IT-Security: Mehr Sicherheit durch API-Firewalls
Wer eine API öffentlich ins Internet stellt, darf bei der Sicherheit nicht sparen. Spezielle API-Firewalls prüfen Anfragen und Antworten auf legitime Inhalte.
- Markus Stubbig
Der 19-Zoll-Schrank des Securityteams ist voll mit Next-Generation-Firewall, Web-Application-Firewall, SQL-Firewall, IDS/IPS-Appliance – und alles doppelt wegen Ausfallsicherheit und höchster Verfügbarkeit. Wo hat die API-Firewall ihre Existenzberechtigung?
Winkt die genannte Firewallfarm eine Webanfrage durch, kann die API-Firewall prüfen, ob diese Anfrage inhaltlich in Ordnung ist. Das Gleiche gilt für die Antwort von der API an den Client: Entspricht der Inhalt nicht den Sicherheitsrichtlinien, verwirft die API-Firewall den Zugriffsversuch. Bei gewachsenen Softwareprojekten ist es möglich, dass nicht alle verwendeten API-Funktionen dokumentiert sind (Shadow-API). Die API-Firewall arbeitet wie ein Detektiv und deckt die gültigen, aber unbekannten Anfragen auf.
Die für den Artikel verwendete API-Firewall stammt von Wallarm, einem Anbieter von Sicherheitsprodukten mit Schwerpunkt auf Cloud und API. Die Firewallsoftware ist Open Source und ohne Registrierung oder Abonnement kommerziell nutzbar. Der interne Aufbau der Firewall entspricht einem Reverse-Proxy-Server, der die Webanfragen entgegennimmt und somit den HTTP-Server für die anfragenden Clients darstellt. Bei einer gültigen Anfrage kontaktiert die Firewall per HTTP den eigentlichen API-Server und übernimmt damit die Rolle des HTTP-Clients. Die Antwort des API-Servers leitet die Firewall an den Fragenden weiter. Für den legitimen Client ist somit nicht erkennbar, dass eine API-Firewall im Spiel ist.
Das war die Leseprobe unseres heise-Plus-Artikels "IT-Security: Mehr Sicherheit durch API-Firewalls". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.Immer mehr Wissen. Das digitale Abo für IT und Technik.
Kühlen mit der Wärmepumpe: Wenn die Fußbodenheizung Kälte liefert
openDesk: Hat die staatliche Microsoft-Alternative eine Chance?
Die lange Kindheit des Survival-Spiels "7 Days to Die"
Passen auf eine Diskette: Mini-Betriebssysteme ausprobiert
Internet aus der Steckdose: Mit Powerline das Netz in der Wohnung verteilen