Sicherheit und Performance mit Web Application Firewalls in Einklang bringen

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

• Sicherheit ist wichtig, aber Leistung ebenso.
• Mehr als die Hälfte (57 %) der Unternehmen setzt Web Application Firewalls ein, um Anwendungen in der Cloud und in lokalen Umgebungen zu schützen (State of Application Delivery 2018)
• Das Scannen einer ausgehenden Antwort ist eine der letzten Möglichkeiten, einen laufenden Sicherheitsverstoß zu erkennen – und ihn zu stoppen.
• Auch des Guten kann es zu viel geben. Wägen Sie sorgfältig ab, wie Sie Sicherheit und Leistung in Einklang bringen können, um beides zu optimieren.

Wir alle wissen, wie wichtig Performance für den anhaltenden Erfolg digitaler Unternehmen ist. Während diejenigen von uns, die mit Einwahlverbindungen und stundenlangen Downloads aufgewachsen sind, bei der Performance eher nachsichtig sind, zeigen sich unsere Kinder als Digital Natives weniger geduldig. Sie erwarten sofortige Reaktionen und schnelle Downloads.

Die Zahlen belegen unsere Ungeduld: Mehr als 80 % von uns haben schon einmal eine App wegen schlechter Performance gelöscht. Einige von uns – drei von zehn – sind sogar bereit, dafür zu bezahlen, dass ihre Apps blitzschnell sind.

Aber wir sind schwer zufriedenzustellen, ganz gleich, mit welcher Technologiegeneration wir aufgewachsen sind. Vernachlässigen Sie bloß nicht die Sicherheit, während Sie die App schneller machen. Wenn Sie es doch tun und unsere Daten kompromittiert werden, werden wir mehr tun, als nur Ihre App zu löschen.

Es liegt also an IT-Fachleuten – insbesondere an denjenigen, die im Bereich IT-Sicherheit tätig sind –, die Anforderungen an die Leistung mit dem Sicherheitsbedarf in Einklang zu bringen. Apps müssen schnell und sicher sein.

Eine der Maßnahmen, mit denen mehr als die Hälfte der Unternehmen ihre Apps sicherer macht, ist der Einsatz einer Web Application Firewall (WAF), die – neben anderen Anwendungsdiensten – Anwendungen vor Angriffen schützt. Dies geschieht auf zweierlei Weise:

Erstens überprüfen sie eingehende Anfragen, um bösartige Aktivitäten zu erkennen. Zweitens kontrollieren sie ausgehende Antworten. Es überrascht nicht, dass Unternehmen, die diese Sicherheitstaktiken konsequent anwenden, zu denjenigen mit dem größten Vertrauen gehören einem Angriff auf eine Anwendung standhalten zu können.

Mit einer WAF können Sie jedes noch so kleine Detail einer Anfrage und einer Antwort untersuchen. Sie können Inhalte ganz nach Belieben analysieren, zerlegen, umformen und verändern.

Aber nur weil Sie es können, heißt das noch lange nicht, dass Sie es auch tun sollten.

Sicherheit gibt es nicht umsonst. Die Überprüfung von Anwendungsdatenverkehr mit der nötigen Sorgfalt, um Angriffe oder Anzeichen einer Sicherheitsverletzung zu erkennen, beansprucht CPU-Zyklen und Arbeitsspeicher.

Deshalb ist es wichtig, Sicherheit und Leistung in Einklang zu bringen. Jede zusätzliche Mikrosekunde, die für das Scannen oder Bereinigen aufgewendet wird, bedeutet eine weitere Mikrosekunde, die Nutzer auf die Antwort warten müssen.

Und sie summieren sich.

Schließlich liegt es in der Natur der Physik, dass Pakete einige Mikrosekunden benötigen, um ein Netzwerk zu durchlaufen und wieder zurückzukehren. Der Aufbau einer Verbindung dauert weitere Mikrosekunden. Die Verarbeitung noch einmal einige … Sie verstehen, worauf es hinausläuft. Alles, was Sie tun, braucht Zeit, und je länger es dauert, desto ungeduldiger werden Ihre Nutzer.

