Bösartiger API-Verkehr hat sich verdoppelt

Sie sind hier: Das Magazin für alle IT-Security-Themen » Markt » Studien

Report: 94 Prozent der Unternehmen hatten im vergangenen Jahr Sicherheitsvorfälle in Produktions-APIs

Mangels eines ganzheitlichen Ansatzes für die API-Sicherheit leiden Unternehmen weiterhin unter Sicherheitsvorfällen und Verstößen während der Laufzeit

Salt Security, Unternehmen für API-Sicherheit, hat den Salt Labs State of API Security Report, Q3 2022, veröffentlicht. Die neueste Ausgabe des halbjährlich erscheinenden Berichts zeigt, dass 94 Prozent der Umfrageteilnehmer im vergangenen Jahr Sicherheitsprobleme bei Produktions-APIs hatten, wobei 20 Prozent angaben, dass ihre Unternehmen aufgrund von Sicherheitslücken in APIs eine Datenpanne erlitten. Darüber hinaus ergab der Bericht, dass sich der API-Angriffsverkehr in den letzten zwölf Monaten verdoppelt hat. Zusammengenommen zeigen die Ergebnisse, dass bestehende Lösungen und API-Sicherheitstaktiken, die sich auf Shift-Left-Strategien konzentrieren, nicht ausreichen, um APIs angemessen zu schützen.

Der State of API Security Report stützt sich auf eine Kombination aus Umfrageantworten und empirischen Daten des Salt Security Cloud Service. Der Bericht für das dritte Quartal 2022 zeigt, dass Salt-Kunden einen Anstieg des API-Angriffsverkehrs um 117 Prozent verzeichneten, während ihr API-Verkehr insgesamt um 168 Prozent zunahm, was die anhaltende Explosion der API-Nutzung in Unternehmen verdeutlicht. Der Anteil des böswilligen API-Verkehrs am Gesamtverkehr beträgt 2,1 Prozent. Die Zahl der API-Angriffsversuche stieg von durchschnittlich 12,22 Millionen böswilligen Aufrufen pro Monat vor einem Jahr auf durchschnittlich 26,46 Millionen Aufrufe im vergangenen Juni. Von den Salt-Kunden sind 44 Prozent mit durchschnittlich 11 bis 100 Angriffsversuchen pro Monat konfrontiert, 34 Prozent mit mehr als 100 Versuchen pro Monat und 8 Prozent mit mehr als 1000.

"Die Digitalisierung, das Rückgrat unserer modernen Wirtschaft, hat dazu geführt, dass Unternehmen zunehmend auf APIs angewiesen sind, um neue Dienste anzubieten und ihre Wettbewerbsfähigkeit zu verbessern. Dieser Fokus auf digitale Innovation hat diese Unternehmen jedoch auch ins Visier genommen, wie diese Studie deutlich macht", sagt Roey Eliyahu, Mitbegründer und CEO von Salt Security. "Angesichts der Tatsache, dass API-Angriffe von Jahr zu Jahr zunehmen, ist es kein Wunder, dass unsere Umfrage zeigt, dass Sicherheit die größte Sorge bei API-Strategien darstellt. Die Ergebnisse des Berichts zeigen auch die Notwendigkeit einer robusteren API-Sicherheitsstrategie - beginnend bei der Entwicklung, aber mit besonderem Schwerpunkt auf der Laufzeit - um diese wachsende Angriffsfläche und die wertvollsten Vermögenswerte der Unternehmen besser zu schützen.

Die Entwicklung einer stabilen API-Sicherheitsstrategie ist von entscheidender Bedeutung, da 61 Prozent der Umfrageteilnehmer inzwischen mehr als 100 APIs verwalten. Da wichtige Unternehmensinitiativen so eng mit der API-Nutzung verknüpft sind, können sich Unternehmen keine Verzögerungen beim Deployment oder Rollbacks erlauben. Mehr als die Hälfte der Umfrageteilnehmer gab jedoch an, dass sich die Einführung neuer Anwendungen aufgrund von API-Sicherheitsbedenken verzögert.

