Minderung architektonischer Risiken

Wenn Unternehmen ihre Applications auf Cloud-native Infrastrukturen migrieren und erweitern, gehen sie damit Risiken ein. Laut dem State of Application Strategy Report von F5 verwalten 88 % der Unternehmen weiterhin eine Mischung aus modernen und älteren Applications. Tatsächlich verfügen viele Unternehmen über einen Application , der sich über mehrere Architekturgenerationen erstreckt . Um diese veralteten und modernen Apps in Hybrid- und Multi-Cloud-Umgebungen zu sichern, implementieren und optimieren Unternehmen ständig zahlreiche Sicherheitskontrollen. Da Applications nur so sicher sind wie die Infrastruktur, auf der sie ausgeführt werden, muss die Sicherheit auf den gesamten Architektur-Stack ausgedehnt werden, von Apps und APIs bis hin zur zugrunde liegenden Cloud-native-Infrastruktur.

Herkömmliche Sicherheitskontrollen sind nicht darauf ausgelegt, dynamische und stark verteilte Architekturen zu schützen. Den Organisationen mangelt es an Transparenz und Kontrolle, um die Vielzahl von Sicherheitsbedrohungen zu identifizieren, die durch eine einzige koordinierte Angriffskampagne entstehen können. Unternehmen verlassen sich darauf, dass ihre Cloud-Infrastrukturanbieter diese Lücke schließen, doch die verschiedenen Cloud-Anbieter verfügen über unterschiedliche Verantwortungsmodelle, Sicherheitsvorkehrungen und Cloud-native Tools. Darüber hinaus werden durch die Verlagerung von Apps in die Cloud keine Risiken beseitigt und möglicherweise nicht einmal die Komplexität reduziert. In Wirklichkeit wird sich die Risikofläche für eine heterogene Umgebung, die das Rechenzentrum und mehrere Cloud-Anbieter umfasst, höchstwahrscheinlich erweitern, da es der Cloud-nativen Infrastruktur oft an ausreichender Beobachtung und Sicherheit mangelt. Dadurch entstehen erhebliche blinde Flecken und Möglichkeiten für Angreifer, die aufgrund inkonsistenter Sicherheitshaltungen zu Ausfallzeiten, Störungen und Sicherheitsvorfällen führen können.

Es lässt sich nicht vermeiden, dass Schwachstellen weiterhin ausgenutzt werden, da böswillige Akteure ihre Angriffsarsenale und Spielpläne ständig weiterentwickeln. Die ausgedehnte Bedrohungsfläche lässt sich mit einem einzigen Tool nicht vollständig eindämmen, nicht einmal mit einer Web Application Firewall (WAF). Komplexe Software-Lieferketten, die Verbreitung von Open-Source-Software und die Automatisierung über CI/CD-Pipelines bringen unvorhergesehene Risiken mit sich. Eine frühzeitige Erkennung und Behebung sind daher für den wirksamen Schutz von Webanwendungen und APIs von entscheidender Bedeutung.

Beispielsweise kann die berüchtigte log4j2- Sicherheitslücke auf verschiedene Weise ausgenutzt werden, was die Behebung erschwert, insbesondere wenn sich die potenzielle Gefährdung auf Komponenten in mehreren Clouds erstreckt. Um die Behebung der Probleme zu beschleunigen, sind Indikatoren für Schwachstellen und die Integration zwischen der Eingangstür (Apps), den Fenstern (APIs) und dem Fundament (Infrastruktur) des digitalen Hauses erforderlich. Durch die Ausweitung des Web-App- und API-Schutzes (WAAP) zur Sicherung cloudnativer Infrastrukturen und Workloads können Bedrohungen eingedämmt werden, indem anfällige Komponenten und potenziell bösartiges Verhalten in Echtzeit erkannt werden. Dies liefert wichtige Erkenntnisse für Sicherheitskontrollen wie eine WAF, wo die Richtlinien zum Schutz kritischer Application aktualisiert werden können. Die Log4j2- Sicherheitslücke dient Sicherheitsverantwortlichen als Warnung vor den Risiken einer unhaltbaren Komplexität und der bevorstehenden verheerenden Angriffe. Für Unternehmen ist sie jedoch auch eine Gelegenheit, ihre Sicherheitslage zu überprüfen und eine umfassende Sicherheitsstrategie umzusetzen, die einen robusten Schutz der Infrastruktur umfasst.

Für den erfolgreichen Betrieb und die Sicherung modernisierter Applications ist eine umfassende Beobachtung der gesamten, zunehmend dezentralisierten und verteilten Architektur erforderlich, um einen umfassenden Überblick über die Bedrohungen sowohl auf Application als auch auf Infrastrukturebene zu erhalten.