Die 3 besten Praktiken für die API-Sicherheit

Zwar haben die Bemühungen, die Sicherheit durch die Einführung von Zero-Trust-, Least-Privilege-Zugriffs- und Authentifizierungs-/Autorisierungsprinzipien zu modernisieren, Früchte getragen, doch die Spielregeln haben sich geändert. Die Spieler im Anwendungsspiel, die Sie anfeuern, indem sie Transaktionen über Ihre digitalen Eigenschaften durchführen, sind keine Benutzer im herkömmlichen Sinne mehr. Bei diesen „Benutzern“ handelt es sich zunehmend um Geschäftslogikaufrufe von APIs, die sowohl von Partnern oder Ökosystemintegrationen als auch von Kunden oder Interessenten stammen können. Die Bedeutung von APIs bedeutet jedoch auch, dass sie für Angreifer ein viel größeres Ziel darstellen.

Unternehmen, die überleben wollen, müssen ihre APIs sichern und unbeabsichtigte und unvorhergesehene Risiken in einer verteilten und sich ständig verändernden digitalen Struktur mindern – einer Struktur, die das Rechenzentrum, private/öffentliche Clouds und die Peripherie umfasst. Unternehmen, die erfolgreich sein wollen, sollten ihre strategischen Bemühungen auf einige Schlüsselbereiche konzentrieren, um eine vorhersehbare, skalierbare und selbstschützende API-Sicherheitsplattform zu schaffen, die digitale Kontaktpunkte in Hybrid- und Multi-Cloud-Umgebungen schützt.

Herkömmliche Sicherheitskontrollen sind weit verbreitet und werden von Organisationen weltweit verwendet, um Geschäftsgeheimnisse und Kundendaten zu schützen. Unternehmen setzen Datenverkehrsprüfungen ein, um die Privatsphäre zu schützen und Datendiebstahl zu verhindern, indem sie den Zugriff auf vertrauliche Informationen einschränken. Sicherheitskontrollen wie die Ratenbegrenzung in API-Gateways tragen dazu bei, Denial-of-Service-Angriffe (DoS) abzuschwächen. Und Web-Scraping-Kontrollen in Web Application Firewalls (WAFs) verhindern die Gefährdung vertraulicher Informationen, wie etwa Preise. Darüber hinaus verwenden Unternehmen häufig eine Kombination aus Sicherheitstools, etwa statische Codeanalyse und dynamische Anwendungssicherheitstests, um viele gängige Risiken, wie beispielsweise die in den OWASP Top 10, zu bewältigen.

Doch in der heutigen digitalen Welt reichen herkömmliche Sicherheitsmaßnahmen nicht mehr aus. Aus diesem Grund setzen so viele Organisationen moderne Sicherheitskontrollen wie Authentifizierung (AuthN), Autorisierung (AuthZ) und dynamische Verkehrsprüfung für ihre verteilten Anwendungen ein.

Organisationen verwenden Multi-Faktor-Authentifizierung, Public-Key-Zertifikate, Biometrie und andere Methoden, um die Identität von Personen und Geräten zu bestätigen und sicherzustellen, dass nur legitime Benutzer und vertrauenswürdige Maschinen auf ihre Daten zugreifen können. Bei der Autorisierung geht es lediglich darum, authentifizierten Benutzern die entsprechenden Berechtigungen zu erteilen. So wird sichergestellt, dass sie auf alle Dateien und Daten zugreifen können, die sie für ihre Arbeit benötigen, und gleichzeitig wird verhindert, dass sie andere Informationen sehen, die für sie nicht zugänglich sind. Mithilfe der Verkehrsinspektion können Unternehmen Risiken minimieren, indem sie den Anwendungsverkehr über ihre Sicherheitsinspektionsketten hinweg untersuchen und ungewöhnliche Aktivitäten und potenzielle Bedrohungen identifizieren sowie alle für die Buchhaltung oder Vorfallreaktion erforderlichen Erkenntnisse liefern.

Diese Kontrollen sind zwar weit verbreitet und werden von Sicherheits- und Risikoteams gut verstanden, ihre Implementierung an einer Vielzahl digitaler Kontaktpunkte – vom Rechenzentrumskern bis zum Kundenrand – stellt jedoch eine große Herausforderung dar.