Die Fähigkeit, Angriffe zu stoppen, wird als die wertvollste API-Sicherheitsfunktion genannt, während die Anwendung von Shift-Left-Praktiken am niedrigsten bewertet wird

Auf die Frage, welche der sechs Attribute von API-Sicherheitsplattformen "sehr wichtig" sind, belegte die Fähigkeit, Angriffe zu stoppen, mit 41 Prozent der Nennungen den ersten Platz. Die Fähigkeit, zu erkennen, welche APIs PII oder sensible Daten preisgeben, belegte den zweiten Platz, wobei 40 Prozent der Befragten diese Funktion als sehr wichtig bezeichneten. An dritter Stelle steht mit 39 Prozent der Befragten die Erfüllung von Compliance- oder regulatorischen Anforderungen. Die Anwendung von Shift-Left-Praktiken stand am Ende der Liste, nur 22 Prozent der Befragten stuften diese Funktion als sehr wichtig ein.

Zu starkes Vertrauen auf Shift-Left-Praktiken

Allein durch Shift Left-Strategien bleiben Unternehmen und ihre APIs weiterhin ungeschützt. Zwar konzentrierten sich 53 Prozent der Befragten auf die Behebung von Lücken während der Entwicklung, und 59 Prozent suchten nach API-Problemen beim Testen, aber ganze 94 Prozent hatten immer noch mit API-Sicherheitsvorfällen zu kämpfen. Dies zeigt, dass ein verstärkter Schutz während der Laufzeit erforderlich ist. In diesem jüngsten Bericht geben nur 30 Prozent der Befragten an, dass sie API-Sicherheitslücken während der Laufzeit identifizieren und beheben. Um jedoch das, was bereits in ihren Umgebungen läuft, vollständig zu schützen, benötigen Unternehmen Laufzeitschutzfunktionen.

Sicherheitsbedenken verzögern die Einführung neuer Anwendungen für die Mehrheit der Befragten

Mehr als die Hälfte der Befragten (54 Prozent) gab an, dass sie die Einführung neuer Anwendungen aufgrund von API-Sicherheitsbedenken verschieben mussten. Schlechtes API-Design und schlechte Sicherheitspraktiken sind oft die Ursache für den Verlust von sensiblen PII-Daten. Die Antworten auf die Umfrage unterstreichen diese Herausforderung: Fast ein Drittel der Befragten gab zu, dass sie im vergangenen Jahr sensible Daten preisgegeben oder einen Datenschutzvorfall innerhalb ihrer API-Produktion erlebt haben - ein deutlicher Anstieg im Vergleich zu den 19 Prozent aus dem Vorjahr. Innerhalb des Salt-Kundenstamms haben 91 Prozent der APIs PII oder sensible Daten preisgegeben. Unternehmen müssen daher unbedingt wissen, wie und wo Daten übertragen werden, damit sie diese APIs mit besonderer Sorgfalt schützen können.

Sicherheitsbedenken und "Zombie"-APIs bereiten die größten Sorgen

Die Umfrageteilnehmer gaben an, dass ihre größten Sorgen in Bezug auf ihre API-Strategie darin bestehen, nicht genug in die Sicherheit vor der Produktion zu investieren (20 Prozent) und die Sicherheit während der Laufzeit nicht angemessen zu berücksichtigen (18 Prozent). Auf die Frage nach den größten API-Sicherheitsrisiken nannten 42 Prozent veraltete oder "Zombie"-APIs. Zombie-APIs waren in den letzten vier Umfragen von Salt die größte Sorge. Dies ist wahrscheinlich das Ergebnis einer zunehmend schnelleren Entwicklung, da Unternehmen versuchen, den mit APIs verbundenen Mehrwert zu maximieren. Die Übernahme von Konten und die versehentliche Offenlegung sensibler Informationen standen mit jeweils 15 Prozent an zweiter Stelle, gefolgt von der Sorge um "Schatten"- oder unbekannte APIs, die in den letzten sechs Monaten von 5 auf 11 Prozent gestiegen ist.

WAFs und API-Gateways übersehen weiterhin API-Angriffe

Wie bereits in früheren Umfragen gaben die Befragten an, dass sie sich bei der Verwaltung von APIs und dem Schutz vor den Angriffen auf Anwendungen hauptsächlich auf herkömmliche Tools verlassen. Die meisten Befragten verlassen sich auf API-Gateways (54 Prozent) und WAFs (44 Prozent), um Angriffe zu erkennen. Die Lücken dieser traditionellen Tools werden durch die Feststellung deutlich, dass 82 Prozent der Meinung sind, ihre vorhandenen Tools seien nicht sehr effektiv bei der Verhinderung von API-Angriffen und 94 Prozent haben bereits einen API-Sicherheitsvorfall erlebt.

