Aus WAPP einen FUS machen...?
Wenn Sie A10 folgen (vielen Dank dafür), haben Sie vielleicht bemerkt, dass wir Anfang des Jahres etwas Neues erworben haben: ThreatX von A10 Networks. Manche nennen es CWAAP, manche CNAPP, andere WAAPi... wir nennen es WAPP - Web Application Protection Platform. Und warum? Weil sie zukunftsweisend ist und den Rahmen dafür setzt, wie wir den Schutz Ihres Anwendungsökosystems futurisieren, vereinheitlichen und vereinfachen (FUS) werden.
Wichtigste Erkenntnisse
- Der „Best-of-Breed“-Ansatz, bei dem separate WAF-, Bot-Management-, API-Sicherheits- und Layer-7-DDoS-Tools kombiniert werden, führt zu isolierten Produkten, die übermäßig viele Fehlalarme, hohe technische Schulden und Sicherheitslücken zwischen den Angriffsvektoren verursachen.
- DDoS-Angriffe auf Anwendungsebene sind mittlerweile kostengünstiger und leichter durchführbar als volumetrische Angriffe, da „Slow-and-Low“-Techniken Systeme unbemerkt überlasten, ohne dass dafür wie früher Infrastrukturinvestitionen erforderlich sind.
- Bots machen mittlerweile fast die Hälfte des gesamten Internetverkehrs aus, und ihre Techniken haben sich von Brute-Force-Angriffen hin zu groß angelegten Credential-Stuffing-Angriffen weiterentwickelt, bei denen gestohlene Zugangsdaten gleichzeitig in mehreren Anwendungen ausgenutzt werden.
- Die von Anbietern vermarkteten, „zusammengeschusterten“ Komplettlösungen, die Daten aus isolierten Tools bündeln, lösen das Kernproblem nicht; die Tools arbeiten weiterhin unabhängig voneinander auf ihren eigenen Vektoren, ohne echte vektorübergreifende Kommunikation oder gemeinsamen Kontext.
- ThreatX von A10 Networks bietet über eine einheitliche WAPP-Plattform nativ integrierten Schutz für Web, APIs, Bots und DDoS. Dabei kommen entitätsbasiertes Tracking, verhaltensbasierte KI und ein verwaltetes SOC zum Einsatz, um Bedrohungen über alle Vektoren hinweg in Echtzeit zu korrelieren.
Das Problem mit alten Ansätzen
Traditionelle Ansätze zur Sicherung von Webanwendungen haben sich stark auf statische, Regex-basierte Abwehrmechanismen verlassen, die mit modernen Bedrohungen einfach nicht mehr Schritt halten können. Netzwerk-Firewalls beispielsweise reichten allein nicht mehr aus, da sie verschlüsselten Datenverkehr nur schwer untersuchen konnten. Wenn es sich bei Angriffen um Umschläge mit versteckten Nachrichten handelt, können Netzwerk-Firewalls nur die Außenseite der Umschläge untersuchen. Eine Firewall der nächsten Generation kann zwar den Kontext besser berücksichtigen, ist aber immer noch darauf beschränkt, die Außenseite des Umschlags zu untersuchen. Die Nachricht im Inneren kann jedoch nicht untersucht werden. Ebenso waren fortgeschrittene Angriffe, die auf Schicht 7 abzielten, ohne Entschlüsselung für solche Sicherheitsgeräte unsichtbar. Selbst als die Web Application Firewall eingeführt wurde, war sie unglaublich ressourcenintensiv, und da die in der Anwendungsschicht verwendete Programmierung viel flexibler ist, war es viel einfacher, bösartige Angriffe als normalen Datenverkehr zu tarnen.
Inzwischen haben sich die Angreifer weiterentwickelt:
- Moderne Anwendungsangriffe, von verschleierten oder fragmentierten Nutzdaten bis hin zu verschiedenen Einschleusungstechniken, nutzen die Komplexität der Anwendungsschicht aus. Dies setzt bestehende WAFs unter Druck, sich mit einer adaptiveren Erkennung und Abschwächung weiterzuentwickeln.
