Schatten-APIs wieder ins Scheinwerferlicht rücken

Die Digitalisierung hat die Entwicklung von APIs stark beschleunigt. Vielen Organisationen fällt es schwer, den Überblick über diese zu behalten. Gerade in schnelllebigen DevOps-Umgebungen ist die Erstellung ungeprüfter APIs leicht passiert. Ein ideales Einfallstor für Cyberkriminelle. Laut einer Untersuchung von Cequence Security, Anbieter von Unified-API-Protection-Lösungen, sind Suchanfragen für Schatten-APIs im zweiten Halbjahr 2022 im Vergleich zur ersten Jahreshälfte um 900 Prozent auf rund 45 Milliarden Anfragen gestiegen. Das verwundert nicht. Denn Angreifer können über Schatten-APIs schlimmstenfalls sensible Geschäftsdaten einsehen, abgreifen und hohen Schaden verursachen. Um das zu verhindern, gilt es für IT-Verantwortliche, Schatten-APIs in den Fokus zu nehmen. Zentrale Fragestellungen geben dabei Orientierung.

Wie viele APIs betreibt das Unternehmen? Transparenz zu schaffen, ist der erste Schritt. Dazu gehört, alle internen und öffentlich exponierten APIs einer Organisation aufzudecken, zu erfassen und zu inventarisieren. IT-Verantwortliche sollten jede Schnittstelle – privat, öffentlich oder die eines Partners – dokumentieren und beobachten.

Verhalten sich die Schnittstellen wie definiert? Sind alle verwalteten und nicht verwalteten APIs inventarisiert, müssen sie lückenlos überwacht werden. Ein permanentes Monitoring gibt Aufschluss darüber, wie sich die Schnittstellen verhalten. Welche Daten werden angefragt? Welche Daten schickt die Schnittstelle zurück? Gibt eine Schnittstelle zu viele Informationen preis, können Entwicklerteams eingreifen und Codierungsfehler beheben.

Werden APIs am Ende ihres Lebenszyklus ordnungsgemäß deaktiviert? Von Design, Entwicklung und Bereitstellung über die Wartung bis hin zur Stilllegung durchlaufen Schnittstellen einen Lebenszyklus. APIs auszumustern, ist ein natürlicher Teil davon. Wird eine API jedoch nicht ordnungsgemäß außer Betrieb genommen und deaktiviert, kann sie sich im Schattendasein zu einer schlafenden Brutstätte für cyberkriminelle Aktivitäten entwickeln – meist außerhalb des Blickfelds von Entwicklern und Cybersecurity-Verantwortlichen. Denn veraltete Schnittstellen werden oft nicht beachtet und sind auch nicht mehr Teil von regelmäßigen Software-Updates.

Dies ist ein Artikel aus unserer Print-Ausgabe 9/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Berücksichtigt das Security-Konzept neben technischen auch organisatorische Maßnahmen? Es ist ein organisatorischer und technischer Angang erforderlich, um wirkungsvolle API-Schutzmaßnahmen aufzusetzen und ein hohes Sicherheitsniveau zu schaffen. Dabei kommt es darauf an, die Perspektiven von Angreifern, Verteidigern und Entwicklern zu kennen und in einem ganzheitlichen Security-Konzept zu berücksichtigen. Organisationen erhöhen damit die API-Sicherheit und sind für eine Vielzahl von cyberkriminellen Angriffsmethoden gewappnet.

Bildquelle: Getty Images / iStock / Getty Images Plus