Seminar open-appsec API-Sicherheit und erweiterte Schutzfunktionen

Das Seminar behandelt den Schutz von Web-APIs und die gezielte Ergänzung des maschinellen Web-Angriffsschutzes. Schwerpunkte sind API-Inventar, OpenAPI-basierte Schema-Prüfung, Quellidentität mit JWT oder Headern, Rate Limiting, Anti-Bot, benutzerdefinierte Signaturen sowie weitere editionsabhängige Sicherheitsmodule. Jede Funktion wird in ein gemeinsames Policy- und Testverfahren eingeordnet.

Inhaltsverzeichnis

1. Seminarprofil
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Seminarinhalte
6. Praktische Übungen
7. Methodik und Unterlagen

Seminarprofil

API-Sicherheit verlangt mehr als die Erkennung klassischer Injection-Angriffe. Erforderlich sind eindeutige Endpunkte, gültige Methoden und Inhalte, belastbare Quellidentitäten, Missbrauchsgrenzen und ein reproduzierbares Negativtestverfahren. Der praktische Umfang einzelner Zusatzmodule richtet sich nach Edition und Laborlizenz; die Architektur- und Policy-Grundsätze gelten editionsübergreifend.

Lernziele

• API-Endpunkte und Schutzanforderungen systematisch inventarisieren.
• Schema-Prüfung anhand einer OpenAPI-Beschreibung planen und testen.
• Quellen über IP, X-Forwarded-For, Header, Cookie oder JWT unterscheiden.
• Rate-Limit-Regeln nach URI und Quellidentität sicher dimensionieren.
• Anti-Bot, IPS, Snort, Datei-Sicherheit und DLP fachlich einordnen.
• positive, negative und Umgehungstests automatisierbar beschreiben.
• editionabhängige Funktionen ohne Architekturbruch integrieren.

Zielgruppe

Geeignet für API- und Security-Engineering, DevSecOps, Plattformbetrieb, Kong- oder APISIX-Administration, Backend-Entwicklung, SOC sowie technische Verantwortliche für öffentliche und interne APIs.

Voraussetzungen

Erforderlich sind open-appsec-Grundkenntnisse, HTTP- und REST-Verständnis sowie Kenntnisse zu JSON, Statuscodes und Authentifizierung. OpenAPI, JWT und YAML sollten grundlegend bekannt sein.

Seminarinhalte

1. API-Inventar und Schutzprofil

APIs werden nach Exposition, Authentifizierung, Datenklasse, Änderungshäufigkeit und Missbrauchsrisiko klassifiziert. Endpunkte, Methoden und Medienformate bilden die Grundlage für Policies und Tests.

1. Hosts, Basis-Pfade und Versionen erfassen.
2. Methoden, Authentifizierung und kritische Operationen markieren.
3. personenbezogene oder vertrauliche Datenflüsse kennzeichnen.
4. technische und fachliche Missbrauchsszenarien formulieren.
5. Schutzmodule und Logumfang zuordnen.

2. API-Schema-Prüfung

Eine OpenAPI-Beschreibung wird als Vertrag für eingehende Requests genutzt. Geprüft werden Methoden, Pfade, Parameter, Datentypen und Inhalte. Vor der Prävention muss geklärt sein, ob Spezifikation und produktives Verhalten tatsächlich übereinstimmen.

1. Spezifikation versionieren und auf Vollständigkeit prüfen.
2. Asset oder API-Regel eindeutig zuordnen.
3. Schema zunächst im Erkennungsmodus aktivieren.
4. gültige und absichtlich ungültige Requests ausführen.
5. Abweichungen zwischen Implementierung und Spezifikation bereinigen.
6. Schema-Prävention gestuft aktivieren.

3. Quellidentität für Benutzer und technische Clients

Bei APIs ist die Quell-IP häufig unzureichend. JWT-Claims, definierte Header oder Cookies können Clients stabiler unterscheiden. Die Vertrauensgrenze muss eindeutig sein: Identitätsmerkmale dürfen nur von kontrollierten Komponenten gesetzt oder validiert werden.

4. Rate Limiting und DDoS-Kontrolle

Ratenbegrenzung wird pro URI und Quelle dimensioniert. Längere Pfadtreffer erhalten Vorrang. Grenzwerte basieren auf Messdaten, fachlichen Spitzen und Fehlerbudgets; ein zu niedriger Wert wird selbst zum Ausfallrisiko.

1. Normal- und Spitzenlast je Endpunkt messen.
2. Quellidentität und Vertrauensgrenze festlegen.
3. Regel zunächst protokollierend betreiben.
4. Grenzwert, Zeitfenster und Aktion testen.
5. Auswirkungen auf Retries, Batch-Clients und NAT-Szenarien prüfen.
6. Prävention aktivieren und Alarmierung ergänzen.

5. Anti-Bot und automatisierter Missbrauch

Bots werden nach erwünschter Automatisierung, unbekannten Clients und schädlichem Verhalten getrennt. Suchmaschinen, Monitoring, Partnerintegrationen und interne Jobs benötigen klare Zulassungsregeln. Credential Stuffing, Scraping und automatisierte Enumeration werden als eigene Szenarien geprüft.

6. Zusätzliche Sicherheitsmodule

Behandelt werden benutzerdefinierte Snort-Signaturen, HTTP/S-IPS, Datei-Sicherheit, DLP-Regeln und benutzerdefinierte Antworten. Auswahl und Reihenfolge orientieren sich am konkreten Datenfluss. Module werden nicht pauschal aktiviert, sondern mit messbaren Testfällen und definiertem Betriebsowner eingeführt.

7. API-Sicherheitstest und Freigabe

Die Testmatrix umfasst gültige Requests, Schemafehler, Injection, übergroße Inhalte, Rate-Limit-Überschreitung, Identitätsmanipulation und Bot-Szenarien. Erwartete Aktion, Statuscode und Loginhalt werden vorab festgelegt.

Praktische Übungen

1. API-Inventar und Risikoprofil für eine Beispiel-API erstellen.
2. OpenAPI-Spezifikation prüfen und einer Schutzregel zuordnen.
3. gültige und ungültige Requests gegen die Schema-Prüfung testen.
4. JWT- oder Header-basierte Quellidentität konfigurieren.
5. Rate-Limit-Regel im Erkennungsmodus dimensionieren und anschließend kontrolliert durchsetzen.
6. zusätzliche Sicherheitsfunktion anhand eines klaren Angriffsszenarios integrieren.
7. vollständige Positiv-, Negativ- und Umgehungstestmatrix dokumentieren.

Methodik und Unterlagen

Die Laborübungen verwenden eine dokumentierte Beispiel-API, Testrequests und auswertbare Ereignisse. Die Unterlagen enthalten API-Inventarvorlage, Schutzmodul-Matrix, Rate-Limit-Berechnung, Schema-Freigabe und Negativtestkatalog.