Ailos Cooperative verstärkt App- und API-Sicherheit mit F5
Die brasilianische Genossenschaft Ailos verfolgt eine Strategie zur digitalen Transformation, die darauf abzielt, die Finanzdienstleistungen auszubauen, die das Wirtschaftswachstum von Privatpersonen, Unternehmen und Stadtzentren fördern. Das Ziel ist, bis 2025 2 Millionen Kunden zu erreichen. Ailos ist für seine Innovationen bekannt und war Vorreiter bei sofortigen und kostenlosen Überweisungen, noch vor PIX, dem Sofortzahlungssystem der brasilianischen Zentralbank. Die Organisation schützt ihre digitalen Assets mit F5 Distributed Cloud Services.
Geschäftliche Herausforderung
Die vor 20 Jahren in Santa Catarina, Brasilien, gegründete Ailos Cooperative bedient landesweit 1,6 Millionen Kunden. In Städten wie Presidente Getúlio sind 90 % der Bevölkerung Ailos-Kunden. Im Bewusstsein ihrer Rolle in diesem Ökosystem haben die Führungskräfte von Ailos Prozesse und Anwendungen überarbeitet, um das Kundenserviceerlebnis zu verbessern. Sie haben sich außerdem auf den Aufbau einer skalierbaren Infrastruktur konzentriert, um die zukünftige Geschäftsexpansion der Genossenschaft zu unterstützen.
Als Teil dieses Prozesses basiert die zentrale Ailos-Banking-Umgebung auf einer veralteten monolithischen Anwendung, die neben modernen Cloud-basierten Anwendungen auf AWS und Azure existiert. Die Genossenschaft verlässt sich außerdem auf MuleSoft, eine Cloud-native Plattform, die die API-Veröffentlichung erleichtert. Kunden greifen über die Ailos-Website und die mobile App auf diese Anwendungen und Dienste zu.
Die Anwendungs- und API-Entwicklungs-, Veröffentlichungs- und Nutzungsprozesses der Ailos Cooperative entsprechen den Best Practices von DevSecOps. Während das Ailos-Team die Apps entwirft, erfolgt die Entwicklung in Zusammenarbeit mit externen Partnern und muss den äußerst agilen Anforderungen des Finanzdienstleistungsgeschäfts gerecht werden. Um die Datenintegrität zu gewährleisten, benötigte das Unternehmen eine Multi-Cloud-Lösung, die konsolidierte Sichtbarkeit und Kontrolle für alle APIs und Apps bietet, unabhängig davon, wo diese bereitgestellt werden.
Darüber hinaus erfordert die Sicherheit kritischer Daten, die vor Ort und in der Cloud gespeichert sind, eine integrierte Plattform, die die verteilte Infrastruktur des Unternehmens bedienen kann. Die Latenz war ein Schlüsselfaktor bei der Auswahl einer Lösung. Wenn beispielsweise ein Geschäftsmann aus Santa Catarina nach Deutschland reist, muss die Ailos-Plattform in Europa eine vergleichbare Leistung wie in Brasilien bieten.
Schließlich konzentrierten die Manager von Ailos ihre zukünftigen Technologieinvestitionen auf SaaS und Software, um die Kapitalausgaben zu senken. Ihr Ziel war es, alle Ressourcen, einschließlich der digitalen Sicherheit, wie Software zu behandeln, um die Flexibilität und Verwaltungseffizienz zu steigern. Durch die Einführung einer softwarebasierten Sicherheits- und Leistungsplattform, die Einblicke in das gesamte Spektrum von Legacy-Anwendungen und modernen APIs bietet, wollte Ailos die Verwaltung seiner wachsenden Umgebung optimieren und arbeitsintensive manuelle Verwaltungsaufgaben plattformübergreifend abschaffen. Ailos hat Anfang 2023 eine Ausschreibung gestartet, um die richtige Lösung zum Erreichen dieser ehrgeizigen Ziele zu finden.
Lösung
Um die Leistung und Sicherheit ihrer Kernanwendung zu gewährleisten, verließ sich die Ailos Cooperative jahrelang auf F5 BIG-IP Local Traffic Manager (LTM) und F5 BIG-IP Application Security Manager (ASM). Allerdings machte die Entwicklung moderner Apps und die Verbreitung von APIs die Einführung eines Cloud-First-Sicherheitsmodells erforderlich. Nachdem die Verantwortlichen bei Ailos mehrere Proof-of-Concept-Evaluierungen (POC) mit mehreren Anbietern durchgeführt hatten, entschieden sie sich für die Bereitstellung der F5 Distributed Cloud Services, um 200 Apps und Tausende von APIs zu schützen.
