-
Die weite Verbreitung von mobilen und IoT-Geräten und die zunehmende Nutzung von Cloud-Systemen führen zu einem grundlegenden Wandel in der modernen Anwendungsarchitektur.
Application Programming Interfaces (APIs) haben sich als Brücke erwiesen, um die Kommunikation zwischen verschiedenen Anwendungsarchitekturen zu erleichtern. Mit der weit verbreiteten Bereitstellung von APIs nehmen jedoch automatisierte Angriffe auf schlecht geschützte APIs zu. Personenbezogene Daten, Zahlungskartendaten und geschäftskritische Dienste sind durch automatisierte Angriffe auf APIs gefährdet. Schon heute berichtet nach dem jüngsten Global Application & Network Security Report von Radware jedes dritte Unternehmen über Attacken gegen Anwendungen via APIs.
Dabei nutzen Angreifer unterschiedliche Schwachstellen in der Implementierung von APIs aus. So überprüfen viele APIs nur den Authentifizierungsstatus, aber nicht, ob die Anforderung von einem echten Benutzer kommt. Angreifer nutzen solche Fehler auf verschiedene Weise (einschließlich Session Hijacking und Account Aggregation), um echte API-Aufrufe zu imitieren. Zudem werden immer häufiger mobile Anwendungen zurückentwickelt (Reverse Engineering), um herauszufinden, wie diese das API aufrufen. Wenn API-Schlüssel in die App eingebettet sind, kann dies zu einem API-Bruch führen. Die Benutzerauthentifizierung sollte daher laut Radware nicht nur auf API-Schlüssel vertrauen.
Vielen APIs fehlt es zudem an einer robusten Verschlüsselung zwischen API-Client und API-Server. Angreifer nutzen solche Schwachstellen durch Man-in-the-Middle-Angriffe aus. Sie zielen dabei auch auf unverschlüsselte oder schlecht geschützte API-Transaktionen zwischen API-Client und API-Server, um sensible Informationen zu stehlen oder Transaktionsdaten zu ändern. Darüber hinaus hat die allgegenwärtige Nutzung von mobilen Geräten, Cloud-Systemen und Microservices die API-Sicherheit weiter erschwert, da nun mehrere Gateways beteiligt sind, um die Interoperabilität zwischen verschiedenen Webanwendungen zu erleichtern. Die Verschlüsselung von Daten über all diese Kanäle hinweg ist daher von größter Bedeutung.
Ein weiteres Problem mit APIs ist die Tatsache, dass sie anfällig für Missbrauch der Geschäftsprozesse sind. Angreifer führen wiederholte und umfangreiche API-Aufrufe auf einem Anwendungsserver durch oder verzögern POST-Anfragen, um so einen Denial-of-Service-Angriff zu realisieren. Ein DDoS-Angriff auf ein API kann zu massiven Störungen einer Frontend-Webanwendung führen.
Schließlich leiden APIs auch unter mangelnder Endpunkt-Sicherheit. Die meisten IoT-Geräte und Micro-Service-Tools sind so programmiert, dass sie mit ihrem Server über API-Kanäle kommunizieren. Diese Geräte authentifizieren sich über Client-Zertifikate auf API-Servern. Hacker versuchen häufig, die Kontrolle über ein API vom IoT-Endpunkt aus zu erlangen, und wenn sie erfolgreich sind, können sie die Reihenfolge der APIs leicht ändern, was zu einem Datenverlust führen kann.
„APIs sind heute das Rückgrat moderner Service-Architekturen, können Hackern aber auch einfache Zugangsmöglichkeiten zu kritischen Anwendungen und Daten eröffnen“, kommentiert Michael Tullius, Regional Director DACH bei Radware. „Eine Bot-Management-Lösung, die APIs vor automatisierten Angriffen schützt und sicherstellt, dass nur echte Benutzer auf APIs zugreifen können, kann die meisten derartigen Angriffe erkennen und abwehren.“
Weitere Schritte gegen Angriffe auf APIs sind laut Radware:
– Überwachung und Verwaltung von API-Aufrufen aus automatisierten Skripten (Bots)
– Einsatz von Multifaktor Authentifizierung
– Implementierung von Maßnahmen zur Verhinderung des API-Zugriffs durch fortschrittliche menschenähnliche Bots
– Zuverlässige Verschlüsselung
– Implementierung einer Token-basierten Ratenbegrenzung mit Funktionen zur Begrenzung des API-Zugriffs basierend auf der Anzahl der IPs, Sessions und Token.
