Unternehmen vernachlässigen API-Sicherheit API-Bestandsaufnahme könnte Risiken minimieren

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Insider Research

Confluent Germany GmbH

Akamai Technologies GmbH

Die meisten Unternehmen haben noch keines spezifischen Sicherheitskontrollen für ihre Application Programming Interfaces, kurz APIs, etabliert – trotz der bestehenden Gefahr von Cyberangriffen. Zu diesem Schluss kommen das Cloud-Unternehmen Akamai Technologies und das SANS-Institut nach einer gemeinsamen Umfrage.

Im Zuge der Umfrage zur API-Sicherheit 2023 fanden SANS Institute und Akamai heraus, dass weniger als die Hälfte der befragten Anwendungssicherheitsexperten über dedizierte Tools zur API-Sicherheitstests verfügen. Noch besorgniserregender sei, dass jeweils nicht einmal ein Drittel der Teilnehmer (29 Prozent) Sicherheitskontrollen in DDoS- und Lastausgleichsdiensten oder API-Erkennungstools nutzt.

Letzteres führt dann dazu, dass Unternehmen sich der Ausmaße ihres API-Ökosystems gar nicht bewusst sind. 57,1 Prozent der Umfrageteilnehmer gaben ein API-Bestandsgenauigkeit zwischen 25 und 75 Prozent an. Rupesh Chokshi, Senior Vice President und General Manager, Application Security bei Akamai, hält das offenbar für fahrlässig: „Unternehmen müssen sich stärker darauf konzentrieren, wo und wie viele APIs ausgeführt werden, da anfällige APIs zum häufigsten Einfallstor für Angriffe werden."

62 Prozent der Befragten vertrauen immerhin auf Web Application Firewalls als Teil ihrer Strategie zur API-Risikominderung. Für die Bestimmung der Anwendungs- und API-Risiken vertrauen die meisten Befragten auf die vom OWASP (Open Web Application Security Project) veröffentlichten Top-10-Listen für Anwendungssicherheit und APIs sowie das MITRE ATT&CK-Framework.

Der Studie zufolge sind Phishing (38,3 Prozent) und fehlende Patches (24 Prozent) die beiden wichtigsten API-Sicherheitsbedenken. Dem folgten die Ausnutzung anfälliger Anwendungen/APIs mit zwölf Prozent und die versehentliche Weitergabe vertraulicher Informationen mit 9,1 Prozent. Die Umfrage basiert auf Antworten von 231 Anwendungssicherheitsexperten weltweit. Laut Akamais „State of the Internet“-Bericht war 2022 ein Rekordjahr für Anwendungs- und API-Angriffe.

API-Sicherheitsprobleme könnten aber nur durch Sicherheitskontrollen gelöst werden, meint John Pescatore, Director of Emerging Security Trends bei SANS, etwa durch strenge Authentifizierung, Bestandsaufnahme, Schwachstellen-Management und Änderungskontrolle: „Prävention und Erkennung müssen verbessert werden, um API-zentrierten Angriffen begegnen zu können. Auch Infrastruktur-Services (wie Content Delivery Networks und Denial-of-Service-Filterung) müssen Teil der Lösung sein.“

(ID:49617798)