Ailos Cooperative stärkt die App- und API-Sicherheit mit F5

Die brasilianische Genossenschaft Ailos verfolgt eine Strategie zur digitalen Transformation, mit der sie ihr Finanzdienstleistungsangebot ausbauen und so das Wirtschaftswachstum von Privatpersonen, Unternehmen und Städten fördern möchte. Ziel ist es, bis 2025 zwei Millionen Kunden zu gewinnen. Ailos ist für seine Innovationskraft bekannt und führte bereits vor PIX, dem Echtzeit-Zahlungssystem der brasilianischen Zentralbank, kostenlose Echtzeitüberweisungen ein. Die Organisation schützt ihre digitalen Ressourcen mit F5 Distributed Cloud Services.

Geschäftliche Herausforderung

Die vor 20 Jahren im brasilianischen Bundesstaat Santa Catarina gegründete Genossenschaft Ailos betreut landesweit 1,6 Millionen Kunden. In Städten wie Presidente Getúlio sind 90 % der Bevölkerung Kunden von Ailos. Die Führungskräfte von Ailos sind sich ihrer Rolle in diesem Ökosystem bewusst und haben Prozesse und Anwendungen modernisiert, um das Kundenerlebnis zu verbessern. Darüber hinaus konzentrieren sie sich auf den Aufbau einer skalierbaren Infrastruktur, um die künftige Geschäftsexpansion der Genossenschaft zu unterstützen.

Im Zuge dieser Entwicklung basiert die zentrale Bankenumgebung von Ailos auf einer monolithischen Legacy-Anwendung, die parallel zu modernen cloudbasierten Anwendungen auf AWS und Azure betrieben wird. Die Genossenschaft setzt außerdem auf MuleSoft, eine cloudnative Plattform, die die Veröffentlichung von APIs erleichtert. Kundinnen und Kunden greifen über die Website und die mobile App von Ailos auf diese Anwendungen und Dienste zu.

Die Prozesse der Ailos Cooperative für die Entwicklung, Veröffentlichung und Nutzung von Anwendungen und APIs orientieren sich an bewährten DevSecOps-Verfahren. Während das Ailos-Team die Anwendungen konzipiert, erfolgt die Entwicklung in Zusammenarbeit mit externen Partnern und muss den hohen Agilitätsanforderungen der Finanzdienstleistungsbranche gerecht werden. Um die Datenintegrität zu gewährleisten, benötigte das Unternehmen eine Multi-Cloud-Lösung, die eine zentrale Übersicht und Kontrolle über alle APIs und Anwendungen bietet – unabhängig davon, wo sie bereitgestellt werden.

Darüber hinaus erfordert der Schutz kritischer Daten, die sowohl lokal als auch in der Cloud gespeichert sind, eine integrierte Plattform, die die verteilte Infrastruktur des Unternehmens unterstützen kann. Die Latenz war ein entscheidender Faktor bei der Auswahl einer Lösung. Wenn beispielsweise ein Geschäftsmann aus Santa Catarina nach Deutschland reiste, musste die Ailos-Plattform in Europa eine mit der in Brasilien vergleichbare Leistung bieten.

Schließlich richtete das Management von Ailos seine künftigen Technologieinvestitionen auf SaaS und Software aus, um die Investitionsausgaben zu senken. Ziel war es, sämtliche Ressourcen, einschließlich der digitalen Sicherheit, als Software zu behandeln, um die Flexibilität und Effizienz der Verwaltung zu steigern. Mit der Einführung einer softwarebasierten Sicherheits- und Performance-Plattform, die Einblicke in das gesamte Spektrum von Legacy-Anwendungen bis hin zu modernen APIs bietet, wollte Ailos die Verwaltung seiner wachsenden Umgebung optimieren und arbeitsintensive manuelle Verwaltungsaufgaben auf verschiedenen Plattformen schrittweise abschaffen. Anfang 2023 leitete Ailos eine Ausschreibung ein, um die passende Lösung für diese ehrgeizigen Ziele zu finden.

Lösung

Jahrelang setzte die Ailos Cooperative auf F5 BIG-IP Local Traffic Manager (LTM) und F5 BIG-IP Application Security Manager (ASM), um die Leistung und Sicherheit ihrer Kernanwendung zu gewährleisten. Der Aufstieg moderner Apps und die zunehmende Verbreitung von APIs machten jedoch den Umstieg auf ein Cloud-First-Sicherheitsmodell erforderlich. Nach mehreren Proof-of-Concept-Evaluierungen (POC) mit verschiedenen Anbietern entschied sich die Führung von Ailos für die Bereitstellung von F5 Distributed Cloud Services, um 200 Apps und Tausende von APIs zu schützen.