- DDoS-Angriffe auf der Anwendungsebene wurden zu einem neuen Vektor, der billiger und einfacher auszuführen ist als massive Netzwerküberflutungen, wobei häufig "Slow-and-Low"-Techniken eingesetzt werden, um Systeme unauffällig zu überwältigen. Angreifer müssen nicht mehr viel Kapital investieren, um eine Infrastruktur aufzubauen, die groß genug ist, um hyper-volumetrische DDoS-Angriffe auszuführen.
- Die zunehmende Verbreitung von APIs eröffnet eine große Angriffsfläche. Sie stellen eine direkte Verbindung zu Back-End-Systemen her und sind oft unternehmensübergreifend integriert. Dies macht sie zu bevorzugten Zielen für Angriffe auf die Geschäftslogik, die legitimes Verhalten imitieren und gleichzeitig subtile Schwachstellen ausnutzen.
- Bots machen inzwischen fast die Hälfte des gesamten Internetverkehrs aus. Ihre Techniken haben an Komplexität und Umfang zugenommen. Anstelle von Brute-Force-Anmeldungen verwenden Angreifer beispielsweise zunehmend Credential Stuffing, d. h. sie nutzen gestohlene Anmeldedaten über mehrere Anwendungen hinweg, um in großem Umfang einzubrechen.
Aufgrund dieser Veränderungen hat sich die Angriffsfläche vergrößert, die Komplexität der Angriffe hat zugenommen, aber die Verteidigungsmaßnahmen konnten nicht immer Schritt halten.
Statische Ansätze gehören der Vergangenheit an
In der Vergangenheit basierten die Schutzmaßnahmen meist auf Signaturen und mussten stärker angepasst werden. Diese statischen Ansätze funktionierten, als die Bedrohungen noch einfacherer Natur und von geringerem Umfang waren. Doch heute sind Anwendungen das Rückgrat der digitalen Wirtschaft. Sensible Daten werden übertragen, Geschäftstransaktionen werden durchgeführt, und ein Großteil der Kunden vertraut auf die Verfügbarkeit dieser Anwendungen. Signaturbasierte Erkennung und manuelle Abstimmung reichen nicht mehr aus. Ihre mittlere Erkennungszeit, Genauigkeit und Flexibilität sind zu gering, um der sich entwickelnden Bedrohungslandschaft zu begegnen.
Der aktuelle "Best-of-breed"-Trend
Moderne Abwehrsysteme nutzen KI und ML zur Unterstützung ihrer Algorithmen, die eine Form der kontextbasierten Erkennung ermöglichen, was die Präzision erheblich verbessern kann. Um der Fülle neuer Angriffsvektoren entgegenzuwirken, haben die Abwehrsysteme einen "Best-of-Breed"-Trend angenommen. Unternehmen stellen mehrere Einzellösungen nach dem Motto "a la carte" zusammen: ein Anbieter für Bots, ein anderer für APIs, ein anderer für WAF, ein anderer für L7 DDoS, und versuchen dann, sie miteinander zu verbinden. Das Ergebnis ist weniger als gewünscht. Die Kosten für die Anschaffung all dieser verschiedenen Produkte sind hoch. Hinzu kommen eine Menge technischer Schulden, Overhead-Kosten und Ineffizienzen durch diese isolierten Produkte (z. B. Fehlalarme). Unternehmen haben am Ende zu viele Produkte und wissen nicht, was sie mit all den generierten Informationen anfangen sollen.
