API-Schutz bezieht sich auf die Aktivitäten, Tools und Praktiken, die mit der Sicherung von Anwendungsprogrammierschnittstellen (APIs) verbunden sind. Das Ziel des API-Schutzes ist es, APIs gegen Cyberangriffe, Sicherheitsverletzungen und unbefugte oder unerwünschte Nutzung zu schützen.
Da APIs so weit verbreitet sind und den Zugang zu sensiblen Softwarefunktionen und Daten ermöglichen, sind sie ein begehrteres Angriffsziel. Dies macht den API-Schutz zu einem entscheidenden Bestandteil der modernen Webanwendungssicherheit.
Für den Schutz sensibler Daten wie Finanzinformationen oder personenbezogenen Daten sowie die Verhinderung von Angriffen, die die Integrität der API und der mit ihr verbundenen Systeme gefährden könnten, ist API-Sicherheit unabdingbar.
Warum ist API-Schutz wichtig?
APIs ermöglichen es Unternehmen, verschiedene Systeme und Technologien zu integrieren: Sie dienen als Kommunikationsmittel für verschiedene Anwendungen. APIs verwalten häufig Authentifizierungstoken, personenbezogen Daten, Zahlungsinformationen und eine Reihe weiterer hochsensibler Aktivitäten. Das macht sie zu einem attraktiven Ziel für böswillige Akteure.
Da APIs in hohem Maße automatisiert und vorhersehbar sind, sind sie ein leichteres Ziel für Angreifer, die sie untersuchen und instrumentalisieren möchten. Angreifer nutzen bekanntermaßen API-Schwachstellen aus, um sich Zugang zu sensiblen Daten zu verschaffen oder schädlichen Code in Anwendungen einzuschleusen, der zu Datenschutzverletzungen, Systemabstürzen und anderen schwerwiegenden Folgen führen kann.
Aus diesen Gründen ist es wichtig, den Tools und Strategien zum API-Schutz Priorität einzuräumen. Ohne angemessene Schutzmaßnahmen können APIs ein großes Risiko für das Unternehmen, sein geistiges Eigentum, seine Marke und seinen Ruf darstellen.
Was sind die Auswirkungen, wenn kein API-Schutz verwendet wird?
Wenn Sie keine robusten API-Schutz-Tools und -Praktiken implementieren, kann dies verschiedene negative Auswirkungen auf Ihr Unternehmen haben:
Datenschutzverletzungen und Verstöße gegen Vorschriften
Account-Übernahme und Missbrauch von Zugangsdaten
Unbefugter Zugriff auf sensible Ressourcen
Missbrauch der Geschäftslogik
Serviceverschlechterung durch automatisierten Missbrauch
Auswirkungen erfolgreicher Angriffe auf den Ruf der Marke und den Umsatz
Vor welchen Risiken kann der API-Schutz schützen?
In den OWASP Top 10 werden die wichtigsten API-Sicherheitsrisiken erfasst und alle paar Jahre aktualisiert. Dies ist ein hervorragender Ausgangspunkt, um sicherzustellen, dass Ihre APIs geschützt sind.
Aus dieser Liste nennt das Open Web Application Security Project die folgenden Punkte als die wichtigsten API-Probleme:
Fehlerhafte Autorisierung auf Objektebene: Das OWASP erklärt: „APIs neigen dazu, Endpoints freizugeben, die Objektidentifikatoren verarbeiten. Dies sorgt für eine große Angriffsfläche bei der Zugriffskontrolle. Autorisierungsprüfungen auf Objektebene sollten in jeder Funktion berücksichtigt werden, die mithilfe einer Nutzer-ID auf eine Datenquelle zugreift.“
Fehlerhafte Authentifizierung: Das OWASP erklärt: „Authentifizierungsmechanismen werden häufig falsch implementiert, sodass Angreifer Authentifizierungstokens kompromittieren oder Implementierungsfehler ausnutzen können, um vorübergehend oder dauerhaft die Identität eines anderen Nutzers zu übernehmen. Wird die Fähigkeit eines Systems zur Identifizierung des Clients/Nutzers beeinträchtigt, so wird die API-Sicherheit insgesamt gefährdet.“
Fehlerhafte Autorisierung auf Objektebene: Das OWASP erklärt: „Der Fokus liegt auf der Ursache von Autorisierungsproblemen: dem Fehlen oder der fehlerhaften Validierung der Autorisierung auf Objektebene. Dies führt zur Offenlegung oder Manipulation von Informationen durch unbefugte Dritte.“
