Unsachgemäße Bestandsverwaltung (API-Bestandsverwaltung)
Ein Leitfaden zur unsachgemäßen Bestandsverwaltung (API-Bestandsverwaltung)
Eine unsachgemäße Bestandsverwaltung liegt vor, wenn ein Unternehmen keinen vollständigen Überblick über seine eigenen APIs hat, einschließlich solcher für veraltete Versionen, die noch in der Produktion laufen, undokumentierter Schatten-Endpunkte und nicht erfasster Datenflüsse von Drittanbietern.
Eine disziplinierte Verwaltung des API-Bestands ist für vollständige Transparenz unerlässlich, doch aufgrund der weit verzweigten und vernetzten Struktur moderner APIs ist es schwierig, eine genaue und aktuelle Dokumentation aufrechtzuerhalten. Wenn die Dokumentation hinter der Realität zurückbleibt, entstehen blinde Flecken, in denen sich Schwachstellen verstecken können.
Ältere API-Versionen sind ein besonders häufiger Angriffsvektor. Sie laufen oft noch lange nach der Veröffentlichung einer neueren Version weiter, nutzen dieselbe Produktionsdatenbank und verfügen dabei nicht über Schutzmaßnahmen wie Ratenbegrenzung, die die aktuelle Version bieten würde.
Wichtigste Erkenntnisse
- Eine unsachgemäße API-Bestandsverwaltung steht auf Platz 9 der OWASP API Security Top 10 2023 und tritt auf, wenn Unternehmen keinen vollständigen Überblick über ihre eigenen APIs haben, einschließlich veralteter Versionen, Schatten-Endpunkte und Datenflüsse von Drittanbietern.
- Veraltete oder fehlende Dokumentation führt zu einer „Dokumentationslücke“, die es erschwert, Schwachstellen zu erkennen und zu beheben, während nicht aufgeführte API-Hosts die Angriffsfläche vergrößern, ohne dass entsprechende Sicherheitsmaßnahmen vorhanden sind.
- Veraltete API-Versionen stellen einen primären Angriffsvektor dar; sie laufen oft ohne die Sicherheitsverbesserungen, die in neueren Versionen enthalten sind, nutzen dieselbe Produktionsdatenbank und verfügen möglicherweise nicht über wichtige Schutzmaßnahmen wie Ratenbegrenzung, wie in Szenario Nr. 1 dargestellt.
- Der Austausch von Daten Dritter ohne Bestandsaufnahme oder Kontrolle führt zu einem „blinden Fleck im Datenfluss“: Szenario Nr. 2 spiegelt den Vorfall um Cambridge Analytica wider, bei dem durch unbefugten Zugriff auf Social-Graph-Daten 50 Millionen Nutzer gefährdet wurden.
- Zur Prävention ist es erforderlich, ein umfassendes Verzeichnis aller API-Hosts, Versionen und Integrationen von Drittanbietern zu führen, die Dokumentation über CI/CD-Pipelines zu automatisieren und API-Bereitstellungen außerhalb der Produktionsumgebung, die mit echten Daten arbeiten, denselben Sicherheitsmaßnahmen zu unterziehen.
Warum ist das gefährlich?
Blinde Flecken in der API-Transparenz werden zu einer angreifbaren Angriffsfläche, was folgende Folgen hat:
- Ausnutzung veralteter API-Versionen, bei denen aktuelle Sicherheitsmaßnahmen fehlen
- Kompromittierung von Beta- oder Staging-Hosts, bei denen die in der Produktionsumgebung durchgesetzten Schutzmaßnahmen umgangen werden
- Unentdeckte Sicherheitslücken, die sich in undokumentierten, nicht aufgeführten API-Hosts verbergen
- Die unkontrollierte Weitergabe von Daten an Dritte führt neben der lückenhaften Dokumentation auch zu einer „blinden Stelle“ im Datenfluss
Typische Symptome
Eine unsachgemäße Bestandsverwaltung äußert sich häufig wie folgt:
- API-Hosts, für die keine Angaben zur Umgebung vorliegen – unabhängig davon, ob es sich um eine Produktions-, Staging-, Test- oder Entwicklungsumgebung handelt
- Veraltete Versionen sind weiterhin erreichbar und nach wie vor mit den Produktionsdaten verbunden
- Nicht dokumentierte Authentifizierung, Fehlerbehandlung, Ratenbegrenzung oder CORS-Verhalten über Endpunkte hinweg
- Integrationen von Drittanbietern, bei denen sensible Daten weitergegeben werden, ohne dass erfasst wird, welche Daten ausgetauscht werden oder wie sensibel diese sind
Die OWASP-Leitlinien ziehen eine Parallele zum Vorfall um Cambridge Analytica, bei dem durch unbefugten Zugriff auf Social-Graph-Daten 50 Millionen Nutzer gefährdet wurden. Eine Organisation kann nicht schützen, was sie nicht als Teil ihres Bestands erkennt.
Blinde Flecken beim Schlussbestand
Der Lagerbestand muss kontinuierlich gepflegt werden und darf nicht nur einmal angelegt und dann vergessen werden.
- Erstellen Sie eine Bestandsaufnahme aller API-Hosts, einschließlich Umgebung, Zugriffsbereich und Version
- Bestandsaufnahme der integrierten Dienste von Drittanbietern unter Dokumentation ihrer Funktion und der Sensibilität der Daten
- Dokumentenauthentifizierung, Fehler, Weiterleitungen, Ratenbegrenzung und CORS-Richtlinie für jeden Endpunkt
- Automatisieren Sie die Erstellung von Dokumentationen über CI/CD-Pipelines und beschränken Sie den Zugriff auf diese Dokumentationen ausschließlich auf autorisierte Benutzer.
- Wenden Sie externe Schutzmaßnahmen, wie beispielsweise spezielle API-Sicherheitstools, auf jede exponierte API-Version an, nicht nur auf die aktuelle Produktionsversion.
- Wenden Sie dieselben Sicherheitsprüfungen auch auf Nicht-Produktions-Bereitstellungen an, bei denen echte Daten verwendet werden
- Wenn eine neuere API-Version Sicherheitsverbesserungen enthält, führen Sie eine Risikoanalyse für ältere Versionen durch, um zu entscheiden, ob der Fix rückportiert werden soll oder ob die Clients zur Migration gezwungen werden sollen.
Der Schutz erstreckt sich nur auf die im Bestandsverzeichnis erfassten Elemente. Ganz gleich, wie gut die dokumentierten Hosts abgesichert sind – schon eine einzige undokumentierte API macht das Unternehmen angreifbar.