– Zuverlässige Endgeräte-SicherheitVerantwortlicher für diese Pressemitteilung:
Radware GmbH
Herr Michael Tullius
Reguscenter – Terminalstraße 18
85356 München
Deutschlandfon ..: +49 6103 70657-0
web ..: http://www.radware.com
email : info_de@radware.comPressekontakt:
Prolog Communications GmbH
Herr Achim Heinze
Sendlinger Str. 24
80331 Münchenfon ..: +49 89 800 77-0
web ..: http://www.prolog-pr.com
email : achim.heinze@prolog-pr.comDisclaimer: Diese Pressemitteilung wird für den darin namentlich genannten Verantwortlichen gespeichert. Sie gibt seine Meinung und Tatsachenbehauptungen und nicht unbedingt die des Diensteanbieters wieder. Der Anbieter distanziert sich daher ausdrücklich von den fremden Inhalten und macht sich diese nicht zu eigen.
Bitte beachten Sie, dass für den Inhalt der hier veröffentlichten Meldung nicht der Betreiber von Informieren.eu verantwortlich ist, sondern der Verfasser der jeweiligen Meldung selbst. Weitere Infos zur Haftung, Links und Urheberrecht finden Sie in den AGB.
Sie wollen diese Informationen verlinken? Der Quellcode lautet:
Jedes dritte Unternehmen wird über APIs attackiert
veröffentlicht am 28. Mai 2019 in der Rubrik Presse - News
Dieser Content wurde auf Informieren 83 x angesehen • Content-ID 69083
Jedes dritte Unternehmen wird über APIs attackiert
Lesezeit dieser Information ca. 2 Minuten, 19 Sekunden
News-ID 69083
auf Informieren suchen
neu veröffentlicht – jetzt informieren
- Goldpreis auf dem Weg zu 3.000 US-Dollar! Da muss man bei so einem Unternehmen dabei sein!
- Nachfrageaussichten für Kupfer längerfristig günstig
- RUA GOLD informiert über den aktuellen Stand der Bohrungen im Projekt Reefton und über die nächste Phase von Bohrzielen
- Century Lithium informiert über den Aktuellen Stand der Machbarkeitsstudie
- Explorationsprogramm 2024 von Klondike Gold in gesamtem Konzessionsgebiet im Gange
- SolarStrom12 GmbH, Osnabrück: Kundenzufriedenheit im PV-Bereich wird zertifiziert
- Rolec erhält den Sonderpreis für Nachhaltigkeit beim Innovationspreis des Landkreises Schaumburg
- gibt Konzernzahlen für FY 2023 bekannt
- Experten betrachten Münzen als historischen Spiegel: Einschätzungen vom Bayerischen Münzkontor
News bloggen – Leser informieren
Betreiben Sie Öffentlichkeitsarbeit im Internet (online PR). Berichten Sie was für News es bei Ihnen gibt. Das schafft Traffic auf die eigene Seite.
News und Informationen manuell auf diversen Portalen verbreiten kostet viel Zeit. Diese Arbeit nimmt Ihnen der Presseverteiler Connetar ab. Mit einem Klick wird dieser auch auf diesem Portal erscheinen. Testen Sie den Presseverteiler kostenlos.
News und Informationen manuell auf diversen Portalen verbreiten kostet viel Zeit. Diese Arbeit nimmt Ihnen der Presseverteiler Connetar ab. Mit einem Klick wird dieser auch auf diesem Portal erscheinen. Testen Sie den Presseverteiler kostenlos.
Informieren – Archiv
Informieren und Werben