Uneingeschränkter Zugriff auf sensible Geschäftsabläufe
Ein Leitfaden für den uneingeschränkten Zugriff auf sensible Geschäftsabläufe
Ein uneingeschränkter Zugriff auf sensible Geschäftsabläufe liegt vor, wenn eine API legitime Funktionen wie den Kauf eines Produkts oder das Verfassen eines Kommentars bereitstellt, ohne dabei den Schaden zu berücksichtigen, den diese Funktionen dem Unternehmen zufügen können, wenn ein Angreifer den Zugriff darauf in großem Umfang automatisiert.
API6:2023, das erstmals in den „OWASP API Security Top 10“ für 2023 aufgeführt ist, unterscheidet sich vom Rest der Liste dadurch, dass es eher geschäftsspezifisch als rein technisch ist. Die damit verbundene Gefahr hängt davon ab, wo es auftritt. Dasselbe API-Verhalten kann in einer Branche akzeptabel sein, in einer anderen hingegen ein ernstes Risiko darstellen.
Da das von API6 ausgehende Risiko in der Geschäftslogik selbst begründet liegt, ist diese Bedrohung schwerer zu erkennen als die meisten anderen Schwachstellen auf dieser Liste. Es gibt auch keine allgemeine Sicherheitslücke, die durch ein Patch behoben werden könnte. Der Angreifer verursacht keinen Schaden; jede Anfrage ist gültig. Der Missbrauch liegt in der Menge und der Automatisierung, nicht in der Funktionsweise einzelner Aufrufe.
Wichtigste Erkenntnisse
- API6:2023 ist ein neuer Eintrag in den OWASP API Security Top 10 2023, der sich auf Missbrauch auf Geschäftsebene konzentriert, bei dem Angreifer legitime API-Funktionen in großem Maßstab automatisiert ausnutzen, um dem Unternehmen zu schaden, anstatt Daten zu stehlen.
- Im Gegensatz zu technischen Schwachstellen ist dieses Risiko branchenspezifisch; dasselbe API-Verhalten (z. B. Großeinkäufe) kann in einer Branche akzeptabel sein, in einer anderen hingegen ein kritisches Risiko darstellen
- Zu den gängigen Angriffsszenarien gehören das Weiterverkaufen stark nachgefragter Produkte, die Massenreservierung von Zeitfenstern, um legitime Nutzer auszuschließen, die Manipulation der Sitzplatzverfügbarkeit bei Fluggesellschaften sowie die Automatisierung von Missbrauch von Empfehlungsprogrammen zum Zwecke des finanziellen Gewinns
- Die Erkennung ist schwieriger als üblich, da der Angreifer gültige API-Aufrufe nutzt; die Schwachstelle liegt im Fehlen von Ratenbeschränkungen bei sensiblen Geschäftsabläufen, nicht in einer herkömmlichen Sicherheitslücke.
- Zur Risikominderung ist ein zweistufiger Ansatz erforderlich: Zunächst muss ermittelt werden, welche Geschäftsabläufe ein Risiko durch übermäßige Nutzung bergen, und anschließend müssen Kontrollmaßnahmen wie Geräte-Fingerprinting, CAPTCHA, Verhaltensmusteranalyse und IP-Sperrung für bekannte Proxy- und Automatisierungsinfrastrukturen implementiert werden.
Warum ist das gefährlich?
Da der Angreifer legitime API-Aufrufe nutzt, entgeht dieses Risiko herkömmlichen Sicherheitstools. Der Schaden äußert sich wie folgt:
- Scalping, bei dem ein Angreifer den gesamten verfügbaren Vorrat eines stark nachgefragten Artikels aufkauft, um ihn mit einem Aufschlag weiterzuverkaufen
- Denial-of-Service-Angriffe gegen echte Kunden durch Massenreservierungen von begrenzten Beständen oder Zeitfenstern
- Manipulation von dynamic systems, beispielsweise durch künstliche Aufblähung oder Blockierung der Verfügbarkeit von Flugplätzen
- Finanzieller Missbrauch durch automatisierte Ausnutzung von Empfehlungsprogrammen
Typische Symptome
Angreifer können Zugriff auf sensible Geschäftsabläufe erlangen, wenn APIs Folgendes zulassen:
- Unbegrenzte, uneingeschränkte Wiederholung eines Kauf-, Reservierungs- oder Buchungsablaufs
- Keine Unterscheidung zwischen menschlichem und automatisiertem Datenverkehr auf sensiblen Endpunkten
- Kein Geräte-Fingerprinting und keine Verhaltenssignale zur Erkennung von durch Skripte gesteuerten Zugriffsmustern
- Geschäftsprozesse, die ohne jegliche Prüfung der Frage, wie sie in großem Maßstab missbraucht werden könnten, eingeführt wurden
In jedem dieser Fälle gibt es für die legitime Funktionalität keine Obergrenze hinsichtlich der Häufigkeit oder Geschwindigkeit ihrer Nutzung.
Strategie zur Risikominderung
Der Schutz sensibler Geschäftsabläufe erfordert einen zweistufigen Ansatz.
- Ermitteln Sie auf Unternehmensebene, welche Abläufe bei übermäßiger Nutzung tatsächlichen Schaden anrichten.
- Wenden Sie auf dieses Risiko abgestimmte technische Kontrollmaßnahmen an: Geräte-Fingerprinting, CAPTCHA oder biometrische Erkennung menschlicher Nutzer sowie die Analyse nicht-menschlicher Nutzungsmuster
- Datenverkehr von Tor-Ausgangsknoten und bekannten Proxy-Infrastrukturen blockieren oder drosseln
- Sichern und beschränken Sie den Zugriff auf APIs, die direkt von Maschinen genutzt werden, wie beispielsweise Entwickler- und B2B-APIs, bei denen diese Schutzmaßnahmen oft gänzlich außer Acht gelassen werden
Das Geschäftsgespräch muss an erster Stelle stehen. Technische Maßnahmen greifen erst, wenn die kritischen Abläufe identifiziert wurden.