Mehrere (lösbare) Hürden verhindern sichere API-Sicherheitsstrategien

Eine beträchtliche Mehrheit der Befragten (61 Prozent) gab zu, dass sie über keine oder nur eine grundlegende API-Sicherheitsstrategie verfügen, was angesichts der hohen Abhängigkeit von APIs zur Erreichung wichtiger Geschäftsergebnisse Anlass zur Sorge gibt. Obwohl alle Umfrageteilnehmer APIs in Produktion haben, gab ein erschreckend geringer Prozentsatz (9 Prozent) an, dass sie über eine fortschrittliche API-Strategie verfügen, die spezielle API-Tests und -Schutz beinhaltet. Zu den Hauptgründen für das Fehlen einer soliden API-Strategie gehören Budget (24 Prozent), Fachwissen (20 Prozent), Ressourcen (19 Prozent) und Zeit (11 Prozent).

Weitere Ergebnisse aus dem State of API Security Report:

>> 91 Prozent der APIs, die innerhalb des Salt-Kundenstamms laufen, geben PII oder sensible Daten preis.

>> API-Änderungen nehmen zu - 11 Prozent der Befragten aktualisieren ihre APIs täglich, 31 Prozent wöchentlich und 24 Prozent seltener als jeden Monat

>> Nur etwa die Hälfte der Befragten (55 Prozent) gibt an, dass ihr Sicherheitsteam die OWASP API Security Top 10 in ihrem Sicherheitsprogramm hervorhebt. Dies ist ein Rückgang gegenüber 61 Prozent vor sechs Monaten - ein bedauerliches Ergebnis, wenn man bedenkt, dass 62 Prozent der versuchten Angriffe innerhalb des Salt-Kundenstamms mindestens eine der Methoden auf dieser Liste nutzten.

>> 86 Prozent der Befragten sind sich nicht sicher, ob ihr API-Inventar vollständig ist. 14 Prozent geben zu, dass sie nicht wissen, welche APIs personenbezogene Daten preisgeben.

>> 64 Prozent der Befragten geben an, dass die API-Sicherheit die Zusammenarbeit und sogar die Einbindung von DevOps-Teams erleichtert hat.

Konsequenzen für die API-Sicherheit

Die Ergebnisse der Umfrage des State of API Security Report Q3 2022 sind eindeutig. Die Befragten gaben mit überwältigender Mehrheit an, dass die Abhängigkeit von APIs weiter zunimmt, da APIs für den Erfolg ihrer Unternehmen immer wichtiger werden. Gleichzeitig können die aktuellen Sicherheitstools und -prozesse aber nicht mit den neuen API-Protokollen und Angriffstrends Schritt halten. API-Verkehr und Nutzungstrends innerhalb der Salt-Kundenbasis bestätigen diese Beobachtungen. Unternehmen müssen von traditionellen Sicherheitspraktiken und Tools der letzten Generation zu einer modernen Sicherheitsstrategie übergehen, die die Sicherheit in jeder Phase des API-Lebenszyklus berücksichtigt und ein breites Spektrum an Schutzmaßnahmen bietet, die die Zusammenarbeit zwischen den Teams fördern.

Der State of API Security Report, Q3, 2022, wurde von Forschern von Salt Labs, der Forschungsabteilung von Salt Security, unter Verwendung von Umfragedaten von mehr als 350 Befragten aus verschiedenen Aufgabenbereichen, Branchen und Unternehmensgrößen erstellt. Fast die Hälfte der Befragten (49 Prozent) ist im Security-Bereich tätig, 19 Prozent sind Sicherheits- oder IT-Führungskräfte auf Führungsebene, und weitere 21 Prozent sind in Plattform-, DevOps- oder Produktteams tätig. Technologie- und Finanzdienstleistungsunternehmen - die weithin als Vorreiter bei der Nutzung von APIs gelten - machen 47 Prozent der Befragten aus. Große und kleine Unternehmen sind gleichmäßig vertreten, zusätzlich zu den anonymisierten und aggregierten empirischen Daten von Salt Security-Kunden, die über die Salt Security API Protection Platform gewonnen wurden.

