Bleiben Sie API-Sicherheitsrisiken mit unserer neuesten Version der F5 Distributed Cloud Services immer einen Schritt voraus

Ian DinnoSenior Product Marketing Manager | F5

Da sich APIs zunehmend zum Eckpfeiler moderner Anwendungen entwickeln – insbesondere im Bereich der KI-Anwendungen –, stehen Unternehmen vor immer größeren Herausforderungen, sie vor neu auftretenden Sicherheitsrisiken zu schützen. Transparenz zu gewährleisten, Schwachstellen zu erkennen und einen zuverlässigen Schutz sicherzustellen, ist für jedes API-gestützte Unternehmen unverzichtbar.

Im Rahmen der F5 Application Delivery and Security Platform (ADSP) führen wir mit unserem neuesten Release der F5 Distributed Cloud Services zahlreiche neue Verbesserungen ein, die darauf ausgelegt sind, diese Herausforderungen mit größerer Flexibilität und Effizienz direkt anzugehen. Dieses Release bietet spannende neue Optionen zur API-Erkennung, erweiterte Testszenarien und verbesserte Erkennungsfunktionen – alles mit dem Ziel, API-Sicherheitsrisiken zu reduzieren und gleichzeitig die allgemeine Transparenz und Compliance zu verbessern.

Sehen wir uns diese neuen Funktionen genauer an.

Erweiterte Optionen zur API-Erkennung

Eine effektive Erkennung von APIs ist entscheidend, um ständig wechselnde API-Bestände zu verwalten. Dies gilt insbesondere angesichts der wachsenden Zahl von Schatten-APIs und nicht verwalteten APIs, die zu blinden Flecken in der Sicherheit werden können. Mit der Einführung erweiterter Erkennungsoptionen in F5 ADSP für F5 BIG-IP und F5 NGINX, zusätzliche Proxys/Gateways und Air-Gap-Umgebungen erhalten Unternehmen nun mehr Flexibilität, um APIs in ihren unterschiedlichen Anwendungen und Umgebungen zu erkennen und abzusichern. Jede neue Erkennungsoption ist auf spezifische Anwendungs- und Infrastrukturanforderungen zugeschnitten und bietet Unternehmen umfassendere Funktionen zur Verbesserung der API-Transparenz.

• API-Erkennung für BIG-IP: Für Unternehmen, die BIG-IP TMOS einsetzen, erweitern wir unsere Erkennungsfunktionen von F5 Distributed Cloud API Security um Optionen zur Out-of-Band-API-Erkennung. Dadurch können BIG-IP Kunden (ab Version 15.1) den über ihre virtuellen Server verarbeiteten API-Datenverkehr überprüfen und übersichtlich in der Konsole von Distributed Cloud Services visualisieren. Durch diese Integration können BIG-IP Kunden die vollständige Kontrolle über ihre APIs übernehmen, indem sie unbekannte, nicht autorisierte und veraltete APIs erkennen, ihre API-Bestände mit präziser und aktueller Dokumentation anreichern und die API-Sicherheit nahtlos über eine einheitliche Lösung eines einzigen Anbieters verwalten. (Eine praktische Demonstration finden Sie hier.)
• Unterstützung der API-Erkennung für zusätzliche Proxys und Gateways (Early Access): API-Anfragen durchlaufen häufig verschiedene Proxys und Gateways, was es Unternehmen erschwert, einen umfassenden Überblick über ihr gesamtes API-Ökosystem zu behalten. Wenn Unternehmen alle APIs kennen – unabhängig von ihrem Bereitstellungsort, den ihnen vorgeschalteten Diensten oder dem Weg der Anfragen durch die Infrastruktur –, können sie das Verhalten überwachen, potenzielle Bedrohungen erkennen und der unkontrollierten Ausbreitung von APIs effektiver entgegenwirken. Diese Transparenz ist für eine einheitliche API-Sicherheit in heterogenen Umgebungen unerlässlich.
  
  Mit diesem Release haben wir die Funktionen zur Out-of-Band-API-Erkennung durch verifizierte Integrationen auf NGINX OSS, NGINX Plus, Kong und Apigee ausgeweitet. Zudem haben wir eine universelle Erkennungslösung eingeführt, die Protokolldaten von praktisch jedem Gateway oder Proxy erfassen kann. So können Unternehmen API-Aktivitäten analysieren, nicht verwaltete APIs erkennen und ihr API-Ökosystem zentral in der Konsole von Distributed Cloud Services visualisieren.
  
