Hinzufügen von generativer KI als API-Schutztool

Aug 26, 2023

Startseite » Security Boulevard (Original) » Hinzufügen generativer KI als API-Schutztool

Die Sicherheitswelt steckt noch in den Anfängen herauszufinden, wie generative KI am besten genutzt werden kann, um die Cybersicherheit zu verbessern – und sich gleichzeitig gegen sie als aufkommenden Bedrohungsvektor zu verteidigen.

Nehmen wir zum Beispiel die API-Sicherheit. Bill Doerrfeld argumentierte kürzlich in einem Security Boulevard-Beitrag, dass generative KI eine Bedrohung für die API-Sicherheit darstellen werde. Eine Sorge besteht darin, dass generative KI aufgrund der großen Angriffsfläche zum Missbrauch von APIs eingesetzt werden kann, schrieb Doerrfeld. Viele Unternehmen stellen inzwischen Hunderte von APIs bereit, bei denen es bereits zu Sichtbarkeitsproblemen kommt. Angreifer wissen, dass Unternehmen Schwierigkeiten haben, ihre APIs zu schützen, was ihnen die Möglichkeit gibt, einzugreifen und selbst KI zu nutzen, um Schwachstellen zu finden.

„Außerdem könnte generative KI auf vielfältige Weise genutzt werden, um Zugangsdaten zu kompromittieren“, schrieb Doerrfeld und fügte hinzu, dass generative KI zur Erkennung von Mustern zur Erkennung von Passwörtern oder zum Stuffing von Zugangsdaten eingesetzt werden könnte.

Diese Sicherheitsbedrohungen müssen eher früher als später angegangen werden. Doch während Bedrohungsakteure Möglichkeiten entwickeln, mithilfe generativer KI Angriffe auf APIs zu starten, entwickeln Sicherheitsforscher Möglichkeiten, dieselbe Technologie zum Schutz von APIs zu nutzen.

„Generative KI ist heute in vielen Bereichen, einschließlich der Sicherheit, eindeutig das Schlagwort“, sagte Subbu Iyer, Vizepräsident für Produktmanagement bei Cequence Security, kürzlich in einem Webinar. Aber die Technologie kann genutzt werden, um früher manuelle Aufgaben zu automatisieren und die API-Sicherheit zu testen.

Bevor Sie mit der Anwendung generativer KI als Sicherheitslösung für APIs beginnen, müssen Sie genau wissen, was für den API-Schutz erforderlich ist. Iyer erklärte, dass ein einheitlicher API-Schutzansatz auf drei Säulen aufbaut: Discovery, bei dem es darum geht, zu lernen und zu klassifizieren, wie Ihre API-Angriffsoberfläche aussieht, und Compliance, bei dem es darum geht, den Sicherheitsstatus von APIs zu prüfen und sicherzustellen, dass sie den Best Practices und Schutzmaßnahmen für Sicherheit entsprechen , was bedeutet, den Datenverkehr zu den APIs zu überwachen und potenzielle Angriffe zu blockieren.

Leider ist der API-Schutz in vielen Organisationen defekt. „Sie wären überrascht, wie viele APIs wir entdecken, die völlig unbeaufsichtigt und öffentlich zugänglich sind und Kundendaten preisgeben“, sagte Iyer.

Das Auffinden von Schwachstellen in APIs erfordert Anwendungssicherheitstests, aber wie Iyer in einem Blogbeitrag betonte, ist es eine große Herausforderung, „Testfälle zu generieren, die auf die getesteten Apps zugeschnitten sind, damit ihre relevanten Geschäftsfunktionen getestet werden können, bevor sie für die Produktion freigegeben werden“.

Hier wird generative KI zu einem nützlichen API-Sicherheitstool. „Man kann die generative KI-Anwendung auffordern, Dinge zu tun, die sonst einen enormen manuellen Arbeitsaufwand erfordern würden“, erklärte Iyer.

Cequence hat beispielsweise generative KI-Anwendungsfälle rund um API-Sicherheitstests entwickelt und dabei einen intelligenten Modus verwendet, der automatisch Tests basierend auf dem API-Typ erstellt. Mit generativer KI können Sie die richtigen Testfälle für jeden API-Endpunkt innerhalb der Anwendung aneinanderreihen, sagte Iyer.

„Dadurch entfallen Stunden und Wochen der Arbeit, die der Sicherheitsingenieur für die manuelle Erstellung dieses Testfalls oder Testplans leisten müsste“, sagte Iyer.

Im Guten wie im Schlechten wird die generative KI die Sicherheit verändern. API-Sicherheit ist aufgrund ihrer Komplexität und der schieren Menge an APIs, die in einem Unternehmen verwendet werden, bereits schwierig. Wenn generative KI Schritte zur Suche nach potenziellen Schwachstellen automatisieren und Tests verbessern kann, wäre das ein positiver Schritt nach vorne.