Coders Conquer Security OWASP Top 10 API-Serie – Unsachgemäßes Asset-Management

Im Gegensatz zu den meisten Schwachstellen in den OWASP API Top Ten dreht sich beim unsachgemäßen Asset-Management nicht alles um Programmierfehler. Vielmehr handelt es sich um ein menschliches oder organisatorisches Problem, das dazu führt, dass ältere APIs lange nach ihrer eigentlich notwendigen Ablösung durch neuere, sicherere Versionen weiterhin aktiv bleiben. Dies kann auch passieren, wenn APIs, die sich noch in der Entwicklung befinden, in der Produktionsumgebung bereitgestellt werden, bevor sie vollständig gegen Bedrohungen abgesichert sind.

Diese Schwachstelle ist aufgrund von Microservices und Cloud-Computing besonders schwer zu handhaben. In solchen Umgebungen werden neue Dienste oft schnell für einen temporären Bedarf erstellt, danach vergessen und nie wieder außer Betrieb genommen. Wenn diese älteren APIs weiterhin mit der Produktionsumgebung verbunden bleiben, kann dies das gesamte Netzwerk gefährden.

Möchten Sie eine spielerische Herausforderung zu diesem Sicherheitsfehler ausprobieren? Betreten Sie unsere Arena: [Hier starten]

Wie wirken sich Fehler beim Asset-Management auf APIs aus?

Fehler beim Asset-Management sind ein Produkt der modernen Zeit. Unternehmen, die im Tempo des Marktes agieren, starten täglich hunderte oder tausende Dienste und Microservices. Dies geschieht oft schnell und ohne begleitende Dokumentation oder Erklärungen dazu, wofür die zugehörigen APIs verwendet werden, wie lange sie benötigt werden oder wie kritisch sie sind. Dies kann schnell zu einer unkontrollierbaren API-Wildwuchs führen, insbesondere wenn es keine allgemeinen Richtlinien für die Lebensdauer von APIs gibt.

In einer solchen Umgebung ist es sehr wahrscheinlich, dass einige APIs verloren gehen, vergessen oder nie außer Betrieb genommen werden.

Benutzer mit der Berechtigung, neue Dienste außerhalb des regulären Prozesses zu erstellen, sind manchmal ebenfalls mitverantwortlich. Ein Marketing-Team könnte beispielsweise einen Dienst für eine Produktneueinführung erstellen und diesen nach dem Event nicht wieder abschalten. Wer diesen Dienst und die zugehörigen APIs später betrachtet, weiß möglicherweise nicht, warum sie existieren. Ohne Dokumentation bleibt dies ein Rätsel. Die Verantwortlichen scheuen sich dann oft, diese APIs aus der Produktion zu entfernen oder zu aktualisieren, da sie deren Kritikalität oder Funktion nicht kennen.

Die Schwachstelle ist gefährlich, da die Sicherheit von APIs in Frameworks mit der Zeit verbessert wird. Forscher entdecken Schwachstellen oder es werden zusätzliche Sicherheitsmaßnahmen gegen neue Angriffsarten implementiert. Ältere APIs bleiben anfällig, sofern sie nicht aktualisiert werden, weshalb Hacker gezielt mit automatisierten Tools nach ihnen suchen.

In einem von OWASP angeführten Praxisbeispiel aktualisierte ein Unternehmen seine APIs für die Suche in Benutzerdatenbanken, um eine kritische Schwachstelle zu beheben. Die alten APIs wurden jedoch versehentlich beibehalten.

Ein Angreifer bemerkte, dass der Pfad der neuen API etwa (api.criticalservice.com/v2) lautete. Durch Ersetzen der URL durch (api.criticalservice.com/v1) konnte er die alte API mit der bekannten Schwachstelle nutzen. Dies führte zur Offenlegung der persönlichen Daten von über 100 Millionen Nutzern.

Beseitigung von Fehlern beim Asset-Management

Der einzige Weg, Fehler beim Asset-Management zu vermeiden, ist ein lückenloses Inventar aller APIs, ihrer Verwendungszwecke und Versionen. Dies beginnt mit einer Bestandsaufnahme bestehender APIs, wobei Faktoren wie die Zielumgebung (Produktion oder Entwicklung), die Netzwerkzugriffsberechtigung und natürlich die Version berücksichtigt werden müssen.

Sobald dies abgeschlossen ist, müssen Sie einen Prozess implementieren, bei dem neue APIs oder Dienste automatisch dokumentiert werden. Dies sollte alle Aspekte der API umfassen, wie Ratenbegrenzung, Anforderungs- und Antwortverhalten, Ressourcenfreigabe, Endpunkte, relevante Richtlinien sowie alle für spätere Audits notwendigen Informationen. Vermeiden Sie zudem den Einsatz von Nicht-Produktions-APIs in der Produktion. Erwägen Sie Zeitlimits für APIs, deren weitere Nutzung durch die Eigentümer begründet werden muss, um eine automatische Außerbetriebnahme zu verhindern.

Führen Sie bei neuen Versionen aktiver APIs eine Risikobewertung durch, um zu entscheiden, ob ein Upgrade erfolgen sollte und wie dies ohne Störung der Produktionsumgebung möglich ist. Sobald die Migration auf die neuen APIs abgeschlossen ist, entfernen Sie die alten vollständig aus der Umgebung.

All dies trägt dazu bei, dass Fehler beim Asset-Management Ihrem Unternehmen, Ihren Nutzern oder Ihrem Netzwerk nicht schaden. Besuchen Sie die Secure Code Warrior Blogseiten für weitere Einblicke in diese Schwachstelle und wie Sie Ihr Unternehmen vor anderen Sicherheitsrisiken schützen können. Sie können auch eine Demo der Secure Code Warrior-Schulungsplattform ausprobieren, um Ihre Cybersicherheitskenntnisse stets auf dem neuesten Stand zu halten.

‍