  Diese Funktion ist derzeit als Early Access verfügbar und bietet Unternehmen, die unterschiedliche Gateway- und Proxy-Technologien einsetzen, die Möglichkeit zu testen, wie sie ihre API-Sicherheitslage verbessern können.
• Lokale API-Erkennung (Early Access): Im Rahmen dieser neuesten Version bieten wir nun eine lokale API-Erkennung für isolierte und regulierte Umgebungen an, in denen die externe Weitergabe von Daten aufgrund von Compliance- oder Sicherheitsvorgaben nicht möglich ist. Mithilfe einer bereitstellbaren Software für die lokale API-Erkennung mit einer dedizierten Konsole erhalten Unternehmen einen vollständigen lokalen Einblick in die APIs, die über ihre virtuellen BIG-IP-Server laufen, ohne sensible Daten an die Cloud zu senden. Die lokale API-Erkennung wurde für Branchen entwickelt, die in streng kontrollierten oder Cloud-eingeschränkten Umgebungen tätig sind.
  
  Auch diese Funktion ist derzeit als Early Access verfügbar. So können Unternehmen mit isolierten Umgebungen testen, wie sie ihre API-Sicherheitslage verbessern und Compliance- oder regulatorische Anforderungen erfüllen können.

Diese erweiterten Funktionen zur API-Erkennung ermöglichen es Unternehmen, Schatten-APIs (unbekannte APIs) sowie nicht verwaltete oder vergessene APIs zu erkennen, OpenAPI-Schemata und -Dokumentationen zu erstellen und API-Bestände um die Erkennung sensibler Daten und Risikoeinblicke zu ergänzen.

Diese neuen Optionen bieten die nötige Flexibilität, um unterschiedlichsten Anwendungsarchitekturen sowie Sicherheits- und Compliance-Anforderungen gerecht zu werden. So können Unternehmen neue Herausforderungen im Bereich der API-Sicherheit mühelos bewältigen, ohne dafür ihre Anwendungen ändern, weitreichende Architekturentscheidungen treffen und/oder Kompromisse bei der Compliance eingehen zu müssen.

Erweiterte API-Testsuite mit neuen Szenarien

Im Zuge der kontinuierlichen Stärkung der proaktiven Sicherheitsfunktionen von F5 Distributed Cloud API Security erweitert diese Version den Umfang der im Service verfügbaren API-Testfunktionen und deckt damit weitere in den OWASP API Top 10 aufgeführte Schwachstellen ab. Insbesondere wurden neue Szenarien hinzugefügt, mit denen Unternehmen ihre APIs auf Schwachstellen der Kategorien API1 (Fehlerhafte Autorisierung auf Objektebene) und API4 (Uneingeschränkter Ressourcenverbrauch) testen können. Diese Ergänzungen helfen Unternehmen, verborgene Risiken in ihrem API-Code zu erkennen, die zu Folgendem führen können:

• Unbefugter Zugriff auf Ressourcen.
• Unsichere Handhabung von Tokens.
• Übermäßige Offenlegung von Daten.
• Ressourcenüberlastung und Fehlkonfigurationen.

Durch die Erweiterung unserer API-Testsuite können Unternehmen dank der Integration von API-Code-Repositorys und deren automatisierter Prüfung ein breiteres Spektrum potenzieller Schwachstellen bereits in einer früheren Phase des Entwicklungszyklus erkennen. So können sie noch vor dem Produktivbetrieb Abhilfemaßnahmen ergreifen und dadurch die Gefährdung sowie das Risiko einer Ausnutzung von Schwachstellen über ihre gesamte API-Angriffsfläche hinweg erheblich reduzieren.

Verbesserte Bedrohungserkennung für die OWASP API Top 10-Schwachstellen

Wir haben nicht nur unsere API-Tests erweitert, sondern verbessern auch kontinuierlich unsere Mechanismen zur Erkennung von Bedrohungen anhand des Datenverkehrs. Denn wir wissen, dass der Schutz von APIs vor neu auftretenden Bedrohungen eine ständige Herausforderung darstellt und dass Sie, unsere Kunden, Schutz vor einem breiten Spektrum sich weiterentwickelnder Bedrohungen benötigen.

Mit dieser neuesten Version haben wir viele unserer bestehenden Erkennungsfunktionen erweitert und um neue Funktionen ergänzt, um den Schutz vor kritischen Bedrohungen aus den OWASP API Top 10 zu verbessern. Dadurch erhalten Unternehmen tiefere Einblicke in Angriffs- oder Ausnutzungsversuche sowie verdächtige API-Aktivitäten in Produktionsumgebungen.