(Salt Security: ra)

eingetragen: 16.08.22
Newsletterlauf: 28.09.22

Salt Security: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Studien

Prävention gegen Cyberrisiken

Welchen Gefahren sind Unternehmen Kritischer Infrastrukturen (KRITIS) derzeit ausgesetzt? Wo liegen ihre größten Herausforderungen? Und welche Rolle spielen Systeme zur Angriffserkennung dabei? Um diese und weitere Fragen zu beantworten, hat das Research- und Beratungsunternehmen techconsult im Auftrag der secunet Security Networks AG mehr als 120 KRITIS-Unternehmen im Rahmen der Studie "Angriffserkennung in Unternehmen Kritischer Infrastrukturen – wie deutsche KRITIS-Unternehmen mit den steigenden IT- und OT-Risiken umgehen" befragt.

CISOs inmitten der turbulenten Bedrohungslandschaft

Trellix stellte auf der RSA Conference 2023 neue Forschungsergebnisse vor. Die veröffentlichte Studie "The Mind of the CISO" ist das Ergebnis einer Umfrage unter globalen CISOs aus allen wichtigen Branchen. Die Studie gibt Erkenntnisse darüber, wie CISOs inmitten der turbulenten Bedrohungslandschaft arbeiten, welche Geschäftsbereiche sie behindern und was sie benötigen, um erfolgreich zu sein.

Unternehmen potenziell anfälliger für Angriffe

HackerOne, Anbieterin von Attack Resistance Management und Bug Bounty-Programmen, hat eine Umfrage durchgeführt, die sich mit den Auswirkungen von Budgetkürzungen auf die Cybersicherheit von Unternehmen auseinandersetzt. Die Ergebnisse verdeutlichen, wie wichtig hochintegrierte Lösungen sind, um Cybersicherheitsressourcen zu optimieren und die Abwehr von Angriffen zu gewährleisten.

Die Zahl der Malware-Infektionen schrumpft

OpenText Cybersecurity hat die IT-Bedrohungslandschaft des letzten Jahres im aktuellen OpenText Cybersecurity Threat Report genauer unter die Lupe genommen. Die Ergebnisse basieren auf der Datenauswertung durch die "BrightCloud"-Threat-Intelligence-Plattform und zeigen eine Bandbreite von Risiken und Trends für verschiedene Unternehmensgrößen, Branchen und Standorte.

Einstiegshürden für Kriminelle gesenkt

Zscaler veröffentlichte die Ergebnisse ihres 2023 ThreatLabz Phishing Reports. Der Report wertet zwölf Monate globaler Phishing-Daten aus der weltweit größten Inline-Sicherheits-Cloud aus, um die neuesten Trends, aufkommende Taktiken und die Branchen und Regionen zu identifizieren, die am stärksten von Phishing-Angriffen betroffen sind. Laut dem jüngsten Report beruht die Mehrheit der modernen Phishing-Angriffe auf gestohlenen Anmeldeinformationen und zeigt die wachsende Bedrohung durch Adversary-in-the-Middle (AitM)-Angriffe und die zunehmende Nutzung des InterPlanetary File System (IPFS).

Besuchen Sie SaaS-Magazin.de

SaaS, On demand, ASP, Cloud Computing, Outsourcing >>>

Kostenloser Newsletter

Werktäglich informiert mit IT SecCity.de, Compliance-Magazin.de und SaaS-Magazin.de. Mit einem Newsletter Zugriff auf drei Online-Magazine. Bestellen Sie hier