Uneingeschränkter Ressourcenverbrauch: Das OWASP erklärt: „Die Erfüllung von API-Anfragen erfordert Ressourcen wie Netzwerkbandbreite, CPU, Arbeitsspeicher und Speicherplatz. Andere Ressourcen wie E-Mails/SMS/Telefonanrufe oder die Validierung biometrischer Daten werden von Dienstanbietern über API-Integrationen zur Verfügung gestellt und pro Anfrage bezahlt. Erfolgreiche Angriffe können zu Serviceausfällen oder steigenden Betriebskosten führen.“
Fehlerhafte Funktionsberechtigungen: Das OWASP erklärt: „Komplexe Richtlinien für die Zugriffskontrolle mit unterschiedlichen Hierarchien, Gruppen und Rollen sowie eine unklare Trennung zwischen administrativen und regulären Funktionen führen häufig zu Autorisierungsproblemen. Indem sie diese Schwachstellen ausnutzen, können Angreifer Zugriff auf die Ressourcen anderer Nutzer bzw. auf Admin-Funktionen erhalten.“
Uneingeschränkter Zugriff auf sensible Geschäftsprozesse: Das OWASP erklärt: „APIs, die diesem Risiko ausgesetzt sind, legen einen Geschäftsprozess offen – wie zum Beispiel den Kauf eines Tickets oder das Veröffentlichen eines Kommentars –, ohne zu kompensieren, inwiefern diese Funktionalität dem Unternehmen schaden könnte, wenn sie in automatisierter Form übermäßig genutzt wird. Das ist nicht unbedingt auf Implementierungsfehler zurückzuführen.“
Server Side Request Forgery: Das OWASP erklärt: „Schwachstellen durch Server-Side Request Forgery (SSRF) können auftreten, wenn eine API eine entfernte Ressource abruft, ohne die vom Nutzer angegebene URI zu überprüfen. So können Angreifer die Anwendung dazu zwingen, eine manipulierte Anfrage an ein unerwartetes Ziel zu senden, selbst wenn sie durch eine Firewall oder ein VPN geschützt ist.“
Sicherheitsfehlkonfiguration: Das OWASP erklärt: „APIs und die sie unterstützenden Systeme enthalten typischerweise komplexe Konfigurationen, die dazu dienen, die APIs individuell anpassbar zu machen. Software- und DevOps-Ingenieure können diese Konfigurationen übersehen oder sich bei der Konfiguration nicht an die Best Practices für Sicherheit halten, was Tür und Tor für verschiedene Arten von Angriffen öffnet.“
Unsachgemäßes Bestandsmanagement: Das OWASP erklärt: „APIs bieten in der Regel mehr Endpoints als herkömmliche Webanwendungen, sodass eine ordnungsgemäße und aktuelle Dokumentation besonders wichtig ist. Eine korrekte Bestandsaufnahme der Hosts und der verwendeten API-Versionen ist ebenfalls wichtig, um Probleme wie veraltete API-Versionen und exponierte Debug-Endpoints einzudämmen.
Unsichere Nutzung von APIs: Das OWASP erklärt: „Entwickler neigen dazu, Daten von Drittanbieter-APIs mehr zu vertrauen als den Eingaben der Nutzer und neigen daher dazu, schwächere Sicherheitsstandards zu übernehmen. Um APIs zu kompromittieren, richten Angreifer sich auf integrierte Services von Drittanbietern, anstatt zu versuchen, die Ziel-API direkt zu kompromittieren.“
Neben dieser Liste sollten Sie auch stets Folgendes beachten:
Schatten-APIs: Dies sind APIs, die nicht ausreichend gesichert sind, aber dennoch innerhalb eines Unternehmens verwendet werden. Dies geschieht in der Regel, wenn APIs in einem Teil des Unternehmens verwendet oder erstellt werden und das Sicherheitsteam sie nicht kennt und daher nicht in der Lage ist, sie angemessen zu schützen.
Injection-Angriffe: Wenn APIs Eingaben ohne ordnungsgemäße Validierung akzeptieren. Das ermöglicht es Angreifern, bösartige Anfragen in eine Anwendung einzuschleusen und dort Chaos anzurichten.
Was sind die Best Practices für den API-Schutz?
Abgesehen von der Investition in starke API-Sicherheitstools gibt es mehrere bewährte Methoden, die Sie befolgen können, um Ihre APIs zu schützen.
