API-Sicherheit: Mission Impossible?

Cyberangriffe nehmen zweifellos zu. Laut dem Verizon 2021 Data Breach Investigations Report ist die Bedrohungslage heute gefährlicher als je zuvor. Unternehmen jeder Größe sehen sich einer wachsenden Zahl von Angriffen und einer zunehmenden Raffinesse der Akteure gegenüber, die sie ins Visier nehmen. Auch die Erfolgsquoten der Angreifer steigen sprunghaft an.

Die Analyse jüngster Angriffe hilft dabei, einige der häufigsten Schwachstellen und Techniken aufzudecken, die Hacker bei diesem beispiellosen Ansturm auf die Cyberabwehr einsetzen. Einige der bekanntesten Angriffe, wie sie in den Top 10 der Sicherheitsrisiken und Schwachstellen für 2021 des Open Web Application Security Project (OWASP) aufgeführt sind, beinhalteten den Diebstahl oder die Kompromittierung von Zugangsdaten. Und laut Sicherheitsforschung von Akamai zielte die überwältigende Mehrheit, fast 75 %, direkt auf die von APIs verwalteten Zugangsdaten ab.

Der Aufstieg und der mögliche Untergang von APIs

Es ist kein Wunder, dass Anwendungsprogrammierschnittstellen, meist einfach APIs genannt, in den Netzwerken fast jedes Unternehmens auf dem Vormarsch sind. Sie sind ein entscheidender Bestandteil der meisten cloudbasierten Dienste, die bei den meisten Firmen, Organisationen und Behörden zunehmend die Funktionen lokaler Ressourcen übernehmen. Heutzutage kommt man kaum noch ohne die Cloud aus, wenn man Geschäfte abwickeln oder Aufgaben erledigen will, insbesondere bei öffentlich zugänglichen Diensten. Das bedeutet, dass APIs zweifellos der Klebstoff sein werden, der viele Dienste in jedem Netzwerk zusammenhält.

Das Erstaunliche an APIs ist, dass sie in Bezug auf die Zuweisung von Netzwerkressourcen meist klein und unauffällig sind. Zudem sind sie äußerst flexibel und können für nahezu jede Aufgabe eingesetzt werden. Im Kern sind APIs einzelne Softwarekomponenten, die darauf zugeschnitten sind, ein bestimmtes Programm zu steuern oder zu verwalten. Sie können für sehr spezifische Funktionen genutzt werden, wie etwa den Zugriff auf Daten eines Host-Betriebssystems, einer Anwendung oder eines Dienstes.

Leider ist es genau diese Flexibilität – gepaart mit der Tatsache, dass sie oft klein sind und von Sicherheitsteams übersehen werden –, die APIs zu attraktiven Zielen macht. Die meisten APIs werden von Entwicklern auf maximale Flexibilität ausgelegt, damit sie beispielsweise auch dann weiter funktionieren, wenn das von ihnen verwaltete Kernprogramm geändert wird. Zudem gibt es kaum Standards. Fast wie Schneeflocken sind viele APIs einzigartig, da sie für eine bestimmte Funktion innerhalb eines Programms in einem spezifischen Netzwerk erstellt wurden. Wenn sie von Entwicklern programmiert werden, die wenig sicherheitsbewusst sind oder sich nicht speziell auf Sicherheit konzentrieren, können und werden sie wahrscheinlich eine Reihe von Schwachstellen aufweisen, die Angreifer finden und ausnutzen können.

Leider gerät das Problem schnell außer Kontrolle. Laut Gartner werden Schwachstellen im Zusammenhang mit APIs bis 2022 zum häufigsten Angriffsvektor in allen Cybersicherheitskategorien werden.

Der Hauptgrund, warum Angreifer APIs kompromittieren wollen, ist nicht die Übernahme der spezifischen Funktion der API, sondern der Diebstahl der damit verbundenen Zugangsdaten. Eines der größten Probleme bei APIs ist neben ihrer Anfälligkeit für Schwachstellen, dass sie oft mit viel zu weitreichenden Berechtigungen ausgestattet sind. Der Einfachheit halber verfügen die meisten APIs über fast administratorähnliche Zugriffsrechte im Netzwerk. Wenn ein Angreifer die Kontrolle über eine API erlangt, kann er deren Berechtigungen oft nutzen, um tiefer und massiver in ein Netzwerk einzudringen. Und da die API die Berechtigung hat, die Aufgaben auszuführen, auf die der Angreifer sie umleitet, können ihre Aktionen oft die herkömmliche Sicherheitsüberwachung umgehen, da die API dank ihres VIP-Zugangs zu allen Bereichen keine Regeln verletzt.

Wenn Unternehmen nicht vorsichtig sind, kann die Zunahme von APIs in ihren Netzwerken und Clouds bei Angriffen zu großen Problemen führen.

Schutz der APIs

So gefährlich die Situation mit APIs auch wird, sie ist bei weitem nicht hoffnungslos. Es gibt große Bemühungen durch Bewegungen wie DevSecOps, um Entwickler sicherheitsbewusster zu machen und Sicherheit sowie bewährte Verfahren in alle Aspekte der Softwareerstellung einzubringen – von der Entwicklung bis hin zu Test und Bereitstellung. Die Einbeziehung der API-Sicherheit in diese Schulungen ist für jedes Unternehmen entscheidend, das den Trend der API-Ausnutzung über 2022 hinaus stoppen möchte.

Dennoch gibt es einige sehr gute bewährte Verfahren, die in Bezug auf die API-Sicherheit sofort umgesetzt werden können.

Der erste Schritt besteht darin, strenge Identitätskontrollen für alle APIs einzuführen. Sie sollten sie bei der Zuweisung von Berechtigungen fast wie menschliche Benutzer behandeln. Nur weil eine API für eine bestimmte Funktion konzipiert ist, müssen Sie bedenken, was passieren könnte, wenn ein Angreifer sie kompromittiert. Erwägen Sie den Einsatz rollenbasierter Zugriffskontrolle. Idealerweise sollten Sie letztendlich die Prinzipien von Zero Trust auf Ihre APIs und Benutzer anwenden, aber das ist oft ein langer Weg. Ein gutes Identitätsmanagement ist ein guter Anfang. Stellen Sie nur sicher, dass APIs Teil dieses Programms sind.

Sie sollten auch die verschiedenen Aufrufe, die von Ihren APIs getätigt werden, so weit wie möglich streng kontrollieren. Wenn Sie diese Aufrufe auf sehr kontextbezogene Anfragen beschränken, wird es für einen Angreifer viel schwieriger, sie für böswillige Zwecke zu manipulieren. Sie können Ihre APIs sogar schichten, wobei eine erste API einen hochgradig kontextbezogenen Aufruf an eine andere API richtet, die genau weiß, wonach sie suchen und was sie ignorieren muss. Dies kann ein effektiver Weg sein, die Funktionalität für einen Angreifer einzuschränken, selbst wenn es ihm gelingt, eine API innerhalb dieser Kette zu kompromittieren.

Die Bedrohungen gegen APIs können überwältigend erscheinen. Doch durch die Umsetzung bewährter Verfahren sowie die Unterstützung und Belohnung von Entwicklern, die zu Sicherheits-Champions werden, wirkt die Situation weit weniger hoffnungslos. Mit guter Schulung und Praxis können Sie ein robustes Sicherheitsprogramm aufbauen, das Angreifern kaum Spielraum lässt, selbst wenn sie eines Ihrer kleinen, aber essenziellen API-Arbeitstiere kompromittieren sollten.