Moderne Anwendungen benötigen eine Reihe fortschrittlicher Funktionen, um ihre gesamte Angriffsfläche ausreichend zu schützen. Web Application Firewalls (WAFs) spielen nach wie vor eine Rolle. Da sich Anwendungen jedoch weiterentwickeln und APIs dauerhaft bestehen bleiben, sind zusätzliche Maßnahmen erforderlich, um die gesamte Anwendungsoberfläche einschließlich eines wachsenden Netzes von API-Verbindungen zu überwachen, nachzuverfolgen und abzusichern.
Mögliche Einschränkungen von WAFs bei der Unterstützung der API-Sicherheit
WAFs sind zwar wertvolle Werkzeuge für die API-Sicherheit, doch nicht alle WAFs sind gleich leistungsfähig. Einige weisen beim Schutz von APIs Einschränkungen auf. Dazu können folgende gehören:
- Umgang mit komplexer API-Autorisierung: APIs verwenden häufig komplexere Autorisierungsmechanismen als die herkömmliche sitzungsbasierte Authentifizierung in Webanwendungen. WAFs können Schwierigkeiten mit komplexen Autorisierungsschemata wie OAuth 2.0, JWT (JSON Web Tokens) oder benutzerdefinierter tokenbasierter Authentifizierung haben.
- Analyse von Protokoll- und Nutzdatenvarianten: APIs können verschiedene Protokolle (REST, GraphQL, SOAP) und Nutzdatenformate (JSON, XML) mit unterschiedlichen Datenstrukturen und Schemata verwenden. WAFs unterstützen das Parsen und Validieren dieser Varianten möglicherweise nur eingeschränkt, was zu einer begrenzten Transparenz und einer höheren Zahl falsch positiver oder falsch negativer Ergebnisse bei der Bedrohungserkennung führen kann.
- Ratenbegrenzung: Die Ratenbegrenzung für APIs ist entscheidend, um missbräuchliches Verhalten und eine Erschöpfung der API-Ressourcen zu verhindern. WAFs können Schwierigkeiten haben, den API-Datenverkehr präzise zu begrenzen, da API-Anfragen dynamisch sind und die Ratenbegrenzung anhand API-spezifischer Parameter erfolgen muss.
- Einblicke in API-spezifische Angriffe: APIs sind anfällig für spezifische Angriffsvektoren wie Parameter Pollution, API-spezifische Injection-Angriffe oder den Missbrauch von APIs. WAFs verfügen möglicherweise nicht über spezielle Regeln oder Heuristiken, um diese API-spezifischen Angriffe wirksam zu erkennen und abzuwehren.
- API-Management-Funktionalität: WAFs konzentrieren sich in erster Linie auf Sicherheitsaspekte und verfügen möglicherweise nicht über die umfassenden API-Management-Funktionen, die für API-Governance, Dokumentation, Versionierung und Entwicklerportale erforderlich sind.
Erweiterung von WAFs für die API-Sicherheit
Es ist wichtig zu beachten, dass WAFs zwar nach wie vor den Grundpfeiler der Anwendungssicherheit und eine grundlegende Schutzebene für APIs bilden, darüber hinaus jedoch weitere Maßnahmen erforderlich sind. Unternehmen erwägen und implementieren aus unterschiedlichen Gründen eine Vielzahl von Ansätzen – etwa aufgrund von Kosten, Komplexität, Fehlannahmen und Missverständnissen darüber, wie APIs angemessen geschützt werden können, und aus weiteren Gründen. Viele Unternehmen ergänzen ihre bestehenden WAFs durch API-Gateways, um ihre APIs zu erstellen, zu verwalten und zu veröffentlichen und dabei Nutzungsrichtlinien durchzusetzen sowie den Zugriff zu kontrollieren. Dies ist ein guter Ausgangspunkt, lässt jedoch weiterhin viele Lücken in der API-Sicherheitsstrategie offen.
