Nachdem Sie nun wissen, wie wichtig API-Sicherheit ist …

F5

(Einen kurzen Überblick über den Aufstieg der API-Sicherheit zu einem aktuellen Branchenthema finden Sie in diesem kürzlich veröffentlichten Blogbeitrag. Die folgenden Empfehlungen knüpfen daran an und zeigen auf, was Sie dagegen tun können.)

Ergänzen Sie Ihr API-Gateway durch ein Sicherheits-Gateway

Das explosionsartige Wachstum von APIs schafft neue Märkte sowohl für API-Gateways als auch für API-Sicherheit. Auch wenn diese Bereiche künftig möglicherweise zusammenwachsen, können Sie heute Ihrem API-Gateway eine leistungsfähige Web Application Firewall (WAF) vorschalten, um Bedrohungen abzuwehren. WAFs können bekanntermaßen schädlichen Datenverkehr blockieren, bevor er Ihr API-Gateway erreicht. Dazu nutzen sie sofort einsatzbereite Funktionen wie IP-Reputationsinformationen, Angriffssignaturen, die Erkennung bösartiger Bots und Regelsätze für die OWASP Top 10. Ausgereiftere WAFs wie F5 Advanced WAF verfügen über spezielle Funktionen und ermöglichen die Anpassung von Sicherheitsrichtlinien, um mehrere APIs innerhalb einer einzelnen Domain zu schützen, anstatt lediglich einen globalen Regelsatz pro Domain anzuwenden.

Bei der Berücksichtigung aktueller und künftiger Anforderungen sollten Sie drei Punkte beachten:

1. API-Gateways sind zu strategischen Kontrollpunkten geworden. Da technologische Umstellungen zu noch mehr nicht menschlichem Datenverkehr führen, rückt die API in den Mittelpunkt des Unternehmens. API-Gateways befinden sich am Netzwerkrand und dienen als Eingangspunkt für den gesamten API-Datenverkehr. Für eine wirksame API-Sicherheit sind umfassendere Kontextinformationen, Analysen, eine Aufrufer-ID und Korrelationsfunktionen erforderlich.
   
   
2. Die Lücke zwischen API-Gateways und API-Sicherheitslösungen ist beträchtlich. Herkömmlichen Anbietern von Anwendungssicherheitslösungen fehlen grundlegende API-Gateway-Funktionen wie Versionierung, Orchestrierung und Verbrauchsmessung. Den meisten API-Gateway-Lösungen fehlen die standardmäßigen Sicherheitskontrollen, die in den meisten WAF-Lösungen verfügbar sind. Für eine angemessene Funktionalität und Sicherheit benötigen Sie beides.
   
   
3. Diese Lücke lässt sich mit einem Sicherheits-Gateway schließen. Durch die Ergänzung um eine Advanced WAF mit API-Schutzfunktionen lassen sich die Sicherheitsdefizite der meisten API-Gateways beheben. F5 Advanced WAF hat seine Sicherheitsfunktionen auf APIs und Microservices ausgeweitet. Sie kann zwar nicht den erweiterten Funktionsumfang eines API-Gateways ersetzen, aber gängige Sicherheitskontrollen verbessern und durchsetzen. F5 Advanced WAF unterstützt außerdem deklarative APIs, sodass API-Sicherheitsrichtlinien für agile Umgebungen orchestriert und automatisiert werden können.
   

Security-Gateways können Sicherheitslücken ausgleichen – aber werden Sie nicht nachlässig

Mit zunehmender Reife der Technologie werden API-Gateways dazu beitragen, weitere Sicherheitsrisiken bei APIs zu bewältigen. Ganz so weit sind wir jedoch noch nicht. Eine sorgfältige Planung und bewährte Verfahren tragen wesentlich dazu bei, Ihre APIs kurzfristig angemessen zu schützen. Um Ihre APIs wirksam zu schützen, sollten Sie Folgendes beachten:

1. Verwenden Sie immer ein Sicherheits-Gateway. Ermöglichen Sie Clients keinen direkten, nicht authentifizierten Zugriff auf Ihre API. Leiten Sie den gesamten Datenverkehr zwingend über ein Sicherheits-Gateway oder einen Proxy, der bekanntermaßen schädlichen Datenverkehr blockieren kann. Nutzen Sie eine vorhandene WAF, sofern Sie über eine verfügen. Selbst eine einfache WAF kann als Übergangslösung dienen, während Sie eine umfassendere Lösung in Betracht ziehen.
   
