Sicherheitsvorfälle in Produktions-APIs häufen sich

Salt Security, ein Unternehmen für API-Sicherheit, hat den Salt Labs State of API Security Report, Q3 2022, veröffentlicht. Die neueste Ausgabe des halbjährlich erscheinenden Berichts zeigt, dass 94 Prozent der Umfrageteilnehmer im vergangenen Jahr Sicherheitsprobleme bei Produktions-APIs hatten, wobei 20 Prozent angaben, dass ihre Unternehmen aufgrund von Sicherheitslücken in APIs eine Datenpanne erlitten.

Darüber hinaus ergab der Bericht, dass sich der API-Angriffsverkehr in den letzten 12 Monaten verdoppelt hat. Zusammengenommen zeigen die Ergebnisse, dass bestehende Lösungen und API-Sicherheitstaktiken, die sich auf Shift-Left-Strategien konzentrieren, nicht ausreichen, um APIs angemessen zu schützen.

Der State of API Security Report stützt sich auf eine Kombination aus Umfrageantworten und empirischen Daten des Salt Security Cloud Service. Der Bericht für das dritte Quartal 2022 zeigt, dass Salt-Kunden einen Anstieg des API-Angriffsverkehrs um 117 Prozent verzeichneten, während ihr API-Verkehr insgesamt um 168 Prozent zunahm, was die anhaltende Explosion der API-Nutzung in Unternehmen verdeutlicht. Der Anteil des böswilligen API-Verkehrs am Gesamtverkehr beträgt 2,1 Prozent. Die Zahl der API-Angriffsversuche stieg von durchschnittlich 12,22 Millionen böswilligen Aufrufen pro Monat vor einem Jahr auf durchschnittlich 26,46 Millionen Aufrufe im vergangenen Juni. Von den Salt-Kunden sind 44 Prozent mit durchschnittlich 11 bis 100 Angriffsversuchen pro Monat konfrontiert, 34 Prozent mit mehr als 100 Versuchen pro Monat und 8 Prozent mit mehr als 1000. 

„Die Digitalisierung, das Rückgrat unserer modernen Wirtschaft, hat dazu geführt, dass Unternehmen zunehmend auf APIs angewiesen sind, um neue Dienste anzubieten und ihre Wettbewerbsfähigkeit zu verbessern. Dieser Fokus auf digitale Innovation hat diese Unternehmen jedoch auch ins Visier genommen, wie diese Studie deutlich macht“, sagt Roey Eliyahu, Mitbegründer und CEO von Salt Security. „Angesichts der Tatsache, dass API-Angriffe von Jahr zu Jahr zunehmen, ist es kein Wunder, dass unsere Umfrage zeigt, dass Sicherheit die größte Sorge bei API-Strategien darstellt. Die Ergebnisse des Berichts zeigen auch die Notwendigkeit einer robusteren API-Sicherheitsstrategie – beginnend bei der Entwicklung, aber mit besonderem Schwerpunkt auf der Laufzeit – um diese wachsende Angriffsfläche und die wertvollsten Vermögenswerte der Unternehmen besser zu schützen. 

Die Entwicklung einer stabilen API-Sicherheitsstrategie ist von entscheidender Bedeutung, da 61 Prozent der Umfrageteilnehmer inzwischen mehr als 100 APIs verwalten. Da wichtige Unternehmensinitiativen so eng mit der API-Nutzung verknüpft sind, können sich Unternehmen keine Verzögerungen beim Deployment oder Rollbacks erlauben. Mehr als die Hälfte der Umfrageteilnehmer gab jedoch an, dass sich die Einführung neuer Anwendungen aufgrund von API-Sicherheitsbedenken verzögert.