Fachartikel

Grundlagen

Big Data bringt neue Herausforderungen mit sich

Die Digitale Transformation zwingt Unternehmen sich mit Big Data auseinanderzusetzen. Diese oft neue Aufgabe stellt viele IT-Teams hinsichtlich Datenverwaltung, -schutz und -verarbeitung vor große Herausforderungen. Die Nutzung eines Data Vaults mit automatisiertem Datenmanagement kann Unternehmen helfen, diese Herausforderungen auch mit kleinen IT-Teams zu bewältigen. Big Data war bisher eine Teildisziplin der IT, mit der sich tendenziell eher nur Großunternehmen beschäftigen mussten. Für kleinere Unternehmen war die Datenverwaltung trotz wachsender Datenmenge meist noch überschaubar. Doch die Digitale Transformation macht auch vor Unternehmen nicht halt, die das komplizierte Feld Big Data bisher anderen überlassen haben. IoT-Anwendungen lassen die Datenmengen schnell exponentiell anschwellen. Und während IT-Teams die Herausforderung der Speicherung großer Datenmengen meist noch irgendwie in den Griff bekommen, hakt es vielerorts, wenn es darum geht, aus all den Daten Wert zu schöpfen. Auch das Know-how für die Anforderungen neuer Gesetzgebung, wie der DSGVO, ist bei kleineren Unternehmen oft nicht auf dem neuesten Stand. Was viele IT-Teams zu Beginn ihrer Reise in die Welt von Big Data unterschätzen, ist zum einen die schiere Größe und zum anderen die Komplexität der Datensätze. Auch der benötigte Aufwand, um berechtigten Zugriff auf Daten sicherzustellen, wird oft unterschätzt.

Bösartige E-Mail- und Social-Engineering-Angriffe

Ineffiziente Reaktionen auf E-Mail-Angriffe sorgen bei Unternehmen jedes Jahr für Milliardenverluste. Für viele Unternehmen ist das Auffinden, Identifizieren und Entfernen von E-Mail-Bedrohungen ein langsamer, manueller und ressourcenaufwendiger Prozess. Infolgedessen haben Angriffe oft Zeit, sich im Unternehmen zu verbreiten und weitere Schäden zu verursachen. Laut Verizon dauert es bei den meisten Phishing-Kampagnen nur 16 Minuten, bis jemand auf einen bösartigen Link klickt. Bei einer manuellen Reaktion auf einen Vorfall benötigen Unternehmen jedoch circa dreieinhalb Stunden, bis sie reagieren. In vielen Fällen hat sich zu diesem Zeitpunkt der Angriff bereits weiter ausgebreitet, was zusätzliche Untersuchungen und Gegenmaßnahmen erfordert.

Zertifikat ist allerdings nicht gleich Zertifikat

Für Hunderte von Jahren war die Originalunterschrift so etwas wie der De-facto-Standard um unterschiedlichste Vertragsdokumente und Vereinbarungen aller Art rechtskräftig zu unterzeichnen. Vor inzwischen mehr als einem Jahrzehnt verlagerten sich immer mehr Geschäftstätigkeiten und mit ihnen die zugehörigen Prozesse ins Internet. Es hat zwar eine Weile gedauert, aber mit dem Zeitalter der digitalen Transformation beginnen handgeschriebene Unterschriften auf papierbasierten Dokumenten zunehmend zu verschwinden und digitale Signaturen werden weltweit mehr und mehr akzeptiert.

Datensicherheit und -kontrolle mit CASBs

Egal ob Start-up oder Konzern: Collaboration Tools sind auch in deutschen Unternehmen überaus beliebt. Sie lassen sich besonders leicht in individuelle Workflows integrieren und sind auf verschiedenen Endgeräten nutzbar. Zu den weltweit meistgenutzten Collaboration Tools gehört derzeit Slack. Die Cloudanwendung stellt allerdings eine Herausforderung für die Datensicherheit dar, die nur mit speziellen Cloud Security-Lösungen zuverlässig bewältigt werden kann. In wenigen Jahren hat sich Slack von einer relativ unbekannten Cloud-Anwendung zu einer der beliebtesten Team Collaboration-Lösungen der Welt entwickelt. Ihr Siegeszug in den meisten Unternehmen beginnt häufig mit einem Dasein als Schatten-Anwendung, die zunächst nur von einzelnen unternehmensinternen Arbeitsgruppen genutzt wird. Von dort aus entwickelt sie sich in der Regel schnell zum beliebtesten Collaboration-Tool in der gesamten Organisation.

KI: Neue Spielregeln für IT-Sicherheit

Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.

DDoS-Angriffe nehmen weiter Fahrt auf

DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

Fluch und Segen des Darkwebs

Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.