Einige Anbieter versuchen, dieses Problem zu lösen, indem sie die Produkte auf ihrer Seite zusammennähen und diesen zusammengenähten Frankenstein dann als "gebündelte Lösung" verkaufen, mit einem "Gehirn in der Mitte", das die Daten aus mehreren Tools zusammenführt. Dadurch wird das Problem der isolierten Produkte, die ohne Kommunikation an ihren eigenen Vektoren arbeiten, nicht gelöst.Es entstehen immer noch zahllose Fehlalarme, die aussortiert werden müssen. Die Last dieser Aufgabe wird weiterhin auf das Sicherheitsteam des Unternehmens abgewälzt.
Die Zukunft: Zusammenarbeiten durch Design
In der Zukunft geht es nicht darum, noch mehr Best-of-Breed-Tools zu kaufen oder das SIEM stärker unter Druck zu setzen, damit es Korrelationen über unzählige Vektoren hinweg durchführt, sondern darum, eine echte Plattform zu entwickeln und innerhalb dieses Ansatzes nach links zu gehen. Diese Plattform sollte über Schutzfunktionen verfügen, die von Haus aus integriert sind und von vornherein zusammenarbeiten, anstatt nachträglich zusammengeflickt zu werden. Nehmen wir den Basketball als Beispiel (das tue ich immer): Luka Doncic und LeBron James in ein Team zu stecken, klingt in der Theorie großartig. Sie sind beide Superstars, aber sie brauchen den Ball auf ähnliche Weise und überschneiden sich in ihren Aufgaben. Das kann dazu führen, dass das Ganze am Ende weniger ist als die Summe der Teile. Reden wir nun über Steph Curry und Draymond Green. Auf dem Papier sehen sie vielleicht nicht so dominant aus, aber zusammen ergänzen sie sich perfekt. Sie nutzen den Ball auf unterschiedliche Weise, decken die Schwächen des jeweils anderen und verstärken seine Stärken. Das ist der Unterschied zwischen einer "Ansammlung von Talenten" (zusammengewürfeltes Best-in-Breed) und einem geschlossenen Team, einer einheitlichen WAPP-Plattform.
Wie wir FUS (Futurize, Unite, Simplify)
Was wäre, wenn ich Ihnen sagen würde, dass die Lösung der Zukunft schon heute da ist? Wir bauen die Zukunft jetzt. ThreatX von A10 Networks vereint den Schutz für API, Web, Bot und DDoS in einer einheitlichen Plattform und ist damit eine Plattform zum Schutz von Webanwendungen. Und so geht's:
- Futurisieren: ThreatX nutzt fortschrittliche KI, verhaltensbasiertes Lernen und risikobasierte Profilerstellung, um Angreifern einen Schritt voraus zu sein. Wenn zum Beispiel der Angreifer B1A5 eine verdächtige API-Anfrage ausführt, passt ThreatX seine Risikobewertung dynamisch an. Wenn B1A5 zu einem späteren Zeitpunkt versucht, sich wie ein Bot zu verhalten, berücksichtigt die Entscheidungs-Engine diesen früheren Kontext, verfeinert kontinuierlich ihr Verständnis und ihre Verteidigung und handelt entsprechend.
- Einheitlich: Anstelle von isolierten Verteidigungsmaßnahmen korreliert ThreatX die Aktivitäten über alle Angriffsvektoren hinweg und nutzt diese Informationen, um die Erkennungs- und Abwehrstrategien anzupassen. Durch die Implementierung einer entitäts- und transaktionsbasierten Verfolgung wird ein ganzheitliches Bild von Angreifern und Angriffen erstellt.
- Vereinfachen: Die Bereitstellung dauert nur Minuten bis Stunden statt Wochen bis Monate. Anstatt eine WAF zu kaufen, dann einen API-Schutz aufzusetzen und dann eine Bot- und DDoS-Abwehr einzubauen, bietet ThreatX Schutz in einer einheitlichen Plattform. Zur Ergänzung der KI-gestützten Maschinerie bietet ThreatX auch ein verwaltetes SOC, das das entscheidende menschliche Element hinzufügt, da einige Dinge nicht durch KI allein ersetzt werden können.
