F

AWS APIs in Amazon API Gateway absichern

Viele Firmen machen sich um APIs sorgen, insbesondere bei Problemen wie API-Drosselung und DoS-Angriffen. Wie verhindert AWS API-Sicherheitsrisiken?

Eine Programmierschnittstelle, kurz API, bietet eine einfache Möglichkeit, verschiedene Softwarebestandteile zu...

integrieren. APIs haben sich vor allem als wichtige Funktion für Public-Cloud-Anbieter herauskristallisiert, da sie es Softwareentwicklern erlauben, mit Services der Anbieter auf programmatische Weise zu interagieren, statt manuelle, webbasierte Schnittstellen nutzen zu müssen.

Sicherheit ist ein wesentlicher Bestandteil bei der API-Nutzung. Ohne die Möglichkeit, einen authentifizierten Zugang zu gewähren, können Anbieter wie Amazon Web Services (AWS) keine sicheren API-Aufrufe oder Servicezugriffe überprüfen. Ein unautorisierter oder falscher Aufruf kann einen erhöhten Verbrauch von Rechenleistung verursachen.

Zum Beispiel kann eine DoS-Attacke (Denial of Service) den Service mit Aufrufen überschwemmen und so die Fähigkeit des Services überfordern, legitime API-Aufrufe zu bearbeiten. Das führt im Extremfall zum Herunterfahren des Services. Sicherheitslücken sind also eine allgegenwärtige Herausforderung von Public Cloud Providern, Drittanbietern, die ihre Services in der Public Cloud betreiben, und Unternehmen, die APIs nutzen, um Software mit den Services zu integrieren.

AWS API-Aufrufe signieren

Mit wenigen Ausnahmen verlangt AWS daher, dass API-Aufrufe signiert sein müssen, um die Schnittstellen abzusichern. Die Signierung der API-Aufrufe ist eine Möglichkeit, jedem Aufruf Zugriffsschlüssel hinzuzufügen. Die Schlüssel sind dabei an einen Entwickler oder ein Konto gekoppelt. Diese werden von AWS überprüft, um den Nutzer für einen API-Aufruf zu authentifizieren.

Amazon API Gateway unterstützt zudem optionale Signaturen, indem es AWS Signature Version 4 verwendet. Während die Nutzung von Signaturen für API-Aufrufe mit Amazon API Gateway optional ist, wird es als Best Practice dringend empfohlen. Das API Gateway Software Development Kit (SDK) unterstützt dabei die Signierung. Gleichzeitig unterstützt das Amazon API Gateway alternative Authentifizierungsmethoden, wie zum Beispiel den OAuth Token zum Authentifizieren von Workloads.

Mehr zum Thema AWS Security:

AWS re:Invent 2015: Cloud-Management und Security sind die zentralen Themen.

Tipps zur Planung effektiver Security- und Schwachstellen-Scans für AWS.

Datensicherheit und gemeinsame Verantwortung in Amazon Web Services (AWS).

Modell für Cloud-Sicherheit von AWS basiert auf geteilter Verantwortung.

Andere wichtige Bereiche der API-Sicherheit beinhalten Monitoring, Reporting und Audits. Monitoring-Services wie Amazon CloudWatch lassen sich die API-Schlüsselaufrufe protokollieren, so dass Administratoren fehlerhafte API-Aufrufe oder den Missbrauch der Programmierschnittstelle identifizieren können. Gleichzeitig bietet AWS CloudTrail eine vollständige Historie aller API-Änderungen, womit Admins alle Aufrufe nachverfolgen und APIs in AWS-Benutzerkonten erstellen, bearbeiten, bereitstellen oder löschen können.

Als eine weitere Sicherheitsmaßnahmen übernimmt Amazon API Gateway die API-Drosselung. Anwender können damit während der Erstellung einer neuen API Standardwerte und Maximalwerte für die Anzahl der Aufrufe pro Sekunde festlegen. Dies kann dazu beitragen, die Kosten für API-Aufrufe (da API-Entwickler pro Aufruf zahlen) zu optimieren und helfen, dass die Backend-Services eine akzeptable Leistung erreichen, wenn die Zahl der API-Aufrufe schwankt.

Folgen Sie SearchEnterpriseSoftware.de auch auf Twitter, Google+ und Facebook!

Artikel wurde zuletzt im Oktober 2015 aktualisiert

Pro+

Premium-Inhalte

Weitere Pro+ Premium-Inhalte und andere Mitglieder-Angebote, finden Sie hier.

This Content Component encountered an error

0 Kommentare

Älteste Beiträge 

Passwort vergessen?

Kein Problem! Tragen Sie Ihre E-Mail-Adresse unten ein. Wir werden Ihnen eine E-Mail mit Ihrem Passwort schicken.

Ihr Passwort wurde an die folgende E-Mail-Adresse gesendet::

- GOOGLE-ANZEIGEN

SearchSecurity.de

SearchStorage.de

SearchNetworking.de

SearchDataCenter.de

Close