Angriffsmethode in den meisten Fällen technisch sehr einfach ist und öffentlich zugängliche, unzureichend geschützte API-Endpunkte betrifft.
Wenn es um APIs geht, ist Sicherheit leichter gesagt als umgesetzt – zumindest, wenn sie gut umgesetzt werden soll. Angesichts der Flut von Ereignisdaten zur Anwendungssicherheit, die durch die wachsende Zahl der heutzutage von den meisten Unternehmen überwachten Anwendungen und Endpunkte erzeugt wird, scheint es nahezu unmöglich, den Überblick über alles zu behalten.
Dieser Angriff verdeutlicht jedoch drei zentrale Aspekte speziell im Bereich der API-Sicherheit, aus denen alle Unternehmen bei der Priorisierung von Technologien und Dienstleistungen lernen können, die Folgendes bieten:
API-Transparenz und -Erkennung. In diesem Fall ist unklar, ob diese spezifische API bekannt war oder aktiv überwacht wurde. Positive Sicherheit, die auf sicher entwickelten und gut dokumentierten APIs mit Funktionen zur Schema-Durchsetzung beruht, ist entscheidend, aber nur die halbe Miete. Die meisten Unternehmen haben wahrscheinlich keinen vollständigen Überblick über alle in ihrer Umgebung betriebenen APIs. Daher ist es von größter Bedeutung, APIs, die noch nicht dokumentiert sind, über sämtliche Kommunikationspfade einer Anwendung hinweg kontinuierlich zu erkennen und abzubilden. Erkennungstechnologien ermöglichen es Unternehmen, ihre gesamte API-Landschaft abzubilden. Dabei werden unbekannte bzw. Schatten-APIs, aufgegebene oder Zombie-APIs, die blockiert oder entfernt werden sollten, sowie unbekannte „legitime“ APIs aufgedeckt, die in die Governance einbezogen werden sollten. Dies ermöglicht eine umfassendere Kontrolle.
Zu wissen, dass eine API existiert, und über Funktionen zur Zugriffskontrolle zu verfügen, sind zwei entscheidende Teile des API-Sicherheitspuzzles. In unserem Bericht zum Stand der Anwendungsstrategie 2022 stuften 68 % der Befragten Authentifizierung und Autorisierung als die wertvollsten Komponenten der API-Sicherheit ein – dicht gefolgt von Verhaltensanalyse und Anomalieerkennung zur Überwachung von APIs sowie zur Erkennung ungewöhnlichen Verhaltens und potenziellen Missbrauchs und zur entsprechenden Warnung, da Angreifer Authentifizierung und Autorisierung auf vielfältige Weise leicht umgehen können. In diesem Szenario muss etwas an den zwischen der API und dem Client übertragenen Daten ungewöhnlich gewesen sein. Um das Verhalten einer API nach ihrer Inbetriebnahme im Zeitverlauf nachverfolgen zu können, werden in der Regel API-Anfragen analysiert und Zeitreihen auf Anomalien untersucht. So lassen sich grundlegende Verhaltensmerkmale ermitteln, anhand derer Anomalien bei Anfrageraten, Fehlern, Latenz, Durchsatz usw. erkannt werden können. Bei dieser Funktionalität ist eine Warnkomponente unerlässlich, die auf Probleme hinweist, wenn unerwartete Spitzen oder Einbrüche auftreten, ungewöhnliche Datenverkehrsmuster vorliegen oder auffällige API-Anfragen erkannt werden.
Zur Vervollständigung eines modernen API-Sicherheits-Stacks ist eine Inline-Engine zur Durchsetzung der Anwendungs- und API-Sicherheit erforderlich, die höchstwahrscheinlich eine WAF mit mehreren Ebenen von Anwendungssicherheitsfunktionen umfasst, darunter die granulare Durchsetzung von L7-Richtlinien mit Ratenbegrenzung, IP-Reputationsprüfung, Zulassungs- und Sperrlistenfunktionen sowie L7-DoS-Schutz mit Funktionen zur eingehenderen Untersuchung bösartiger Endpunkte, Benutzer und anderer Aktivitäten und zur Einleitung entsprechender Maßnahmen. So können Betriebsteams mutmaßlichen API-Missbrauch schnell und einfach erkennen, sobald Anomalien festgestellt werden, und Richtlinien erstellen, um diesen Missbrauch zu unterbinden. Dadurch werden APIs und Anwendungsendpunkte im Laufe ihrer Weiterentwicklung und bei verändertem Verhalten besser geschützt.
Mit der Zeit werden sicherlich weitere Details bekannt werden, und wir werden mehr darüber erfahren, was bei diesem konkreten Sicherheitsvorfall genau passiert ist. Entscheidend ist jedoch, dass Unternehmen diese drei Elemente nutzen, um ihre Strategie zu bewerten und einen besseren Plan zum Schutz ihrer Anwendungen und API-Endpunkte vor derartigem Missbrauch zu entwickeln.
Erfahren Sie mehr über Herausforderungen bei der API-Sicherheit sowie Tipps für moderne Anwendungsentwicklung und API-Sicherheit
Dieser Forrester-Bericht „API Insecurity“ beleuchtet die zunehmenden Herausforderungen bei der modernen App-Entwicklung und API-Sicherheit und gibt Tipps, wie sich Sicherheit in moderne Workflows für die App- und API-Entwicklung integrieren lässt.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...