IT Security Januar / Februar 2024

36 | IT SECURITY
API-Sicherheit neu definiert
MEHR SCHUTZ FÜR KOMPLEXERE INFRASTRUKTUREN
Im Gegensatz zu anderen punktuellen
API-Sicherheitslösungen vereinen innovative
Plattformen wie beispielsweise
die von Cequence Security die Erkennung
von APIs, die Inventarisierung, die
Einhaltung von Richtlinien und dynamische
Tests mit Echtzeit-Erkennung und
nativer Prävention zur Abwehr von Betrug,
Angriffen auf die Geschäftslogik,
Exploits und unbeabsichtigten Datenlecks.
Die Unified-API-Protection-Plattform
(UAP) genannte Plattform dient
der Absicherung von APIs in den heutigen
komplexen Infrastrukturen.
Unzureichende
Lesen Sie
den kompletten
Beitrag hier
Understanding the
Zero Trust
API Security Model
API-Sicherheitsmaßnahmen
Warum ist der Einsatz von API-Plattformen
überhaupt notwendig? Den API-
Business-Logic-Missbrauch, auch definiert
als OWASP API10+, eine Erweiterung
der OWASP API Top 10, nennt
man die Praxis, APIs anzugreifen, um
sein bösartiges Endziel zu erreichen.
Codierungsfehler wie schwache Authentifizierung,
übermäßige Offenlegung
von Daten oder die versehentliche
Veröffentlichung interner APIs sind bekanntermaßen
immer wieder die Hauptursachen
für API-Sicherheitsvorfälle.
Mit 3,6 Milliarden böswilligen Anfragen,
die vom CQ Prime Threat Research
Team blockiert wurden, waren diese
API10+-Angriffe die zweitgrößte API-Sicherheitsbedrohung,
die im ersten
Halbjahr 2022 abgewehrt werden
konnte. Neuere Zahlen sind aktuell
nicht verfügbar, dürften in der Richtung
aber eher steil nach oben gehen.
Zahlen, Daten, Fakten
Um das tatsächliche Ausmaß zu erahnen,
hier einige Zahlen. Böswillige Anfragen,
die auf APIs abzielen, wurden
vom CQ Prime Threat Research Team im
ersten Halbjahr 2022 wie folgt blockiert:
➤ Über 3 Milliarden Shopping Bots:
Shopping Bots zielten auf fehlerhafte
APIs mit einem dichten Netz von hochvolumigen
und geografisch verteilten
Fuzzing-Nutzlasten ab. Diese Angriffe
haben oft eine extrem niedrige Erfolgsquote,
aber Größenvorteile führen zu
einer erhöhten Rendite, wenn das Zielobjekt
(etwa Turnschuhe, Luxusgüter,
Spielkonsolen) erfolgreich gekauft und
dann zu stark überhöhten Preisen weiterverkauft
wird.
➤ Über 290 Millionen böswillige Geschenkkarten-Gutscheine:
Die Aufzählung
von Geschenkkarten basiert auf
dem Fuzzing numerischer Muster in APIs,
die Zahlungs- und Checkout-Microservices
unterstützen. Die Angreifer nutzen
billige Cloud-Computing-Ressourcen,
die über viele Proxys verteilt sind, um
Credential Stuffing-Angriffe auszuführen,
die darauf abzielen, kostenlos an
Geld zu gelangen. Das Fehlen einer Fehleranalyse
bei solchen APIs führt zu einer
großen Lücke in der Anwendungssicherheit.
Cequence nutzt mehrere Standardfunktionen,
um Bedrohungsvektoren und
Angriffsnutzlasten im Zusammenhang
mit Zahlungsbetrug zu verfolgen.
➤ 37 Millionen Kommentar-Spam-Anfragen:
Dieser Satz von Nutzlasten
missbraucht APIs, die Workflows für das
Kundenbeziehungsmanagement dienen.
Spamming und DoS-Aktivitäten in
diesen Abläufen führen zu erheblichen
Reibungsverlusten bei den Kunden und
behindern die Fähigkeit eines Unternehmens,
seine Kunden zu bedienen.
Und so gehen Hacker vor!
Das CQ Prime Threat Research Team
hat die Vorgehensweisen analysiert und
beschreibt die Methodik wie folgt:
Methodischer
API-Business- Logik-Missbrauch
Das Team konnte erfolgreich einen Angriff
auf eine eCommerce-Plattform entschärfen,
der die OWASP API5-
Schwachstelle (Broken Function Level
Authorization) missbrauchte. Die Angreifer
automatisierten den Kauf von
Kundenartikeln mit gestohlenen Kreditkarten
und PCI-DSS-Daten (Payment
Card Industry Data Security Standard).
Der Lebenszyklus des API-Missbrauchs-
Angriffs sah wie folgt aus:
Scannen der Schwachstellen: Die Angreifer
begannen damit, die gesamte
Website mit bekannten Tools zum Scannen
von Schwachstellen von einer einzigen
IP-Adresse aus abzubilden. Dazu
Januar/Februar 2024 | www.it-daily.net