Die Fähigkeit, Angriffe zu stoppen, wird als die wertvollste API-Sicherheitsfunktion genannt, während die Anwendung von Shift-Left-Praktiken am niedrigsten bewertet wird

Auf die Frage, welche der sechs Attribute von API-Sicherheitsplattformen „sehr wichtig“ sind, belegte die Fähigkeit, Angriffe zu stoppen, mit 41 Prozent der Nennungen den ersten Platz. Die Fähigkeit, zu erkennen, welche APIs PII oder sensible Daten preisgeben, belegte den zweiten Platz, wobei 40 Prozent der Befragten diese Funktion als sehr wichtig bezeichneten. An dritter Stelle steht mit 39 Prozent der Befragten die Erfüllung von Compliance- oder regulatorischen Anforderungen. Die Anwendung von Shift-Left-Praktiken stand am Ende der Liste, nur 22 Prozent der Befragten stuften diese Funktion als sehr wichtig ein.

Zu starkes Vertrauen auf Shift-Left-Praktiken 

Allein durch Shift Left-Strategien bleiben Unternehmen und ihre APIs weiterhin ungeschützt. Zwar konzentrierten sich 53 Prozent der Befragten auf die Behebung von Lücken während der Entwicklung, und 59 Prozent suchten nach API-Problemen beim Testen, aber ganze 94 Prozent hatten immer noch mit API-Sicherheitsvorfällen zu kämpfen. Dies zeigt, dass ein verstärkter Schutz während der Laufzeit erforderlich ist. In diesem jüngsten Bericht geben nur 30 Prozent der Befragten an, dass sie API-Sicherheitslücken während der Laufzeit identifizieren und beheben. Um jedoch das, was bereits in ihren Umgebungen läuft, vollständig zu schützen, benötigen Unternehmen Laufzeitschutzfunktionen.

Sicherheitsbedenken verzögern die Einführung neuer Anwendungen für die Mehrheit der Befragten

Mehr als die Hälfte der Befragten (54 Prozent) gab an, dass sie die Einführung neuer Anwendungen aufgrund von API-Sicherheitsbedenken verschieben mussten. Schlechtes API-Design und schlechte Sicherheitspraktiken sind oft die Ursache für den Verlust von sensiblen PII-Daten. Die Antworten auf die Umfrage unterstreichen diese Herausforderung: Fast ein Drittel der Befragten gab zu, dass sie im vergangenen Jahr sensible Daten preisgegeben oder einen Datenschutzvorfall innerhalb ihrer API-Produktion erlebt haben – ein deutlicher Anstieg im Vergleich zu den 19 Prozent aus dem Vorjahr. Innerhalb des Salt-Kundenstamms haben 91 Prozent der APIs PII oder sensible Daten preisgegeben. Unternehmen müssen daher unbedingt wissen, wie und wo Daten übertragen werden, damit sie diese APIs mit besonderer Sorgfalt schützen können.

Sicherheitsbedenken und „Zombie“-APIs bereiten die größten Sorgen 

Die Umfrageteilnehmer gaben an, dass ihre größten Sorgen in Bezug auf ihre API-Strategie darin bestehen, nicht genug in die Sicherheit vor der Produktion zu investieren (20 Prozent) und die Sicherheit während der Laufzeit nicht angemessen zu berücksichtigen (18 Prozent). Auf die Frage nach den größten API-Sicherheitsrisiken nannten 42 Prozent veraltete oder „Zombie“-APIs. Zombie-APIs waren in den letzten vier Umfragen von Salt die größte Sorge. Dies ist wahrscheinlich das Ergebnis einer zunehmend schnelleren Entwicklung, da Unternehmen versuchen, den mit APIs verbundenen Mehrwert zu maximieren. Die Übernahme von Konten und die versehentliche Offenlegung sensibler Informationen standen mit jeweils 15 Prozent an zweiter Stelle, gefolgt von der Sorge um „Schatten“- oder unbekannte APIs, die in den letzten sechs Monaten von 5 auf 11 Prozent gestiegen ist.

WAFs und API-Gateways übersehen weiterhin API-Angriffe

Wie bereits in früheren Umfragen gaben die Befragten an, dass sie sich bei der Verwaltung von APIs und dem Schutz vor den Angriffen auf Anwendungen hauptsächlich auf herkömmliche Tools verlassen. Die meisten Befragten verlassen sich auf API-Gateways (54 Prozent) und WAFs (44 Prozent), um Angriffe zu erkennen. Die Lücken dieser traditionellen Tools werden durch die Feststellung deutlich, dass 82 Prozent der Meinung sind, ihre vorhandenen Tools seien nicht sehr effektiv bei der Verhinderung von API-Angriffen und 94 Prozent haben bereits einen API-Sicherheitsvorfall erlebt.