Zu den von Ailos bereitgestellten Diensten gehören F5 Distributed Cloud Network Connect, Distributed Cloud DNS Load Balancer und Distributed Cloud App Stack. Diese Infrastruktur wird in einem hybriden SaaS-Modell bereitgestellt. Für öffentliche Anwendungen bietet Distributed Cloud Network Connect eine SaaS-basierte Dienstbereitstellung zwischen den öffentlichen Clouds von AWS, Azure und MuleSoft über das globale F5-Netzwerk zu den von F5 verwalteten Regional Edge-Sites und gewährleistet so kontinuierliche Unterstützung für Prozesse, die auf die öffentlichen Clouds von Ailos angewiesen sind.
In der Zwischenzeit entschied sich Ailos in den lokalen Rechenzentren für die Bereitstellung eines F5 Customer Edge (CE)-Softwarepakets zur Unterstützung der lokalen Anwendung des Unternehmens. Dadurch wird die Abhängigkeit von den Regional Edge-Sites für die Bereitstellung von Diensten aufgehoben und gleichzeitig sichergestellt, dass die Anwendung nicht öffentlich im Internet beworben wird. Der CE funktioniert in einer automatisierten Funktion ähnlich einem Mini-PoP in den Ailos-Rechenzentren. Die Lebenszyklusverwaltung dieser Instanzen erfolgt über die zentrale SaaS-Konsole. Zusammen bieten diese Bereitstellungsmodelle einen hybriden Ansatz zum Schutz und zur Verbesserung der Leistung des gesamten Ailos-App- und API-Katalogs.
Die globale Cloud-Infrastruktur von F5 gewährleistet Leistung und Sicherheit für Ailos-Kunden weltweit. Unabhängig davon, ob Kunden von Santa Catarina oder Berlin aus auf den Ailos-Bankenkern zugreifen, interagieren sie über die Website oder App des Unternehmens. Der Zugriff wird streng gefiltert und durch mehrere Instanzen von Distributed Cloud Services überprüft, die KI und maschinelles Lernen (ML) für präzise Verhaltensanalysen verwenden, um optimale Leistung zu gewährleisten und gleichzeitig das digitale Erlebnis zu schützen. Anschließend wird der Datenverkehr an eine private oder öffentliche Cloud von Ailos weitergeleitet, wo Apps und APIs verarbeitet werden, um die Kundenanforderungen zu erfüllen. Die F5 Distributed Cloud Web Application and API Protection (WAAP)-Lösung spielt eine entscheidende Rolle bei der Identifizierung und Abwehr potenzieller Angriffe auf Ailos-Apps und APIs.
Die strategische Bedeutung von APIs innerhalb des digitalen Ökosystems von Ailos führte auch zur Implementierung von Distributed Cloud API Security mit API-Erkennungsfunktionen. Diese Cloud-native Plattform ist rund um die Uhr in Betrieb und bietet umfassende Einblicke in veröffentlichte und genutzte APIs weltweit. Ein Hauptmerkmal ist die Fähigkeit, Schatten-APIs (nicht konforme und häufig nicht dokumentierte oder nicht unterstützte APIs im Einsatz) zu identifizieren und gleichzeitig von legitimen, geschäftskritischen APIs zu unterscheiden. Automatisierte Kontrollen verhindern, dass Ailos-Entwickler auf APIs von Drittanbietern zugreifen, die die Sicherheit gefährden könnten.
Im Rahmen der Migration zu Distributed Cloud Services überarbeitete Ailos seine Sicherheitsrichtlinien, um ein nachhaltiges Management für seine verteilten Netzwerke, Apps und APIs zu etablieren. Dieser Übergang wird Ailos dabei helfen, seine monolithische Anwendung schließlich außer Betrieb zu nehmen und sich ausschließlich auf Cloud-basierte Systeme zu verlassen.
Ergebnisse
Reduzieren Sie den Zeitaufwand für die Verwaltung vielfältiger, verteilter Umgebungen um 75 %
Die Einführung der F5 Distributed Cloud Services markierte für Ailos den Beginn einer neuen Ära und vereinfachte die Verwaltung heterogener und verteilter Umgebungen über eine einzige Plattform. Die Lösung bietet Einblicke in Apps und APIs in der gesamten Netzwerkinfrastruktur, von lokalen Umgebungen, die den ursprünglichen Bankkern hosten, bis hin zu den öffentlichen Clouds von AWS, Azure und MuleSoft.
