Bekämpfen Sie Account-Übernahmebetrug mit Echtzeit-API-Sicherheit

Während sich Unternehmen mit der Realität API-basierter Sicherheitsvorfälle auseinandersetzen, suchen viele nach einfachen, praktischen Ansätzen, um Bedrohungen zuvorzukommen, ohne ihre betrieblichen Arbeitsabläufe zu zerstören. Sie fragen: „Welche Schritte unternehmen wir, um den API-Verkehr zu analysieren, Bots und Missbrauch zu erkennen und unbefugten Zugriff zu verhindern, der zu Betrug oder Datendiebstahl führen könnte?“

Vor Kurzem trafen sich mehrere App-Entwickler und Sicherheitsexperten mit F5 und Google Cloud zu einem Gespräch, bei dem es um die Abwehr der Bedrohung durch Account-Übernahmen ging, die über die zahlreichen APIs ihrer Anwendungen verheerende Schäden anrichten können.

Dieses Webinar – Verhindern Sie die Bedrohung durch Account-Übernahmen – Nehmen Sie an der Diskussion zur API-Sicherheit teil – wurde entwickelt, um DevOps- und InfoSec-Teams dabei zu helfen, ihre Kräfte zu bündeln, um diese API-Sicherheitsherausforderungen erfolgreich zu bewältigen. Enthaltene Themen:

• Die aktuelle Bedrohungslandschaft für APIs
• Warum herkömmliche Techniken zur Bot-Erkennung wirkungslos geworden sind
• Möglichkeiten zur Minderung potenzieller Marken- und Reputationsschäden

Wenn Sie nicht an der Live-Sitzung teilnehmen konnten, machen Sie sich keine Sorgen; Sie können einige der Highlights in diesem Blog-Beitrag nachlesen und auch auf die Aufzeichnung auf Abruf zugreifen.

Im weiteren Verlauf des Gesprächs sprach unser Gremium darüber, welche Sicherheitsrisiken durch APIs entstehen können und was Unternehmen tun können, um die Übernahme von Konten über APIs zu verhindern. Sie betonten, dass sich die digitale Angriffsfläche aufgrund der großen Zahl der heute genutzten APIs exponentiell vergrößert habe und dass vielen Unternehmen schlicht die für einen wirksamen Schutz erforderliche Transparenz fehle. Um ausreichende Transparenz zu erreichen, empfahlen unsere Experten den Organisationen, die folgenden Fragen zu beantworten:

• Welche APIs gibt es in unserer Umgebung?
• Auf welche Ressourcen können diese APIs zugreifen?
• Wer nutzt die APIs?
• Welche spezifischen geschäftlichen Schwachstellen werden durch diese APIs offengelegt?

Um API-gestützte Cyberbedrohungen wirksam bekämpfen zu können, müssen Unternehmen die besten Möglichkeiten finden, wie ihre DevOps-, InfoSec- und Business-Teams zusammenarbeiten können, um Schutzmaßnahmen zu implementieren, bevor es den böswilligen Akteuren gelingt, Benutzerkonten zu übernehmen. Für ein wirksames Cybersicherheitsprogramm ist eine umfassende Strategie erforderlich, die die richtigen Tools und Informationen, einen robusten funktionsübergreifenden Plan, eine effektive Zusammenarbeit im Team, die Fähigkeit zur Beurteilung und Messung von Fortschritt und Lage sowie die Zuversicht umfasst, der Unternehmensleitung und der gesamten Organisation ehrlich darüber zu berichten, wie die Strategie funktioniert.

Zur Verbesserung der Abwehrmaßnahmen empfehlen unsere Experten, während der Anwendungsentwicklung und -bereitstellung zusätzliche Schutzmaßnahmen zu ergreifen und nach der Bereitstellung eine Echtzeitüberwachung einzubauen. So können die Teams schnell reagieren, bevor etwas Schlimmes passiert. Dieser umfassende, mehrschichtige Ansatz ermöglicht die skalierbare Erfassung einer Mischung aus Multicloud-Netzwerkverkehr sowie verteilten Anwendungs- und API-Daten und unterscheidet dabei automatisch zwischen gutem und schlechtem Verhalten und Aktivitäten.

Letztendlich läuft es bei der API-Sicherheit darauf hinaus, die bestmögliche Transparenz zu erreichen und über Echtzeit-Laufzeitintelligenz zu verfügen, um jedes Szenario richtig handhaben zu können.

