Was ist API Discovery? Definition und Methoden

Was ist API Discovery?

API Discovery ist der fortlaufende Prozess, alle APIs zu finden, die ein Unternehmen betreibt oder nutzt, und jede mit Verantwortlichem, Version und Umgebung zu inventarisieren. Dazu zählen dokumentierte APIs, Shadow-APIs, die ohne Prüfung entstanden sind, Zombie-APIs, die als veraltet gelten, aber noch Anfragen beantworten, und Drittanbieter-APIs, die Ihr Code aufruft. Was Sie nicht kennen, können Sie weder absichern noch testen oder überwachen.

Warum es wichtig ist

Dokumentation veraltet, Teams liefern schnell aus und alte Versionen bleiben bestehen. Genau das beschreibt OWASP als API9:2023 Improper Inventory Management: Angreifer nutzen alte API-Versionen oder Endpunkte, die ungepatcht weiterlaufen und oft schwächer geschützt sind. Mehr dazu unter API-Sicherheit, den wichtigsten API-Sicherheitsrisiken und API Sprawl.

Es ist nicht nur ein Sicherheitsthema. Ein Inventar zeigt, wer einen Endpunkt verantwortet, welche Versionen noch genutzt werden und was abgeschaltet werden kann.

So funktioniert API Discovery

Keine einzelne Quelle sieht alles, deshalb kombinieren Teams mehrere:

• Traffic-Analyse. Echte Anfragen an Gateway, Proxy oder Netzwerk-Tap beobachten. So finden Sie tatsächlich genutzte, auch undokumentierte Endpunkte.
• Gateway- und Load-Balancer-Logs. Ein günstiger Einstieg, wenn der meiste Verkehr über eine Stelle läuft.
• Code- und Repository-Scan. Routen im Quellcode zeigen Endpunkte, die existieren, aber noch keinen Traffic haben.
• Cloud- und Kubernetes-Inventar. Funktionen, Ingress-Routen und Services, die die Plattform selbst auflistet.
• Spezifikationen sammeln. Die OpenAPI-Dateien (Swagger) der Teams in einem Katalog bündeln. Das passt gut zu einem API-First-Vorgehen.
• Ausgehende Aufrufe erfassen. Welche externen APIs Ihre Dienste nutzen, damit Drittanbieter-Abhängigkeiten nicht fehlen.

Beispiel

Ein Team findet in den Gateway-Logs /v1/orders, das täglich noch einige hundert Aufrufe einer alten Mobile-App erhält, obwohl die dokumentierte API längst unter /v3 läuft. Daraus werden drei konkrete Schritte: einen Verantwortlichen benennen, v1 genauso absichern wie v3 und einen Abschalttermin festlegen.

Typische Fehler

• Einmalige Bestandsaufnahme. Ein Inventar ist nach wenigen Wochen veraltet. Discovery sollte laufend oder regelmäßig geplant erfolgen.
• Nur eine Methode. Traffic-Analyse übersieht Endpunkte ohne Aufrufe, Code-Scans übersehen zur Laufzeit erzeugte Routen.
• Auflisten ohne Konsequenz. Eine Shadow-API in einer Tabelle ohne Verantwortlichen bleibt eine Shadow-API.
• Drittanbieter und interne APIs vergessen. Dienst-zu-Dienst-Aufrufe und ausgehende Abhängigkeiten gehören dazu.
• Keine Klassifizierung. Zu wissen, dass es 400 Endpunkte gibt, hilft weniger als zu wissen, welche personenbezogene Daten verarbeiten.

Nach der Discovery: testen und überwachen

Eine gefundene API ist zunächst nur ein Name. Nehmen Sie jeden Endpunkt in das API-Monitoring auf, damit Sie Ausfälle und Verlangsamungen vor Ihren Nutzern bemerken. Das API-Monitoring von LoadFocus kann eine OpenAPI-3.x- oder Swagger-2.0-Spezifikation (JSON oder YAML, eingefügt oder per URL) importieren und legt pro Operation einen Monitor an. Endpunkte entdeckt es nicht selbst, die Spezifikation muss also aus Ihrem eigenen Katalog stammen. Für Lasttests siehe cURL, HAR, Postman oder OpenAPI in einen Lasttest umwandeln.

Häufige Fragen: API Discovery

Warum reicht Dokumentation nicht aus?

Dokumentation enthält nur, was jemand aufgeschrieben hat. Shadow-APIs fehlen dort per Definition, und alte Versionen überleben oft ihre Seiten. Discovery prüft, was tatsächlich läuft.

Was ist der Unterschied zwischen Shadow-API und Zombie-API?

Eine Shadow-API wurde nie geprüft oder registriert. Eine Zombie-API gilt offiziell als veraltet, erhält aber weiterhin Traffic. Beide sind unverwaltet und häufige Quellen ungepatchter Angriffsfläche.

Worin unterscheidet sich API Discovery von einem API-Katalog?

Discovery findet, was existiert. Ein Katalog ist die gepflegte Liste mit Verantwortlichen, Versionen und Dokumentation. Discovery hält den Katalog aktuell.

Wie oft sollte Discovery laufen?

Möglichst kontinuierlich, mindestens täglich oder wöchentlich. Eine vierteljährliche manuelle Prüfung lässt monatelange Lücken.

Findet LoadFocus meine APIs automatisch?

Nein. LoadFocus testet und überwacht Endpunkte, die Sie angeben, und kann Monitore aus einer von Ihnen bereitgestellten OpenAPI- oder Swagger-Spezifikation erzeugen.