Hier sind die neuen Erkennungsfunktionen auf einen Blick:

• Angriffe auf fehlerhafte Autorisierung auf Objekteigenschaftsebene (Broken Object Property Level Authorization, BOPLA) erkennen: Die verbesserte Erkennung von BOPLA-Exploits hilft dabei, den Missbrauch von Anfrageparametern in API-Anfragen aufzudecken. Durch die Erkennung dieser Anomalien können Unternehmen Angriffe, die BOPLA-Schwachstellen ausnutzen und zu Datenlecks sowie Versuchen zur Rechteausweitung führen können, besser verhindern.
• Automatische Extraktion von JWTs: Durch die Identifizierung und Extraktion von JWTs in API-Anfragen verbessern wir die Identifizierung und Nachverfolgung von Benutzern und Clients. Dies ist für die Erkennung von Broken Object Level Authorization (BOLA) von entscheidender Bedeutung und ermöglicht eine höhere Genauigkeit sowie eine bessere Rückverfolgbarkeit von Angriffen, um langfristige Erkenntnisse zur Sicherheit zu gewinnen.
• Verbesserungen bei der Erkennung fehlerhafter Authentifizierung: Die neue Version kennzeichnet Fälle nicht authentifizierter Zugriffe auf Endpunkte, die eine Authentifizierung erfordern. Dadurch werden kritische Schwachstellen in der Authentifizierungslogik sofort sichtbar. Diese Erkenntnisse ermöglichen schnelle Korrekturmaßnahmen, um die Sicherheit der API-Endpunkte zu erhöhen.
• Verbesserte Anomalieerkennung bei Angriffen auf die Autorisierung auf Funktionsebene (Broken Function Level Authorization, BFLA): Unsere erweiterten Funktionen zur Anomalieerkennung helfen dabei, potenzielle BFLA-Angriffe auf administrative Endpunkte zu identifizieren. Durch die Überprüfung korrekter „Claims“ für authentifizierte Benutzer erhalten Unternehmen in Echtzeit Hinweise auf unbefugte Zugriffsversuche auf sensible administrative Funktionen.

Diese Verbesserungen bei der Erkennung ermöglichen Unternehmen Echtzeiteinblicke in kritische Angriffsversuche, etwa im Zusammenhang mit BOLA, BOPLA, BFLA und Schwachstellen durch fehlerhafte Authentifizierung. Durch die präzise Erkennung von Bedrohungen können Unternehmen auch in komplexen API-Ökosystemen ein hohes Sicherheitsniveau aufrechterhalten und Angriffe sowie die Ausnutzung von Schwachstellen proaktiver verhindern. Mit diesen Funktionen sind Unternehmen besser in der Lage, ihre APIs zu schützen und ihre API-Sicherheitsrisiken zu reduzieren.

Sicherheit in den API-Lebenszyklus integrieren

Mit erweiterten Funktionen zur Erkennung, Prüfung und Überwachung von APIs unterstreicht dieses Release das kontinuierliche Engagement von F5, Unternehmen mithilfe unserer Application Delivery and Security Platform dabei zu unterstützen, die Sicherheit über den gesamten API-Lebenszyklus hinweg zu verbessern. Von der effektiveren Identifizierung von Schatten- oder veralteten APIs in allen Anwendungen und Architekturen – unabhängig von der Bereitstellungsmethode – über die Behebung frühzeitig auftretender Schwachstellen bis hin zur zuverlässigeren Erkennung aktiver Bedrohungen: Wir setzen uns dafür ein, dass Sie selbst in den komplexesten, am stärksten verteilten und vielfältigsten Anwendungs- und API-Ökosystemen den Überblick und die Kontrolle behalten.

Weitere Informationen finden Sie in unserer Pressemitteilung. Entdecken Sie außerdem noch heute das vollständige Angebot an API-Sicherheitsfunktionen von F5 auf unserer Produktseite und machen Sie mit F5 den nächsten Schritt zur Optimierung Ihrer API-Sicherheitsstrategie.

Wenn Sie als Kunde an den hier erwähnten Early-Access-Angeboten interessiert sind, wenden Sie sich bitte an Ihr lokales F5 Account-Team, um weitere Informationen zu erhalten.

Über den Autor

Ian DinnoSenior Product Marketing Manager | F5

Weitere Blogbeiträge von Ian Dinno