Neue Angriffsziele

Die Angriffsfläche der Banken ändert sich. Und nicht nur die der Banken. Auch Unternehmen richten immer mehr mobile Apps ein, um den Kundenservice zu verbessern, die Kundenzufriedenheit zu erhöhen, Mitarbeitern und Partnern Datenzugriff zu gewähren oder besondere Services anzubieten. Ein Wesenszug mobiler Anwendungen ist es, dass sie über Application Programming Interfaces (APIs) Daten aus der Cloud abrufen. Es ist also nur eine Frage der Zeit, dass sich die nächste Welle von DDoS-Angriffen gezielt gegen diese APIs richtet. Ohne Zugriff auf ihre APIs ist eine App jedoch „blind“, sie findet die Daten nicht, die sie braucht, um bestimmte Aktionen auszuführen. Höchste Zeit also, dass sich CSOs und IT-Sicherheitsteams Gedanken darüber machen, wie sie ihre Cloud-APIs vor DDoS-Angriffen schützen können.

Bleiben wir beim Beispiel der Bank: Während der jüngsten Angriffe konnten die Benutzer der Banking-Apps die Anwendung auf ihrem Smartphone oder Tablet aufrufen. Die Apps waren jedoch nicht in der Lage, „zu Hause anzurufen“, sprich: Daten aus ihren Home-Systemen abzurufen. Eine Abfrage der Kontodaten war unmöglich, sogar die Anmeldung beim System scheiterte.

Im Gegensatz zum Ausfall einer Webseite ist eine solche API-Störung für den Endbenutzer nicht erkennbar. Er nimmt den Angriff nicht als solchen wahr, da sich die App weiterhin starten lässt. Eher geht er davon aus, dass es eine Störung im Mobilfunknetz gibt oder dass er sich in einem Funkloch befindet, als dass die API kompromittiert wurde. Dieses Szenario zeigt, wie wichtig es zukünftig ist, Maßnahmen zum Schutz der APIs zu treffen, bevor es zu spät ist. Denn nicht länger werden sie nur durch Angriffe auf Webseiten in Mitleidenschaft gezogen. Sie werden direkt angegriffen, um mobile Anwendungen auszuschalten.

APIs schützen, aber wie?

Verteilte Installation: Noch ist es Gang und Gäbe, den Schutz von APIs mit dem Schutz von Webseiten zu bündeln. APIs sind vergleichsweise neu und fallen deshalb unter die allgemeinen Web-Ressourcen einer Organisation. Man konzentriert sich also auf den Schutz vor allgemeinen Angriffen oder DDoS-Attacken und versäumt es, sich gegen API-Störungen und deren Auswirkungen auf mobile Anwendungen zu wappnen. Die Trennung des API-Hosting vom Hosting der „herkömmlichen“ Webseite ist also eine erste Schutzmaßnahme.

Implementieren von Richtlinien: APIs unterscheiden sich hinsichtlich des Nutzungsmusters und der Art des eingehenden Datenverkehrs. Eine Webseite wird vom Browser aufgerufen, der Zugriff auf eine API erfolgt durch eine App. APIs sollten also durch andere Richtlinien geschützt werden. Ratsam wäre beispielsweise vorzuschreiben, dass nur bestimmte Benutzer mit definierten Begrenzungs- und Sicherheitsrichtlinien auf eine bestimmte API zugreifen dürfen.

Neben identitätsbasierten Richtlinien, die die APIs steuern und absichern, sollten auch Richtlinien für die Verfügbarkeit und Zugänglichkeit von APIs implementiert werden. Werden Anwendungen ohne jegliche Sicherheitsvorgaben mithilfe von APIs für die Außenwelt freigegeben, besteht die Gefahr, dass sie missbraucht werden. Jedes Unternehmen, das Daten über eine API bereitstellt, muss dafür sorgen, dass ihre Clients nicht ohne weiteres Daten herunterladen können. Richtlinien zur Begrenzung helfen dabei herauszufinden, ob ein bestimmter Client seine Zugriffsberechtigung oder Nutzungsebene für die APIs missbraucht.

Schutz durch API-Management

Unternehmen stellen bestimmte Daten über eine API zur Verfügung – ein Finanzdienstleister, der Rentenfonds managt, beispielsweise den aktuellen Preis und weitere Informationen zum Fond. In diesem Kontext ist es mehr als normal, dass eine App die API in regelmäßigen Abständen aufruft. Wird eine API jedoch einige tausend Mal pro Sekunde von derselben Anwendung und damit offensichtlich automatisch aufgerufen, bedeutet diese eine Monopolisierung der API zum Schaden anderer Benutzer. Die Benutzer mit bedenklichen Verhaltensmustern müssen erkannt und gesperrt werden, ohne die Benutzer, die sich unauffällig verhalten, zu beeinträchtigen.

Der Markt bietet einige API-Management-Produkte etwa von Axway, die für wirksamen Schutz vor Angriffen sorgen. Sie verfügen über Funktionen zum Festlegen von Richtlinien und zum Beschränken des Datenverkehrs. Sie verwenden Sicherheitstoken wie API-Schlüssel oder OAuth-Token, die für die Sicherheit der Clients sorgen. Allerdings sollten API-Schlüssel mit Vorsicht behandelt werden und nicht, wie es häufig geschieht, ohne Sicherheitsmaßnahmen einfach in Anwendungen eingebettet werden. Darüber hinaus sind API-Managementprodukte in der Lage, ungewöhnliche API-Muster zu erkennen. Erfolgen normalerweise die Zugriffe einer mobilen Anwendung auf bestimmte API-Prozesse nach bestimmten Mustern, erkennen diese Produkte anormale Aktivitäten und senden Alarme. Die Daten des Unternehmens werden geschützt und das Vertrauen von Mitarbeitern, Kunden und Partnern gesichert.

Bildquelle: Thinkstock/ iStockphoto