Entdecken Sie das TÜV-zertifizierte GoogleTest mit Agentic AI für C/C++-Tests!
Details ansehen »
Parasoft-Blog
Die Anwendungssicherheit kann nicht abgeschlossen werden, ohne die API-Sicherheit in Ihren Anwendungen zu testen. Hier ist ein Q&A mit einem Sicherheitsexperten zum Stellenwert von OWASP-API-Sicherheit und SAST beim Erreichen von Anwendungssicherheit.
Zum Abschnitt springen
Kürzlich sind Sicherheitsverletzungen aufgetreten, bei denen APIs zum Stehlen von Kundendaten verwendet werden. APIs werden häufig in Unternehmensanwendungen verwendet. Aus diesem Grund müssen Sie sich während des Software-Validierungsprozesses stärker auf die API-Sicherheit konzentrieren. Dies ist ein Bereich, der sich in Bezug auf Bewusstsein, Implementierung und Eigenverantwortung noch im Entstehen befindet.
Darüber hinaus vereint die API-Sicherheit alle üblichen Herausforderungen der API-Testsoftware mit den Herausforderungen des traditionellen Anwendungssicherheitstests (AST).
Kürzlich hatte ich die Gelegenheit, mit Sandy Carielli, leitende Analystin bei Forrester Research, über ihre Gedanken zur Anwendungssicherheit, zum statischen Anwendungssicherheitstest (SAST) und zu den OWASP API Security Top 10 zu sprechen.
Ich freue mich, Ihnen einen Einblick in Sandys Expertenwissen zum Thema API-Sicherheitstests geben zu können. Sandy wird am 22. April 2021 um 9:00 Uhr PT (17:00 Uhr MEZ) als Gastrednerin in unserem kommenden Webinar auftreten.
F: Anwendungssicherheit gewinnt zunehmend an Bedeutung. Wie wichtig ist API-Sicherheit für die gesamten Sicherheitsbemühungen?
A: API-Sicherheit ist für die gesamte Sicherheitsstrategie unerlässlich. APIs sind zu einem Kernbestandteil moderner Anwendungen geworden, und viele Entwicklerteams setzen bei der Entwicklung ihrer Anwendungen auf den „API-First“-Ansatz. Das bedeutet: Ist die API nicht gesichert, ist auch die Anwendung nicht sicher. Wir haben zahlreiche Fälle von Sicherheitslücken aufgrund schlecht implementierter oder ungeschützter APIs beobachtet. Solche API-Sicherheitsvorfälle haben Kundenkäufe, Benutzerkontoinformationen und sogar den COVID-19-Status von Haushalten auf der anderen Seite der Welt offengelegt.
F: OWASP hat mit seinen kostenlosen Schulungen und der Top-10-Liste eine zentrale Rolle im Bereich der Anwendungssicherheit gespielt . Wird die OWASP API Security Top 10 die gleiche Wirkung auf die API-Sicherheit haben?
A: Das scheint bereits der Fall zu sein. Nutzer orientieren sich an den OWASP API Security Top 10 als Ausgangspunkt, um zu verstehen, was sie beachten müssen. Ich habe mit unzähligen Anbietern gesprochen, die die OWASP API Security Top 10 in ihre API-Sicherheitsberatung einbeziehen. Probleme wie fehlerhafte Authentifizierung, fehlerhafte Autorisierung und übermäßige Datenweitergabe sind weit verbreitet. Allerdings lösen die OWASP Top 10 nicht alle Sicherheitsprobleme. API-Sicherheit muss ganzheitlicher betrachtet werden. Für viele Teams beginnt API-Sicherheit damit, zu wissen, welche APIs in der eigenen Umgebung vorhanden sind.
F: In der Entwicklung und im Testbereich mangelt es typischerweise an Sicherheitskenntnissen. Wie können Sicherheitsteams ihr Wissen effektiv so teilen, dass andere Personen im AST/AppSec-Prozess mitwirken können?
A: Sicherheitsbeauftragte in den Entwicklerteams sind eine hervorragende Möglichkeit für Sicherheitsteams, ihr Wissen innerhalb der Entwicklungsorganisation zu verbreiten und ihre Glaubwürdigkeit bei den Entwicklern zu stärken. Diese Sicherheitsbeauftragten sind Mitglieder der Entwicklungsteams, die in grundlegenden Prinzipien der Anwendungssicherheit geschult sind. Sie sind in erster Linie Entwickler, bringen aber auch Sicherheitswissen und Engagement in ihr Team ein. Die Beauftragten beantworten grundlegende Sicherheitsfragen der Entwickler und pflegen zudem Kontakte zum Sicherheitsteam, um bei komplexeren Problemen Unterstützung zu erhalten.
F: Unternehmen verfügen bereits über zahlreiche AST-Tools. Erfüllen diese die Anforderungen an die API-Sicherheit, oder benötigen Entwickler noch etwas Zusätzliches?
A: Viele AST-Tools testen keine APIs, obwohl einige Anbieter ihre Funktionen erweitern oder zusätzliche Tools speziell für APIs anbieten. Klären Sie mit Ihrem AST-Anbieter, inwieweit er API-Tests unterstützt, und seien Sie darauf vorbereitet, gegebenenfalls zusätzliche Tools oder Services einzusetzen. Bis Sie über eine vollständige Suite von Testtools verfügen, die APIs analysiert, sollten Sie die Integration von API-spezifischen Penetrationstests in Betracht ziehen.
F: Wie passt die statische Analyse ( SAST ) in eine Strategie für API-Sicherheitstests?
A: Wenn statische Analysetools helfen, Schwachstellen in Ihren API-Definitionen zu identifizieren, sind sie ein wertvoller Bestandteil des API-Testprozesses vor der Veröffentlichung. Wie bei der allgemeinen Anwendungssicherheit gilt auch hier: Kein einzelnes Tool löst alle Probleme. Die statische Analyse ist jedoch effektiv, um Probleme frühzeitig in der Entwicklung zu erkennen, idealerweise im Kontext der Entwickler, was die Behebung erleichtert. Ein API-fähiges SAST-Tool hilft Ihnen, API-Sicherheitslücken frühzeitig im Lebenszyklus zu finden und zu beheben.