WAPP: Eine einheitliche Plattform
Die Welt braucht nicht noch mehr isolierte Tools. Sie braucht eine Plattform zum Schutz von Webanwendungen wie ThreatX von A10 Networks. Bei ThreatX geht es nicht nur darum, veraltete, statische Schutzmechanismen zu ersetzen - es geht darum, die Art und Weise, wie wir über den Schutz von Anwendungen denken, völlig zu verändern. Wir sind nicht das "Dream Team" aus unzusammenhängenden Stars. Wir sind die Golden State Warriors 2017-2018: ein System, bei dem jede Komponente zusammenarbeitet und das Ganze größer ist als die Summe seiner Teile. Das ist eine wirklich einheitliche Plattform und etwas, das es wert ist, einen FUS daraus zu machen.
Häufig gestellte Fragen
Eine Web Application Protection Platform (WAPP) ist eine einheitliche Sicherheitsplattform, die WAF, API-Schutz, Bot-Management und Layer-7-DDoS-Abwehr nativ in einem einzigen System integriert. Eine herkömmliche WAF ist ein Einzweck-Tool, das auf die Durchsetzung von Regeln für Webanwendungen ausgerichtet ist. Ihr fehlen die vektorübergreifende Korrelation, die verhaltensbasierte KI und die API-orientierten Funktionen, die zur Abwehr moderner Multi-Vektor-Angriffe erforderlich sind.
Das entitätsbasierte Tracking erstellt für jeden Angreifer oder jede verdächtige Entität ein dauerhaftes Risikoprofil, wobei das Verhalten über Sitzungen, IP-Adressen, Angriffstypen und Zeiträume hinweg zusammengefasst wird, anstatt jede Anfrage isoliert zu bewerten. Auf diese Weise kann die Plattform erkennen, dass eine Reihe von scheinbar unabhängigen, geringfügigen Ereignissen tatsächlich Phasen eines einzigen koordinierten Angriffs sind, was die Erkennung von „Low-and-Slow“- und Multi-Vektor-Kampagnen erheblich verbessert.
Ein verwaltetes Security Operations Center (SOC) bietet fachliche Überwachung durch Experten, die die automatisierte KI-Erkennung ergänzt. Während KI sich durch Mustererkennung in großem Maßstab auszeichnet, sind erfahrene Analysten unverzichtbar für die Interpretation mehrdeutiger Bedrohungssignale, die Überprüfung von Blockierungsentscheidungen mit erheblichen Auswirkungen, die Feinabstimmung von Erkennungsmodellen und die Reaktion auf neuartige Angriffsmuster, die außerhalb etablierter Referenzwerte liegen – Aufgaben, die KI allein nicht zuverlässig bewältigen kann.
Angriffe auf die Geschäftslogik nutzen nicht technische Schwachstellen aus, sondern die beabsichtigte Funktionalität einer API – beispielsweise durch wiederholten Missbrauch eines Endpunkts für Rabattcodes, die Manipulation von Preisparametern oder das groß angelegte Auslesen von Produktdaten mithilfe gültiger API-Aufrufe. Da diese Angriffe legitime Anfragemuster verwenden, bleiben sie für signaturbasierte WAFs und Tools zur Ratenbegrenzung, die lediglich anomales technisches Verhalten erkennen, weitgehend unsichtbar.
„Shifting Left“ bedeutet, Sicherheitsfunktionen weiter nach vorne in die Schutzarchitektur zu verlagern und Erkennung sowie Prävention nativ in die Plattformarchitektur zu integrieren, anstatt sie nachträglich oder als externe Überlagerungen hinzuzufügen. Im Zusammenhang mit einem WAPP bedeutet dies, WAF-, Bot-, API- und DDoS-Schutzmaßnahmen von Grund auf so zu konzipieren, dass sie von vornherein zusammenarbeiten, anstatt sie nachträglich mit einer darüberliegenden Korrelationsschicht zusammenzuflicken.