Mehrere (lösbare) Hürden verhindern sichere API-Sicherheitsstrategien

Eine beträchtliche Mehrheit der Befragten (61 Prozent) gab zu, dass sie über keine oder nur eine grundlegende API-Sicherheitsstrategie verfügen, was angesichts der hohen Abhängigkeit von APIs zur Erreichung wichtiger Geschäftsergebnisse Anlass zur Sorge gibt. Obwohl alle Umfrageteilnehmer APIs in Produktion haben, gab ein erschreckend geringer Prozentsatz (9 Prozent) an, dass sie über eine fortschrittliche API-Strategie verfügen, die spezielle API-Tests und -Schutz beinhaltet. Zu den Hauptgründen für das Fehlen einer soliden API-Strategie gehören Budget (24 Prozent), Fachwissen (20 Prozent), Ressourcen (19 Prozent) und Zeit (11 Prozent).

Weitere Ergebnisse aus dem State of API Security Report:

• 91 Prozent der APIs, die innerhalb des Salt-Kundenstamms laufen, geben PII oder sensible Daten preis.
• API-Änderungen nehmen zu – 11 Prozent der Befragten aktualisieren ihre APIs täglich, 31 Prozent wöchentlich und 24 Prozent seltener als jeden Monat 
• Nur etwa die Hälfte der Befragten (55 Prozent) gibt an, dass ihr Sicherheitsteam die OWASP API Security Top 10 in ihrem Sicherheitsprogramm hervorhebt. Dies ist ein Rückgang gegenüber 61 Prozent vor sechs Monaten – ein bedauerliches Ergebnis, wenn man bedenkt, dass 62 Prozent der versuchten Angriffe innerhalb des Salt-Kundenstamms mindestens eine der Methoden auf dieser Liste nutzten.
• 86 Prozent der Befragten sind sich nicht sicher, ob ihr API-Inventar vollständig ist. 14 Prozent geben zu, dass sie nicht wissen, welche APIs personenbezogene Daten preisgeben. 
• 64 Prozent der Befragten geben an, dass die API-Sicherheit die Zusammenarbeit und sogar die Einbindung von DevOps-Teams erleichtert hat.

Konsequenzen für die API-Sicherheit 

Die Ergebnisse der Umfrage des State of API Security Report Q3 2022 sind eindeutig. Die Befragten gaben mit überwältigender Mehrheit an, dass die Abhängigkeit von APIs weiter zunimmt, da APIs für den Erfolg ihrer Unternehmen immer wichtiger werden. Gleichzeitig können die aktuellen Sicherheitstools und -prozesse aber nicht mit den neuen API-Protokollen und Angriffstrends Schritt halten. API-Verkehr und Nutzungstrends innerhalb der Salt-Kundenbasis bestätigen diese Beobachtungen. Unternehmen müssen von traditionellen Sicherheitspraktiken und Tools der letzten Generation zu einer modernen Sicherheitsstrategie übergehen, die die Sicherheit in jeder Phase des API-Lebenszyklus berücksichtigt und ein breites Spektrum an Schutzmaßnahmen bietet, die die Zusammenarbeit zwischen den Teams fördern.

Der State of API Security Report, Q3, 2022, wurde von Forschern von Salt Labs, der Forschungsabteilung von Salt Security, unter Verwendung von Umfragedaten von mehr als 350 Befragten aus verschiedenen Aufgabenbereichen, Branchen und Unternehmensgrößen erstellt. Fast die Hälfte der Befragten (49 Prozent) ist im Security-Bereich tätig, 19 Prozent sind Sicherheits- oder IT-Führungskräfte auf Führungsebene, und weitere 21 Prozent sind in Plattform-, DevOps- oder Produktteams tätig. Technologie- und Finanzdienstleistungsunternehmen – die weithin als Vorreiter bei der Nutzung von APIs gelten – machen 47 Prozent der Befragten aus.

https://salt.security