„Wir begannen mit einer Analyse der aktuellen und zukünftigen Risiken unserer Umgebung und suchten von dort aus nach einer Lösung, die die Expansion unseres Geschäfts unterstützen würde“, sagt Sidnei Fernando da Silveira, CISO bei Ailos. „Wir kamen zu dem Schluss, dass eine integrierte Lösung mit geringem Verwaltungsaufwand unerlässlich ist. „F5 Distributed Cloud Services hat sich als zuverlässige Lösung erwiesen, die die Produktivität unseres Teams steigert und umfassende Transparenz in verschiedene Umgebungen bietet – alles verwaltet von einer einzigen Plattform aus.“
Eine Analyse von Daniel Devegili, Informationssicherheitsanalyst bei Ailos, zeigt eine Reduzierung des Zeitaufwands für die Verwaltung der verschiedenen Umgebungen des Unternehmens um 75 %. Er sagt: „Bevor wir F5 Distributed Cloud Services eingeführt haben, mussten wir vier verschiedene Plattformen betreiben und anschließend manuelle Aktionen ausführen, um die von jedem Dashboard generierten Daten zu korrelieren und so eine ganzheitliche Sicht auf die Umgebung zu erhalten.“
Erreichen Sie 100 % API-Sichtbarkeit
Ein Hauptanliegen war die Stärkung der Sicherheit der APIs für Finanzdienstleistungen von Ailos, die zunehmenden Bedrohungen ausgesetzt sind. „Es wurde eine Budgetumverteilung vorgenommen, um dynamische und automatisierte Technologien zum Erkennen und Blockieren bösartiger APIs in die RFP aufzunehmen“, sagte Silveira.
„Mit F5 Distributed Cloud API Security hat das Cybersicherheitsteam von Ailos eine 100-prozentige Transparenz der APIs erreicht“, sagt Devegili. Mehrere Angriffsarten – darunter auch DDoS-Angriffe – konzentrieren sich auf APIs. Die F5-Lösung identifiziert diese Bedrohungen auf prädiktive Weise und kann sogar Schatten-APIs von legitimen APIs unterscheiden. Durch die automatische Blockierung wird die Arbeit für Ailos-Entwickler vereinfacht, die nun von F5 vorab geprüfte APIs nutzen können.
Darüber hinaus haben Ailos-Manager jetzt tägliche Transparenz in lokale und öffentliche Cloud-Umgebungen sowie in die zugehörigen Apps und APIs. Über ein einziges Dashboard können sie detaillierte Analysen durchführen und ihre App-Ressourcen optimieren. Dieser optimierte Ansatz ermöglicht es dem Team, sich auf Innovation und die Verbesserung sicherer digitaler Finanzdienstleistungen zu konzentrieren.
Ailos kann außerdem die Vorteile vergleichen, die sich aus der Migration von der vorherigen hardwarebasierten Lösung der Genossenschaft zu den F5 Distributed Cloud Services ergeben. Devegili sagt: „Jetzt ist das Unternehmen über die Sichtbarkeit hinaus zur Beobachtbarkeit fortgeschritten, bei der Daten von mehreren Plattformen in F5 Distributed Cloud Services verknüpft werden und so eine genaue und detaillierte Diagnose dessen erstellt wird, was mit den APIs des Unternehmens geschieht.“
Beschleunigen Sie die Veröffentlichung von Apps und APIs um 120 %
Da das Unternehmen bei Finanztransaktionen auf Webseiten und Apps angewiesen ist, bildet die Softwareentwicklung den Kern seines Geschäfts. Aus diesem Grund betrachtet Silveira den Aufbau einer Entwicklungspipeline, die auf den Best Practices von DevSecOps basiert, als eine der wichtigsten Fronten der Cybersicherheit seines Unternehmens. „Heute konzentrieren sich 60 % unserer Bemühungen auf diesen Bereich. Fragen des Infrastrukturschutzes werden umfassend behandelt und machen daher 40 % unserer Aufmerksamkeit aus.“
Distributed Cloud WAAP wurde als Teil einer umfassenderen Strategie eingesetzt, deren Schwerpunkt darauf liegt, das Bewusstsein der Entwickler für die App- und API-Sicherheit zu schärfen. Die daraus resultierende Automatisierung garantiert, dass Entwickler nur auf Softwarekomponenten zugreifen können, die bereits von Distributed Cloud API Security geprüft, verifiziert und für die Verwendung in der Entwicklungspipeline des Unternehmens autorisiert wurden.
Laut Devegili hat diese Strategie die sichere Veröffentlichung der Ailos-App und API beschleunigt. Er sagt: „Wir haben die Geschwindigkeit des Anwendungs- und API-Veröffentlichungsprozesses um 120 % gesteigert.“
- Reduzieren Sie den Zeitaufwand für die Verwaltung vielfältiger, verteilter Umgebungen um 75 %
- Erreichen Sie 100 % API-Sichtbarkeit
- Beschleunigen Sie die Veröffentlichung von Apps und APIs um 120 %
- Sichern Sie eine Multi-Cloud-Umgebung für Apps und APIs
- Schädliche APIs automatisch identifizieren und blockieren
- Schnelle und sichere App- und API-Entwicklung