Cybersecurity API-Sicherheit: Wie Unternehmen sich vor Cyberangriffen schützen können

Anbieter zum Thema

Check Point Software Technologies

d.velop AG

Kendox AG

xSuite Group GmbH

Unternehmen sind täglich auf Hunderte von Application Programming Interfaces (API) angewiesen. Mit der zunehmenden Verbreitung der Programmierschnittstellen steigt auch das Bedrohungspotential, denn Cyberkriminelle nutzen die größere Angriffsfläche aus. Unternehmen können die API-Sicherheit erhöhen, wenn sie ein paar Dinge berücksichtigen.

Ein für Unternehmen gefährlicher Trend wird in den letzten Jahren beobachtet: Die Zahl der API-Angriffe steigt, so wie Vorfälle bei Anbietern wie beispielsweise OwnCloud, Joomla!, Ivanti und anderen belegen. Vor allem schlecht geschützte Web-APIs waren Ziel der zahlreichen Cyberangriffe und der damit verbundenen Datenverstöße.

Warum werden diese Schnittstellen unter Hackern immer beliebter? 

Ohne sie sind moderne Applikationen, insbesondere Web- und Mobile-Apps undenkbar – über 80 Prozent des Internet-Traffics beinhalten API-Calls. Durch die Nutzung von APIs können sehr komplexe Funktionen an Dritte ausgelagert werden, darunter Kommunikation, SignUp, Authentifizierung, KI-Integration und vieles mehr. So können sich Unternehmen auf die Kernfunktionalitäten ihrer Apps konzentrieren und diese schneller auf den Markt bringen.

Diese Schnittstellen erleichtern zwar die Kommunikation zwischen verschiedenen Anwendungen, bieten dadurch leider auch eine breitere Angriffsfläche als herkömmliche Webanwendungen. Dies ist auf die inhärenten Schwachstellen von Web-APIs zurückzuführen, die zur Umgehung der Authentifizierung, zum unbefugten Datenzugriff und zu einer Reihe von bösartigen Aktivitäten führen können.

Schatten-APIs

Unternehmen können weitere Sicherheitsmaßnahmen ergreifen, um ihre APIs zu schützen, die größte Gefahr geht jedoch vor Schatten-APIs aus. Diese Schnittstellen sind den Sicherheitsteams entweder nicht bekannt oder wurden vergessen, was aus verschiedenen Gründen immer wieder passiert. Außerdem besteht eine ständige Unsicherheit durch die Übernahme von APIs von Drittenanbietern, deren Schwachstellen erst später entdeckt werden und als potenzielle Zero Days – unbekannte Sicherheitslücken, die von Angreifern entdeckt werden, noch bevor der Hersteller davon Kenntnis genommen hat – die Angriffsfläche unbemerkt vergrößern.

Daten aus der Check Point ThreatCloud AI belegen diese Beobachtungen, denn API-Angriffe betreffen durchschnittlich ein von viereinhalb europäische Unternehmen pro Woche. Verglichen mit dem letzten Jahr bedeutet dies einen Anstieg von 20 Prozent. Bemerkenswert ist dabei, dass es auch branchenweite Unterschiede gibt: Das Bildungswesen ist weltweit am stärksten von den Angriffen betroffen. Dennoch, so wie der Einsatz von APIs in allen Sektoren steigt, steigt auch die Anzahl der Attacken in allen Branchen.

Zero-Day-Schwachstellen: Sicherheitsrisiken und Serviceausfälle durch kritische Exploits

Besonders gefährlich wird es, wenn dann auch noch Zero Day- Schwachstellen ausgenutzt werden. In so einem Fall können sogar zeitweise die Lichter ausgehen. Einige Vorfälle hatten Ausfälle der Services zur Folge. Zu nennen sind hier Exploits wie der Fortinet-Authentifizierungs-Bypass und die Zero Day-Schwachstellen bei Ivanti. Die Lücke mit der Bezeichnung CVE-2023-35078 wurde für einen unbefugten Datenzugriff und die Verbreitung von Crypto-Miner-Malware genutzt. Dies betraf alle unterstützten Versionen der betroffenen Produkte des Herstellers mit der Möglichkeit, EPMM-Server zu manipulieren. Diese Schwachstelle betraf im Jahr 2023 durchschnittlich 1 von 31 Organisationen weltweit pro Woche. Zu den betroffenen Produkten gehörte ebenfalls Software, die von der norwegischen Regierung verwendet wird.

API-Sicherheit: Cyberangriffe in der Praxis

Die folgenden drei weiteren Beispiele verdeutlichen, welche Möglichkeiten sich in Drittanbieter-APIs für kreative Cyberkriminelle ergeben, wenn sie die Schwachstellen ausnutzen.

• Fortinet Multiple Products Authentication Bypass (CVE-2022-40684) – 9.8 CVSS.
   Bei dieser im Oktober 2022 bekannt gegebenen Sicherheitslücke können unbefugte Benutzer die Authentifizierungsmaßnahmen in verschiedenen Fortinet-Produkten umgehen.

• Joomla! Authentication Bypass (CVE-2023-23752) – 5.3 CVSS.
   Bei dieser im Februar 2023 bekannt gegebenen Sicherheitslücke handelt es sich um eine Schwachstelle, die unbefugten Zugriff auf Joomla!-Websites ermöglicht und so möglicherweise die Authentifizierungsmaßnahmen für Benutzer gefährdet.

• ownCloud Graph API Information Disclosure (CVE-2023-49103) – 7,5 CVSS.
   Bei dieser im November 2023 bekannt gegebenen Sicherheitslücke handelt es sich um eine Schwachstelle, durch die möglicherweise sensible Informationen in ownCloud-Instanzen offengelegt werden können.

API-Sicherheit: Fazit

Sicherheitsteams müssen sich bei der API-Sicherheit auf den Schutz der Unternehmensdaten und nicht bloß auf den Schutz einzelner Anwendungen konzentrieren. Web Application Firewalls (WAF) sind ein essenzielles Element, um API-Sicherheits-Strategien in diesem Zusammenhang umzusetzen.

So wie der Einsatz von APIs in allen Sektoren steigt, steigt auch die Anzahl der Attacken in allen Branchen. Besonders gefährlich wird es, wenn dann auch noch Zero Day-Schwachstellen ausgenutzt werden.