Die während des Webinars geführten Diskussionen haben gezeigt, dass viele DevOps- und InfoSec-Experten bereits die Bedeutung der API-Sicherheit verstehen und den Wert einer Balance zwischen einem reibungslosen Kundenerlebnis und erweitertem Schutz vor automatisierter, durch Bots ermöglichter Kontoübernahme erkennen. Doch auch wenn diese Erkenntnis vorhanden ist, haben viele noch immer Schwierigkeiten, wirksame und skalierbare Wege zur Bewältigung dieser Herausforderungen zu finden.

Um diese Schwierigkeiten anzugehen, stellte das Gremium einige Anwendungsfälle und Fallstudien vor, in denen Best Practices für die Kommunikation mit den wichtigsten Stakeholdern hervorgehoben wurden, die für den Schutz des von ihren Organisationen erwarteten app-gesteuerten Wachstums verantwortlich sind. Zu diesen Taktiken gehört das Stellen strategischer, gezielter Fragen wie:

Anwendungsentwicklung: Wie sichern Sie APIs derzeit gegen Account-Übernahmeangriffe? Wie stellen Sie sicher, dass APIs keine Kundendaten preisgeben oder Compliance-Risiken verursachen?

Sicherheitsoperationen: Haben Sie vollständigen Überblick darüber, welche Konten möglicherweise anfällig sind? Können Sie den API-Verkehr auf Anzeichen von Missbrauch oder Kompromittierung überwachen?

Netzwerkbetrieb: Wie sichern Sie den API-Verkehr in Ihrer gesamten Netzwerkinfrastruktur? Befürchten Sie, dass bösartige Bots oder Skripte APIs missbrauchen?

Betriebswirtschaft: Die Kontosicherheit ist von entscheidender Bedeutung, um das Vertrauen der Kunden aufrechtzuerhalten und Umsatzverluste durch betrügerische Transaktionen zu verhindern. Welche Kennzahlen verfolgen Sie im Hinblick auf Verstöße?

Die meisten API-gesteuerten Bedrohungen sind mittlerweile automatisiert, passen sich rasch an dynamische Veränderungen in der Umgebung an und entwickeln sich weiter, um Schutzmaßnahmen immer geschickter zu umgehen und einer Erkennung zu entgehen. Eine effektive API-Sicherheit hängt von der Fähigkeit eines Unternehmens ab, erweiterte, automatisierte Schutzfunktionen in seine Pipeline, Abläufe, Infrastruktur und Arbeitsabläufe für kontinuierliche Integration/kontinuierliche Bereitstellung (CI/CD) zu integrieren, ohne Reibungsverluste im Bereitstellungsprozess oder beim Benutzererlebnis zu verursachen.

Google Cloud und F5 verfügen über die Lösungen und das Fachwissen, um Unternehmen dabei zu helfen, den Betrug durch Kontoübernahme einheitlich und in allen Umgebungen (Rechenzentren, Clouds und Architekturen) zu bekämpfen. Echtzeit-Runtime-API-Schutz erleichtert die Zusammenarbeit von DevOps- und InfoSec-Teams, um:

• Automatische Erkennung von Endpunkten, die Anwendungen zugeordnet sind
• Definieren und Anwenden von Zulassungs- oder Sperrlisten für unerwünschte Verbindungen
• Analysieren Sie Netzwerk-, Geräte- und Umgebungstelemetrie
• Erkennen Sie anormales Verhalten in Echtzeit

Wir laden Sie ein, sich über die API-Sicherheitsherausforderungen zu informieren, mit denen andere konfrontiert waren, und über die von ihnen eingesetzten Lösungen. Rufen Sie dazu die vollständige On-Demand-Aufzeichnung des Webinars „ Verhindern Sie die Bedrohung durch Account-Übernahmen – Nehmen Sie an der Diskussion zur API-Sicherheit teil“ ab . Wir sind zuversichtlich, dass Sie beim Definieren und Implementieren eines wirksameren API-Sicherheitsprogramms Antworten auf viele Ihrer Fragen zu Ihren eigenen Maßnahmen zum Schutz vor Kontoübernahmen finden werden.

Sollten Sie darüber hinaus noch Fragen haben, stehen wir Ihnen gerne auch in einem Folgegespräch zur Verfügung. Kontaktieren Sie einen der API-Schutzexperten in unserem F5 Distributed Cloud-Team und probieren Sie unbedingt den F5 Distributed Cloud Web App and API Protection (WAAP)-Simulator hier aus: https://simulator.f5.com/s/waap