Zu den von Ailos bereitgestellten Services gehören F5 Distributed Cloud Network Connect, Distributed Cloud DNS Load Balancer und Distributed Cloud App Stack. Diese Infrastruktur wird in einem hybriden SaaS-Modell bereitgestellt. Für öffentlich zugängliche Anwendungen ermöglicht Distributed Cloud Network Connect die SaaS-basierte Servicebereitstellung zwischen den Public Clouds von AWS, Azure und MuleSoft über das globale F5 Netzwerk bis zu den von F5 verwalteten Regional-Edge-Standorten. Dadurch wird die kontinuierliche Unterstützung von Prozessen gewährleistet, die auf die Public Clouds von Ailos angewiesen sind.

In den lokalen Rechenzentren entschied sich Ailos unterdessen für die Bereitstellung eines F5 Customer Edge (CE)-Softwarepakets zur Unterstützung der lokalen Anwendung des Unternehmens. Dadurch entfällt bei der Servicebereitstellung jegliche Abhängigkeit von den Regional Edge-Standorten, während zugleich sichergestellt wird, dass die Anwendung nicht öffentlich im Internet bekannt gemacht wird. Die CE arbeitet automatisiert und fungiert dabei ähnlich wie ein Mini-PoP innerhalb der Ailos-Rechenzentren. Das Lebenszyklusmanagement dieser Instanzen erfolgt über die zentrale SaaS-Konsole. Zusammen bilden diese Bereitstellungsmodelle einen hybriden Ansatz, der den gesamten App- und API-Katalog von Ailos schützt und dessen Leistung verbessert.

Die globale Cloud-Infrastruktur von F5 gewährleistet Leistung und Sicherheit für Ailos-Kunden weltweit. Unabhängig davon, ob sie von Santa Catarina oder Berlin aus auf das Kernbankensystem von Ailos zugreifen, interagieren Kunden über die Website oder App des Unternehmens. Der Zugriff wird durch mehrere Instanzen der Distributed Cloud Services streng gefiltert und überprüft. Diese nutzen künstliche Intelligenz und maschinelles Lernen (ML) für präzise Verhaltensanalysen, um eine optimale Leistung zu gewährleisten und zugleich das digitale Erlebnis zu schützen. Anschließend wird der Datenverkehr an eine private oder öffentliche Cloud von Ailos weitergeleitet, wo Apps und APIs verarbeitet werden, um die Anforderungen der Kunden zu erfüllen. Die Lösung F5 Distributed Cloud Web Application and API Protection (WAAP) spielt eine entscheidende Rolle bei der Erkennung und Abwehr potenzieller Angriffe auf die Apps und APIs von Ailos.

Die strategische Bedeutung von APIs innerhalb des digitalen Ökosystems von Ailos führte auch zur Implementierung von Distributed Cloud API Security mit Funktionen zur API-Erkennung. Diese cloudnative Plattform ist rund um die Uhr in Betrieb und bietet umfassende Einblicke in weltweit veröffentlichte und genutzte APIs. Eine zentrale Funktion ist die Erkennung von Schatten-APIs – verwendeten APIs, die nicht den Vorgaben entsprechen und häufig undokumentiert sind oder nicht unterstützt werden – bei gleichzeitiger Unterscheidung legitimer, geschäftskritischer APIs. Automatisierte Kontrollen verhindern, dass Entwickler von Ailos auf APIs von Drittanbietern zugreifen, die die Sicherheit gefährden könnten.

Im Zuge der Migration zu Distributed Cloud Services überarbeitete Ailos seine Sicherheitsrichtlinien, um eine nachhaltige Verwaltung seiner verteilten Netzwerke, Anwendungen und APIs zu gewährleisten. Dieser Übergang wird es Ailos ermöglichen, seine monolithische Anwendung letztlich außer Betrieb zu nehmen und ausschließlich auf cloudbasierte Systeme zu setzen.

Ergebnisse

Zeitaufwand für die Verwaltung vielfältiger, verteilter Umgebungen um 75 % reduzieren

Die Einführung von F5 Distributed Cloud Services läutete für Ailos eine neue Ära ein und vereinfachte die Verwaltung heterogener und verteilter Umgebungen über eine zentrale Plattform. Die Lösung bietet Einblicke in Anwendungen und APIs in der gesamten Netzwerkinfrastruktur – von lokalen Umgebungen, in denen das ursprüngliche Kernbankensystem gehostet wird, bis hin zu den Public Clouds von AWS, Azure und MuleSoft.

