Die Nutzung der Shadow API steigt um 900 %

Cequence Security, der führende Anbieter von Unified API Protection (UAP), veröffentlichte heute seinen Bericht für das zweite Halbjahr 2022 mit dem Titel „API Protection Report: Holiday Build-up Shows 550% Jump in Unique Threats.“ Der vom CQ Prime Threat Research Team entwickelte Bericht basiert auf der Analyse von etwa einer Billion API-Transaktionen in verschiedenen Branchen im zweiten Halbjahr 2022 und versucht, die neuesten API-Bedrohungstrends hervorzuheben, die Unternehmen heute plagen.

 

Im Vergleich zu anderen Berichten, die auf Umfragen und qualitativen Daten basieren, deckt dieser Bedrohungsbericht tatsächliche Taktiken, Techniken und Verfahren (TTPs) ab, die von Bedrohungsakteuren eingesetzt werden, die auf Verbraucher, Business-to-Business (B2B) und Maschine-zu-Maschine abzielen APIs. Es dient als wichtige Ressource für Entscheidungsträger, Sicherheitsexperten und andere Interessengruppen, die für den Schutz ihrer Organisation zuständig sind.

APIs sind explosionsartig angestiegen und finden sich in fast allem, was wir online tun – Anmeldungen, Zahlungen, Überweisungen, Online-Banking, autonomes Fahren und alles andere. Angetrieben durch modulare, cloudnative Anwendungen, die Allgegenwart mobiler Geräte, digitale Assistenten und Smart-Home-Geräte sind APIs das Bindegewebe für alles Digitale. Das explosionsartige Wachstum der API-Nutzung ist angesichts der Geschäftsvorteile einer API-orientierten Anwendungsentwicklungsmethodik verständlich.

 

„API-Verstöße haben in den letzten Monaten zahlreiche namhafte Organisationen heimgesucht, was die Notwendigkeit für CISOs erhöht, dem API-Schutz Priorität einzuräumen. Angreifer werden in ihren Taktiken immer kreativer und spezifischer und herkömmliche Schutztechniken reichen nicht mehr aus“, sagte Ameya Talwalkar, CEO und Gründerin von Cequence Security. „Da die Angriffsautomatisierung zu einer immer häufiger auftretenden Bedrohung für APIs wird, ist es von entscheidender Bedeutung, dass Unternehmen über die Tools, das Wissen und die Expertise verfügen, um sich in Echtzeit dagegen zu verteidigen.“

Die zweite Jahreshälfte 2022 (1. Juni bis 31. Dezember) markierte einen bedeutenden Wendepunkt in der Sicherheitslandschaft. Das Cequence CQ Prime Threat Research Team beobachtete einen bemerkenswerten Wandel in den Taktiken, Techniken und Verfahren (TTPs) von Cyberkriminellen. Bei mehreren aufsehenerregenden Vorfällen erwiesen sich Anwendungsprogrammierschnittstellen (APIs) als primärer Angriffsvektor und stellten eine neue und erhebliche Bedrohung für die Sicherheitslage von Unternehmen dar.

 

Zu den wichtigsten Erkenntnissen gehören:

● Schatten-APIs nehmen um 900 % zu, was einen Mangel an API-Sichtbarkeit verdeutlicht: Allein in der zweiten Hälfte des Jahres 2022 wurden etwa 45 Milliarden Suchversuche für Schatten-APIs unternommen, was einen Anstieg von 900 % gegenüber den 5 Milliarden Versuchen in der ersten Hälfte des Jahres 2022 darstellt .

● In der Weihnachtszeit gibt es einen Anstieg der einzigartigen Bedrohungen um 550 %: Die Zahl der von Angreifern eingesetzten einzigartigen TTPs stieg um 550 % und stieg von etwa 2,000 im Juni auf unglaubliche 11,000 gegen Ende 2022.

● Angreifer kombinieren zunehmend API- und Webanwendungssicherheitstaktiken: Von Juni 2022 bis Oktober 2022 bevorzugten Angreifer traditionelle Anwendungssicherheitstaktiken; Als jedoch die Feiertage näher rückten, kam es zu einem Anstieg der API-Sicherheitstaktiken um 220 %.

● Angriffsflächenausbreitung verdeutlicht die Herausforderung beim Telekommunikations-API-Schutz: Bei den meisten Re-Tool-Versuchen in der Telekommunikationsbranche handelte es sich um völlig neue TTPs, was zeigt, dass die verwendeten Bedrohungstaktiken vielfältig, ausgefeilt und hartnäckig sind.

