Anzeige

Anzeige

VERANSTALTUNGEN

LIVE2019
28.05.19 - 28.05.19
In Nürnberg

Online B2B Conference
04.06.19 - 05.06.19
In Holiday Inn Westpark, München

ACMP Competence Days Dortmund
04.06.19 - 04.06.19
In SIGNAL IDUNA PARK, 44139 Dortmund

Aachener ERP-Tage 2019
04.06.19 - 06.06.19
In Aachen

WeAreDevelopers
06.06.19 - 07.06.19
In Berlin, Messe CityCube

Anzeige

Anzeige

API

APIs (Application Programming Interfaces) sind ein zweischneidiges Schwert für moderne Anwendungen wie mobile Apps, IoT-Anwendungen und Dienste von Drittanbietern, die in bestehende Anwendungen eingebettet sind. Sie vereinfachen die Architektur und die Bereitstellung, bringen aber eine Vielzahl von Risiken und Schwachstellen mit sich.

Leider erhalten API-Schwachstellen immer noch nicht die erforderliche Aufmerksamkeit. Alle Risiken, die Webanwendungen betreffen, betreffen auch Web Services, und dennoch funktionieren herkömmliche Tools zur Bewertung der Anwendungssicherheit wie Dynamic Application Security Testing (DAST) und Static Application Security Testing (SAST) entweder nicht gut mit APIs oder sind einfach irrelevant für sie.

APIs werden das Herzstück vieler KI-Fähigkeiten sein. Ihr Schutz könnte das größte Problem der Zukunft des Internets sein. Nachfolgend 14 Tipps von Radware für Sicherheitsmaßnahmen, mit denen APIs besser geschützt werden können:

  1. TLS ist erforderlich, um bei der Kommunikation zwischen dem Client und den APIs die Vertraulichkeit und Integrität der Daten während des Transports zu gewährleisten.
     
  2. TCP-Terminierung für die Erkennung von Netzwerk-Angriffen, bei denen IP-Fragmentierung angewendet wird.
     
  3. HTTP-Protokoll-Parsing und Durchsetzung des HTTP-RFC schützt vor verschiedenen HTTP-Angriffen wie NULL-Byte-Injection, verschlüsselte Angriffe, HRS-Angriffe, Content-Type-Mismatch, etc.
     
  4. Verkehrsnormalisierung zur Erkennung von Umgehungsangriffen. Verschlüsselte Angriffe können viele Sicherheitslösungen leicht umgehen.
     
  5. Message Size Policy Enforcement für HTTP-Nachrichten, Body, Header und JSON/XML-Elementgrößen schützt die Anwendung vor Pufferüberlauf-Angriffen, Ressourcenerschöpfung und anderen Verfügbarkeitsangriffen auf die API-Infrastruktur.
     
  6. Verwaltung von Zugriffskontrollrichtlinien mit:
    - IP-basierten und geografischen Standortbeschränkungen, falls relevant
    - Zugriffsbeschränkung auf bestimmte APIs, bei denen z.B. einige APIs für den öffentlichen Zugriff freigegeben werden sollen, während andere nur für den internen Gebrauch bestimmt sind.
    - Zugriffsbeschränkungen auf bestimmte HTTP-Methoden, bei denen die für bestimmte Benutzer erlaubten Operationen für andere Benutzer oder Quellen verboten sind. (Ein Benutzer kann z.B. eine Lizenz generieren, aber die einmal generierte Lizenz nicht löschen.)
     
  7. Starke Typisierung und ein positives Sicherheitsmodell schützen die API-Infrastruktur. Die meisten Angriffe werden unmöglich, wenn z.B. der einzige erlaubte Werttyp im JSON-Element eine ganze Zahl mit dem Wertebereich von 1 - 100 ist.
     
  8. XML/JSON Gültigkeitsprüfung und Schemavalidierung bilden einen äußerst wichtigen Schutz. Typen, Wertebereiche, Größen und Reihenfolge der XML-Elemente müssen konfigurierbar sein.
     
  9. Datenraten-basierter Schutz pro Anwendung oder pro API ist ein wichtiger Schutz vor Servicemissbrauch, Brute-Force-Angriffen und DoS-Angriffen.
     
  10. XSS-Schutz sollte auf Regeln und Signaturen bekannter Angriffsmuster basieren.
     
  11. SQL- und No-SQL-Injection-Schutz kann durch Bereinigung und Validierung von Benutzereingaben sowie durch regelbasierte Angriffserkennung erreicht werden.
     
  12. Das Session-Management kann verwendet werden, um den API-Schlüssel zu schützen, der als Body-Argument oder im Cookie gepostet wird.
     
  13. Schutz vor Datenlecks ist unerlässlich, um sicherzustellen, dass Fehlermeldungen und sensible Informationen nicht an den potenziellen Angreifer gelangen.
     
  14. DDoS-Schutz ist der Schlüssel zur Verhinderung und Abschwächung einer Vielzahl von DDoS-Angriffstechniken, die API-Schwachstellen ausnutzen können.

Autor: Jürgen Haekel

www.radware.com


 

GRID LIST
Street Sign Best versus Worst

Der beste Weg, Systeme zu verbinden

Die Zeiten monolithischer Softwareanwendungen sind vorbei. Ohne Vernetzung kommt heute…
Tb W190 H80 Crop Int B2e0719610fc46a65e5292d0ac51a1df

Verpassen Software-Hersteller ihre Zukunft?

Der Markt für Enterprise Application Software (EAS), gilt bisher als ruhiger Luftraum.…
Tb W190 H80 Crop Int 34728d417354d8517e727334ae0c6671

Container-Monitoring mit Foglight Container Management

Quest Software hat Foglight Container Management der Öffentlichkeit vorgestellt. Die neue…
Software Audit

Software Audit – Wenn der gefürchtete „Notification Letter“ eintrifft

Software Audits sind in der Branche aktueller denn je. Die Anzahl an Software Audits…
Legacy

Schnellcheck: Modernisierungskandidaten identifizieren

Praktisch jedes Unternehmen hat Anwendungen im Einsatz, die in die Jahre gekommen sind.…
Tb W190 H80 Crop Int F88a9f74a0e91ae62afc0bb8dbbd9671

Autonome DevOps als Schlüssel zum Unternehmenserfolg

Marktbedingungen verändern sich durch die Digitalisierung rasant. Unternehmen werden aber…