Bei diesem Zielkonflikt haben manche traditionell das Kind mit dem Bade ausgeschüttet. Sie deaktivieren die Sicherheitsmaßnahmen so lange, bis die Leistung akzeptabel ist. Doch das ist nicht die richtige Lösung. Es lässt sich ein Gleichgewicht finden, das sowohl dem Sicherheitsbedürfnis als auch den Leistungsanforderungen gerecht wird.

Bei der Anfrage können Sie ruhig eine Analyse und Überprüfung auf Protokollebene durchführen. Untersuchen Sie die Nutzdaten und suchen Sie nach Anzeichen für einen Angriff. Führen Sie signaturbasierte Scans zuerst und textbasierte Vergleiche danach durch. Signaturbasierte Scans verbessern, sofern möglich, die Leistung der Sicherheitsprüfung, da keine Analyse und kein Abgleich erforderlich sind. Es handelt sich lediglich um einen direkten Vergleich, der ziemlich schnell abläuft.

Bei der Antwort sollten Sie nicht der Versuchung erliegen, den Inhalt zu parsen und bis ins kleinste Detail zu untersuchen. Hier muss den Entwicklern ein gewisses Maß an Vertrauen entgegengebracht werden, dass das JSON korrekt formatiert ist oder das XML dem entsprechenden Schema entspricht. Seien wir ehrlich: Wenn hier ein Protokoll- oder Formatfehler vorliegt, wird der Benutzer ihn bemerken. Das ist Sache der Entwickler und stellt im Allgemeinen kein Sicherheitsrisiko dar.

Ein Sicherheitsrisiko stellt hingegen die Einbeziehung sensibler Daten dar – etwa Kreditkarten- oder Kontonummern, Sozialversicherungsnummern oder E-Mail-Adressen. Dabei handelt es sich um Zahlen und Daten mit klar definierten Mustern, nach denen schnell gesucht werden kann und die sich in den Daten unkenntlich machen lassen. Wie bei signaturbasierten Scans kommt auch hier ein Musterabgleich zum Einsatz, und Sicherheitsdienste sind inzwischen wirklich gut darin, diesen so schnell wie möglich durchzuführen.

Auch die Inhaltslänge sollten Sie nach Möglichkeit überprüfen. Einige aufsehenerregende Exploits ließen sich allein anhand der Menge der zurückgegebenen Inhalte erkennen. Wenn Sie wissen, dass eine bestimmte Anfrage nur etwa 1 KB an Daten zurückgeben sollte, müsste eine Antwort mit 4 KB wahrscheinlich irgendwo die Alarmglocken schrillen lassen. Diese einfache Prüfung nimmt deutlich weniger Zeit in Anspruch als das Parsen und Zählen von Datensätzen.

Eine gute Faustregel ist, bei Anfragen stets die Sicherheitsregel Null zu befolgen und alles zu überprüfen, was sich überprüfen lässt, sobald Benutzereingaben vorliegen. Achten Sie bei ausgehenden Daten auf Anzeichen für einen laufenden Sicherheitsvorfall und verschleiern Sie sensible Daten, aber verschwenden Sie keine Zeit damit, sich über Datenformate und die Einhaltung von Schemas Gedanken zu machen. Überlassen Sie es den Entwicklern, sich darum zu kümmern, ob sie die Antwort korrekt formatiert haben. Das fällt in deren Zuständigkeitsbereich, nicht in Ihren.

Sicherheit und Performance lassen sich in Einklang bringen, solange man nicht das eine für das andere opfert. Das gilt in beide Richtungen: Verzichten Sie nicht zugunsten der Performance auf Sicherheit, aber opfern Sie auch nicht die Performance für eine möglicherweise unnötige Absicherung.

Wenn Sie Sicherheitsmaßnahmen strategisch einsetzen, um Angriffe zu verhindern und Sicherheitsverletzungen zu erkennen, können Sie die nötige Balance zwischen Leistung, zufriedenen Nutzern sowie sicheren Daten und Anwendungen erreichen.

Über den Autor

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.

Weitere Blogbeiträge von Lori Mac Vittie