Design und Entwicklung
Befolgen Sie die Standards für sicheres API-Design (Prinzip der minimalen Berechtigungen, Schema-Validierung)
Definieren Sie frühzeitig Authentifizierungs-, Autorisierungs- und Rate-Limiting-Anforderungen
Dokumentieren Sie Endpunkte und das erwartete Verhalten eindeutig
Authentifizierungs- und Autorisierungstests
Testen Sie den Ablauf, die Widerrufung und den Schutz vor Replay-Angriffen auf Token
Überprüfen Sie rollenbasierte und bereichsbasierte Zugriffskontrollen
Versuchen Sie, unautorisiert auf geschützte Ressourcen zuzugreifen
Eingabe- und Schemavalidierung
Testen Sie fehlerhafte Anfragen, übergroße Payloads und unerwartete Datentypen
Validieren Sie die strikte Schema-Durchsetzung
Führen Sie Tests auf Injection-Schwachstellen durch
API-Tests
Simulieren Sie Credential Stuffing, Enumeration und Scraping
Testen Sie das Rate Limiting und das Drosselungsverhalten
Überprüfen Sie die Effektivität der Bot- und Anomalieerkennung
Testen der Geschäftslogik
Versuchen Sie, den Workflow zu manipulieren, um etwaige Schwachstellen zu identifizieren
Testen Sie Grenzfälle und unerwartete Operationsreihenfolgen
Üben der Verschlüsselung
Sie sollten stets sicherstellen, dass Daten, die über APIs übertragen werden, verschlüsselt sind.
Wer benötigt API-Schutz?
Kurz gesagt: Jede Person und jedes Unternehmen, die bzw. das APIs als Teil ihres bzw. seines Geschäftsökosystems nutzt, muss sicherstellen, dass Strategien und Werkzeuge zum Schutz der APIs vorhanden sind.
Je sensibler die Daten sind, die Ihre APIs verarbeiten, desto größer ist jedoch der Bedarf an einem robusten API-Schutz. Besonders wichtig für den API-Schutz sind folgende Gruppen:
Finanzdienstleistungsbranche: Das ist ein offensichtlicher Fall. Finanzinstitute und Fintech-Unternehmen benötigen API-Schutz sowohl aus Gründen der Compliance (siehe PCI DSS) als auch aus Gründen des Vertrauens und der Sicherheit. Sie verarbeiten hochsensible Daten und benötigen daher entsprechende Sicherheitslösungen.
Gesundheitsbranche: Ähnlich wie Finanzdaten sind Gesundheitsdaten ebenso sensibel. Vorschriften wie HIPAA erfordern strenge Sicherheitsmaßnahmen, und auch die Kunden erwarten dies.
Einzelhandels- und E-Commerce-Branchen: APIs sind für diese Unternehmen von grundlegender Bedeutung. Sie helfen bei der Bestandsverwaltung, bei der Check-out-Funktion von Websites und beim Versand. Schwächen in diesem Bereich führen zu Vertrauensverlusten und damit zu Umsatzeinbußen.
Ihre Vorteile mit Fastly
API-Sicherheitstests sollten ein kontinuierlicher Prozess sein. Durch die Kombination von sicherem Design, kontinuierlichen automatisierten Tests, manueller Validierung, Bot-bewussten Missbrauchstests und Edge-basiertem Schutz können Unternehmen das Risiko der API-Ausnutzung deutlich reduzieren und gleichzeitig Performance und Skalierbarkeit aufrechterhalten.
Fastly API-Sicherheit gibt Ihnen ein vollständiges Bild Ihrer API-Landschaft. Sie können erfassen, was vorhanden ist, Gewissheit gewinnen, dass alles wie erwartet funktioniert, und gezielte Entscheidungen zur Abwehr von API-Missbrauch auf der gesamten Fastly-Plattform treffen.
Die Edge-Cloud-Plattform von Fastly prüft und filtert API-Anfragen an ihren global verteilten Edge-Standorten. Das bedeutet, dass bösartiger oder missbräuchlicher Traffic wie Bot-Angriffe, Credential Stuffing oder API Scraping blockiert oder gedrosselt werden kann, bevor er Ihre App-Server überhaupt erreicht. Durch das frühzeitige Abfangen von Bedrohungen werden die Backend-Last reduziert, die Latenz verringert und die Auswirkungen von Angriffen begrenzt.