   
2. Halten Sie es einfach. Lassen Sie DevOps und SecOps gemeinsam eine Reihe von Standards (z. B. OpenAPI/Swagger) für die Entwicklung von APIs festlegen. Standards erleichtern Ihnen die Dokumentation und das Testen Ihrer APIs. OpenAPI 3.0 bietet spezielle Sicherheitskomponenten, die wiederverwendet werden können, um die Umsetzung eines sicheren Designs zu unterstützen. Die Verwendung von OpenAPI-Standards ermöglicht außerdem den Einsatz von Auditierungs- und Konformitätswerkzeugen wie Crunch42, um Design- und Sicherheitstests zu automatisieren.
   
   
3. Sicherheitsanforderungen definieren. Der Umfang der API-Anforderungen umfasst in der Regel nur die gewünschte Funktionalität der API, also die Festlegung dessen, was die API leisten soll. Die API-Anforderungen sollten auch Sicherheitsanforderungen enthalten (was die API NICHT tun können sollte). Wenn Sicherheit Teil der Designspezifikationen ist, wird sie auch Bestandteil der Funktionstests der API.
   
   
4. Erstellen Sie Bedrohungsmodelle für API-Dienste – API-Clients und -Server. Die Durchführung einer Bedrohungsmodellierung für das geplante System hilft dabei, wichtige Ressourcen und Komponenten sowie Bedrohungskategorien zu identifizieren. Anschließend können Sicherheitsanforderungen an das Design ergänzt werden, um die identifizierten Bedrohungen zu mindern. Stellen Sie sicher, dass die Kontrollen mit dem gewünschten Risikomodell für die API und die App übereinstimmen.
   
   
5. Authentifizierung und Autorisierung auslagern. Nutzen Sie das API-Gateway für moderne Authentifizierung und Autorisierung. Bei der Bereitstellung müssen alle APIs über eine Authentifizierung verfügen. Diese muss nicht in die App selbst integriert werden (und dies entspricht auch nicht den Best Practices, da die direkte Weiterleitung von nicht authentifiziertem Datenverkehr an die API diese anfällig für Angriffe machen kann). Es stehen verschiedene Authentifizierungsverfahren zur Verfügung. Ein risikobasierter Ansatz kann Ihnen bei der Auswahl helfen. OAuth 2.0 gilt im Allgemeinen als eine der besten Optionen für REST-APIs. F5 BIG-IP APM ist eine gute Lösung für die Implementierung dieser Kontrollen.
   
   
6. Alles verschlüsseln. Es gibt keine Ausrede dafür, keine Verschlüsselung einzusetzen. Bei sämtlichem Internetverkehr nähert sich der Anteil von SSL/TLS der 100-Prozent-Marke. Der gesamte öffentliche API-Datenverkehr muss verschlüsselt werden. Verwenden Sie nach Möglichkeit kurzlebige Schlüssel für zusätzliche Sicherheit (erinnern Sie sich an Heartbleed?). Wenn Ihr API-Gateway die kryptografische Arbeitslast aus Leistungs- oder Kostengründen nicht bewältigen kann, sollten Sie erwägen, sie auf ein dediziertes System wie F5 SSL Orchestrator auszulagern.
   
   
7. Unterbinden Sie die „Kreativität“ von Entwicklern in Sicherheitsfragen. Sicherheit richtig umzusetzen ist schwierig. Die Sicherheits-Community beschäftigt sich seit Jahrzehnten damit, und dennoch werden immer wieder Schwachstellen entdeckt. Auch wenn Ihre Entwickler brillant sein mögen, sollten Sie äußerst vorsichtig sein, wenn sie eigene Sicherheitskontrollen wie etwa ein neues Verschlüsselungsmodell entwickeln. Um derartige „Kreativität“ in Sicherheitsfragen zu vermeiden, sollten Sie DevOps standardisierte und sorgfältig geprüfte grundlegende Sicherheitskontrollen bereitstellen. Werden speziell zugeschnittene Sicherheitskontrollen benötigt, sollte das SecOps-Team hinzugezogen werden.

Der Einsatz von APIs kann eine transformative Wirkung entfalten, indem er neue Geschäftsmodelle und Einnahmequellen ermöglicht. Werden APIs jedoch ohne angemessene Schutzvorkehrungen implementiert, können sie auch Störungen verursachen und Unternehmen gefährden. Auch wenn API-Sicherheit noch als vergleichsweise junges Technologiefeld gelten mag, können die oben beschriebenen Maßnahmen dazu beitragen, bestehende Sicherheitslücken bei APIs zu schließen, während die entsprechenden Lösungen weiter ausreifen.

Über den Autor

F5

Weitere Blogbeiträge von F5