● Neue OWASP-API-Bedrohungskategorie API8 – Mangelnder Schutz vor automatisierten Bedrohungen, bestätigt: Das CQ Threat Research Team hat zuvor festgestellt, dass API10+ über die OWASP API Top 10 hinausgehen muss, um Schutz vor automatisierten Angriffen zu bieten. Die Ergebnisse des Bedrohungsberichts und die Hinzufügung von API8: – Mangelnder Schutz vor automatisierten Bedrohungen in den OWASP API Security Top 10 2023RC bestätigen die früheren Beobachtungen von Cequence und befürworten die Einbeziehung nativer Bot-Abwehrfunktionen in ein robustes API-Sicherheitsprogramm.

 

Der Bericht zeigt deutlich, dass sich die API-Bedrohungslandschaft ständig weiterentwickelt und Unternehmen beim Schutz ihrer APIs und Webanwendungen vor automatisierten Bedrohungen (Bots) und Schwachstellen-Exploits wachsam sein müssen. Angreifer werden in ihren Taktiken immer ausgefeilter und API-spezifischer, und herkömmliche Schutztechniken bieten weiterhin eine ineffektive Verteidigung.

 

„Unsere Forschung ist von entscheidender Bedeutung, um Organisationen die notwendigen Werkzeuge und Kenntnisse zur Verfügung zu stellen, um Angriffe in Echtzeit abzuwehren“, fuhr Talwalkar fort. „Indem Unternehmen immer einen Schritt voraus bleiben und die neuesten Angriffsmethoden und -tools verstehen, können sie Unified API Protection erreichen und das nötige Bewusstsein und Vertrauen aufbauen, um ihre APIs selbst vor den ausgefeiltesten Angriffen zu schützen.“

Die zunehmende Nutzung von API-Sicherheits-TTPs unterstreicht, wie wichtig es für Unternehmen ist, einen umfassenden und proaktiven Ansatz für ihre API-Sicherheitslage zu verfolgen. Durch die Durchführung regelmäßiger API-Bedrohungsoberflächenbewertungen, die Erkennung von API-Spezifikationsanomalien und die Implementierung automatischer Bedrohungserkennungs- und -minderungsmaßnahmen (Bots) in Echtzeit können Unternehmen verhindern, dass Angriffe über die Aufklärungsphase hinaus fortschreiten, und so die Auswirkungen potenzieller Geschäftsunterbrechungen und Sicherheitsereignisse begrenzen .

Um sich vor diesen Bedrohungen zu schützen, ist es wichtig, einen umfassenden Ansatz für die API-Sicherheit zu verfolgen, der die Perspektiven von Angreifern, Verteidigern und Entwicklern sowie der Governance-, Risiko- und Compliance-Beauftragten (GRC) berücksichtigt. Jeder Standpunkt hat spezifische Eigenschaften, die berücksichtigt werden müssen, um eine umfassende Sicherheitslage zu gewährleisten. Verteidiger sollten sich auf wichtige Kennzahlen, Erkennungstools und Mechanismen zur Eindämmung potenzieller Bedrohungen konzentrieren. Entwickler und Verteidiger müssen der Perspektive der GRC-Beauftragten gerecht werden, indem sie in der Lage sind, den Bestand zu überprüfen und sicherzustellen, dass APIs Anweisungen befolgen, ohne sensible Daten preiszugeben. Entwickler sollten sich auf die Integration von Sicherheitsmaßnahmen in die CI/CD-Pipeline und die Verbesserung der Widerstandsfähigkeit von APIs gegenüber Automatisierungsangriffen konzentrieren. Durch einen umfassenden Ansatz zur API-Sicherheit und die Berücksichtigung dieser verschiedenen Gesichtspunkte können Unternehmen ihre Systeme und Daten besser vor neuen Bedrohungen schützen.

 

● Um mehr zu erfahren, registrieren Sie sich für das Webinar am Donnerstag, 22. Juni 2023 „API-Schutzbericht: Ergebnisse der zweiten Jahreshälfte“ um 11:11 Uhr PST, 11:XNUMX Uhr BST und XNUMX:XNUMX Uhr AEST über www.cequence.ai.

 

Über Cequence Security

Cequence Security, der Pionier des einheitlichen API-Schutzes, ist die einzige Lösung, die API-Erkennung, Inventarisierung, Compliance, dynamische Tests mit Echtzeiterkennung und nativer Schadensbegrenzung vereint, um Betrug, Geschäftslogikangriffe, Exploits und unbeabsichtigte Datenlecks abzuwehren. Cequence Security sichert täglich mehr als sechs Milliarden API-Transaktionen und schützt mehr als zwei Milliarden Benutzerkonten unserer Fortune-500-Kunden. Erfahren Sie mehr unter www.cequence.ai.