„Wir begannen mit einer Analyse der aktuellen und zukünftigen Risiken unserer Umgebung und suchten auf dieser Grundlage nach einer Lösung, die das Wachstum unseres Unternehmens unterstützen würde“, sagt Sidnei Fernando da Silveira, CISO bei Ailos. „Wir kamen zu dem Schluss, dass eine integrierte Lösung mit geringem Verwaltungsaufwand unerlässlich war. F5 Distributed Cloud Services erwies sich als zuverlässige Lösung, die die Produktivität unseres Teams steigert und umfassende Transparenz über verschiedene Umgebungen hinweg bietet – alles zentral über eine einzige Plattform verwaltet.“

Die Analyse von Daniel Devegili, Information Security Analyst bei Ailos, zeigt, dass sich der Zeitaufwand für die Verwaltung der verschiedenen Umgebungen des Unternehmens um 75 % reduziert hat. Er erklärt: „Vor der Einführung von F5 Distributed Cloud Services mussten wir vier verschiedene Plattformen betreiben und anschließend die von den einzelnen Dashboards generierten Daten manuell miteinander abgleichen, um einen ganzheitlichen Überblick über die Umgebung zu erhalten.“

Erreichen Sie 100 % API-Transparenz

Ein zentrales Anliegen war es, die Sicherheit der Finanzdienstleistungs-APIs von Ailos zu erhöhen, da diese zunehmend Bedrohungen ausgesetzt sind. „Das Budget wurde umgeschichtet, um dynamische und automatisierte Technologien zur Erkennung und Blockierung bösartiger APIs in die Ausschreibung aufzunehmen“, so Silveira.

„Mit F5 Distributed Cloud API Security erreichte das Cybersicherheitsteam von Ailos eine hundertprozentige Transparenz der APIs“, so Devegili. Verschiedene Angriffsarten – darunter DDoS-Angriffe – zielen auf APIs ab. Die Lösung von F5 erkennt solche Bedrohungen vorausschauend und kann sogar Schatten-APIs von legitimen APIs unterscheiden. Die automatisierte Blockierung erleichtert den Entwicklern von Ailos die Arbeit, da sie nun von F5 vorab geprüfte APIs nutzen können.

Darüber hinaus erhalten die Führungskräfte von Ailos nun täglich Einblick in die lokalen und öffentlichen Cloud-Umgebungen sowie in die zugehörigen Anwendungen und APIs. Über ein zentrales Dashboard können sie detaillierte Analysen durchführen und ihre Anwendungsressourcen optimieren. Dank dieses optimierten Ansatzes kann sich das Team auf Innovationen und die Verbesserung sicherer digitaler Finanzdienstleistungen konzentrieren.

Ailos kann auch die Vorteile der Migration von der bisherigen hardwarebasierten Lösung der Genossenschaft zu F5 Distributed Cloud Services vergleichen. Devegili erklärt: „Das Unternehmen ist inzwischen von der reinen Sichtbarkeit zur Observability übergegangen. Dabei werden Daten aus mehreren Plattformen in F5 Distributed Cloud Services zusammengeführt, sodass eine präzise und detaillierte Diagnose der Vorgänge in den APIs des Unternehmens möglich ist.“

Veröffentlichung von Apps und APIs um 120 % beschleunigen

Da das Unternehmen bei Finanztransaktionen auf Webseiten und Apps angewiesen ist, bildet die Softwareentwicklung das Herzstück seines Geschäfts. Deshalb betrachtet Silveira den Aufbau einer an DevSecOps-Best-Practices ausgerichteten Entwicklungspipeline als eines der wichtigsten Handlungsfelder seines Unternehmens im Bereich Cybersicherheit. „Heute konzentrieren sich 60 % unserer Anstrengungen auf diesen Bereich. Der Schutz der Infrastruktur ist bereits gut abgedeckt und macht daher 40 % unseres Fokus aus.“

Distributed Cloud WAAP wurde im Rahmen einer umfassenderen Strategie implementiert, die darauf abzielt, das Bewusstsein der Entwickler für die Sicherheit von Anwendungen und APIs zu schärfen. Die daraus resultierende Automatisierung stellt sicher, dass Entwickler nur auf Softwarekomponenten zugreifen können, die bereits von Distributed Cloud API Security geprüft, verifiziert und für die Verwendung in der Entwicklungspipeline des Unternehmens freigegeben wurden.

Laut Devegili hat diese Strategie die sichere Veröffentlichung von Ailos-Apps und -APIs beschleunigt. Er erklärt: „Wir konnten die Geschwindigkeit des Veröffentlichungsprozesses für Anwendungen und APIs um 120 % steigern.“

Alle Kundenberichte ansehen›