Wie geht es also weiter? Wie geht man mit unbekannten bzw. Schatten-APIs um? Wie lässt sich eine granulare Kontrolle von API-Endpunkten umsetzen? Und was ist mit APIs von Drittanbietern, über die man nicht unbedingt die Kontrolle hat? Betrachten wir nur einmal die Herausforderung durch unbekannte APIs – sogenannte Schatten-APIs. Diese können ein Unternehmen dazu veranlassen, nach einem spezialisierten Tool zur API-Erkennung und Schwachstellenanalyse zu suchen, um seine bestehenden Lösungen zu ergänzen und alle Aspekte der API-Sicherheit abzudecken.
Sie sehen, worauf das hinausläuft? Die Dinge werden sehr schnell sehr komplex. Einige Unternehmen mit entsprechendem Budget, Fachwissen und Ressourcen bevorzugen einen Best-of-Breed-Ansatz. Für die meisten jedoch verschärft der Versuch, die API-Angriffsfläche mit einem Flickenteppich aus verschiedenen Lösungen abzusichern, nur eine der größten Herausforderungen im Bereich Sicherheit: KOMPLEXITÄT. Weitere Einzellösungen hinzuzufügen, kann schnell untragbar werden – ganz zu schweigen davon, dass eine effektive Überwachung und Transparenz dadurch erheblich erschwert werden.
Wie WAAPs helfen können – umfassende Sicherheit für Anwendungen und APIs
Hier kommen Web-App- und API-Schutzlösungen (WAAP) ins Spiel. Warum sollten Sie Ihrem ohnehin schon komplexen Anwendungssicherheits-Ökosystem weitere unabhängige Technologien hinzufügen, die wahrscheinlich von verschiedenen Anbietern stammen und Erkenntnisse nicht schlüssig miteinander verknüpfen? Daher die Entwicklung hin zu WAAP-Angeboten und deren Weiterentwicklung. Moderne WAAP-Lösungen können einen Teil der Antwort auf die Sicherheitsanforderungen moderner, auf Microservices basierender Multi-Cloud- und Hybrid-Anwendungsumgebungen darstellen. Sie vereinen die Funktionen herkömmlicher WAFs mit spezialisierten Funktionen, die für die Überwachung und Absicherung von APIs entscheidend sind – und das alles in einer konsolidierten Lösung, die häufig als SaaS bereitgestellt wird.
Häufige Missverständnisse über WAAPs und ihre Fähigkeit, APIs zu überwachen und zu schützen
Es gibt die irrige Annahme, dass WAAPs nicht über die erforderlichen Funktionen für eine umfassende API-Sicherheit verfügen. Zu den Mythen, die Ihnen möglicherweise begegnet sind, gehört, dass WAAPs APIs nicht über längere Zeit überwachen und nachverfolgen sowie Anomalien erkennen können, dass ihnen fortschrittliche Lernfunktionen fehlen, um neue und sich ändernde App- und API-Endpunkte im Blick zu behalten, oder dass sie die Absichten von Endbenutzern nicht nachverfolgen und erkennen können.
Das entspricht schlichtweg nicht der Wahrheit. Viele moderne WAAP-Lösungen wie F5 Distributed Cloud WAAP werden mit KI-/ML-Funktionen entwickelt, die wichtige API-Sicherheitsfunktionen wie die automatische Erkennung von APIs, die Durchsetzung von Schemas, die Erkennung von Benutzer- und API-Anomalien und vieles mehr ermöglichen. Anders als bei vielen ausschließlich auf API-Sicherheit ausgerichteten Einzellösungen, die auf Out-of-Band-Analysen angewiesen sind, erfolgen bei WAAP-Lösungen die Datenverkehrsanalyse und die Blockierung des App- und API-Datenverkehrs innerhalb einer einzigen Inline-Lösung. Daten müssen nicht an eine separate Lösung (oder mehrere Lösungen) gestreamt oder gespiegelt werden, was die Analyse, Erkennung und Abwehr von Bedrohungen verzögern kann.
Weitere Informationen zu F5 Distributed Cloud WAAP und den zugehörigen API-Sicherheitsfunktionen finden Sie auf unserer Website sowie in einer kurzen Demo, die die Lösung im Einsatz zeigt.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...