OpenText-Startseite.
Technische Themen

Was ist API-Sicherheit?

Illustration von IT-Elementen mit Schwerpunkt auf einem Fragezeichen

Übersicht

APIs (Application Programming Interfaces) sind ein wichtiger Bestandteil von Strategien zur digitalen Transformation, und die Sicherung dieser APIs ist eine der größten Herausforderungen. APIs sind eine schnell wachsende Angriffsfläche, die nicht allgemein bekannt ist und von Entwicklern und Verantwortlichen für die Anwendungssicherheit übersehen werden kann.

API-Sicherheit

Nehmen Sie es von dem OWASP API Security Project: "APIs sind ein wichtiger Bestandteil moderner mobiler, SaaS- und Web-Anwendungen und können in kundenorientierten, partnerorientierten und internen Anwendungen zu finden sein. APIs legen naturgemäß Anwendungslogik und sensible Daten wie personenbezogene Daten offen und sind daher zunehmend ein Ziel für Angreifer geworden. Ohne sichere APIs wäre eine schnelle Innovation unmöglich".

Was ist der Unterschied zwischen API-basierten Anwendungen?

Wiederum von OWASP:

  • Der Server wird eher als Proxy für Daten verwendet.
  • Die Rendering-Komponente ist der Client, nicht der Server.
  • Kunden konsumieren Rohdaten.
  • APIs legen die zugrunde liegende Implementierung der Anwendung offen.
  • Der Status des Benutzers wird in der Regel vom Client gepflegt und überwacht.
  • In jeder HTTP-Anfrage werden weitere Parameter gesendet (Objekt-IDs, Filter).

Wie unterscheidet sich die API-Sicherheit von der allgemeinen Anwendungssicherheit?

API Security konzentriert sich auf Strategien zur Minderung der einzigartigen Sicherheitsrisiken von APIs. Traditionelle Schwachstellen sind bei API-basierten Anwendungen weniger häufig:

  • SQLi - Zunehmende Verwendung von ORMs.
  • CSRF - Autorisierungs-Header anstelle von Cookies.
  • Pfadmanipulationen - Cloud-basierte Speicherung.
  • Klassische IT-Sicherheitsprobleme - SaaS.

Warum ist API-Sicherheit wichtig?

API-Sicherheit ist wichtig, da Unternehmen APIs zur Verbindung von Diensten und zur Übertragung von Daten verwenden, so dass eine gehackte API zu einer Datenverletzung führen kann.

API-Nutzung nimmt weiter zu

Im Dezember 2021 meldete Cloudflare, dass 54% der Gesamtanfragen auf API-Aufrufe entfielen und 21% von Februar bis Dezember 2021 gestiegen sind. Angreifer haben dies bemerkt und konzentrieren sich verstärkt auf APIs.

API-Sicherheitstests gehören zu den Kernfunktionen des Gartner MQ for Application Security Testing.

APIs sind zu einem wesentlichen Bestandteil moderner Anwendungen geworden (z. B. einseitige oder mobile Anwendungen), aber herkömmliche AST-Tools können sie nicht vollständig testen, was dazu führt, dass spezielle Tools und Fähigkeiten erforderlich sind. Typische Funktionen sind die Erkennung von APIs sowohl in Entwicklungs- als auch in Produktionsumgebungen und das Testen von API-Quellcode sowie die Möglichkeit, aufgezeichneten Datenverkehr oder API-Definitionen aufzunehmen, um das Testen einer laufenden API zu unterstützen.

Was ist die OWASP API-Sicherheits-Top-10?

OWASP hat kürzlich den API Security Top 10 Release Candidate angekündigt. Lesen Sie mehr über das OWASP API Security Project. Hier ist die Top 10:

  • API1 - Gebrochene Autorisierung auf Objektebene
  • API2- Fehlerhafte Benutzerauthentifizierung
  • API3 - Übermäßige Datenbelastung
  • API4 - Mangel an Ressourcen & Ratenbegrenzung
  • API5 - Gebrochene Autorisierung auf Funktionsebene
  • API6 - Massenzuweisung
  • API7 - Falsche Sicherheitskonfiguration
  • API8 - Einspritzung
  • API9 - Unsachgemäße Vermögensverwaltung
  • API10 - Unzureichende Protokollierung & Überwachung

Fortify hilft bei der API-Sicherheit

API-Sicherheit mit Fortify:

  • Abdeckung der Angriffsfläche - Erkennen Sie während der Tests automatisch neue und Schatten-API-Endpunkte und identifizieren Sie die Breite der Endpunkte mit OpenAPI, Swagger, Odata oder WSDL-Schemata.
  • API-Authentifizierung - Die API-Authentifizierung ist vielfältig und komplex. Fortify unterstützt praktisch alle Arten von Inhaber-Tokens und Implementierungen.
  • Erkennung von Schwachstellen - Ständig wachsende Abdeckung von API-spezifischen Schwachstellen, die Bereiche wie Bearer-Token oder GraphQL-Introspektion betreffen.
  • Scan-Automatisierung - Skalieren Sie API-Tests mit unternehmensgerechter Orchestrierung, die über SaaS, gehostet oder vor Ort bereitgestellt wird.

API-Sicherheit

Beginnen Sie noch heute


Mehr erfahren

Verwandte Produkte

OpenText™ Cybersecurity Cloud

Verteidigen Sie sich präzise, sichern Sie sich zuverlässig

OpenText™ Fortify On Demand

Profitieren Sie von Sicherheitstests, Schwachstellenverwaltung, spezifischer Expertise und Support

OpenText™ Fortify Statischer Code-Analysator

Erkennen und beheben Sie Sicherheitsprobleme schon frühzeitig mit den genauesten Ergebnissen der Branche

OpenText™ Fortify WebInspect

Identifizieren Sie Schwachstellen in bereitgestellten Webanwendungen und Services

OpenText™ Access Manager with Managed Services

Ermöglichen Sie Single Sign-On und Zugriffskontrolle über Plattformen hinweg

Alle verwandten Produkte anzeigen

Wie können wir behilflich sein?

Fußnoten