In den acht Jahren, seit wir erstmals die jährliche Studie veröffentlicht haben, aus der später der „State of Application Strategy Report“ hervorging, konnten wir beobachten, wie das Thema Sicherheit kontinuierlich an die Spitze des Technologie-Stacks für Anwendungssicherheit und Bereitstellungsdienste gerückt ist.
Verfügbarkeit als allgemeine Kategorie, die Technologien wie Lastverteilung, Caching und CDNs umfasst, genoss ungefähr so lange höchste Priorität, wie ein neu in Betrieb genommener Webserver im Jahr 2003 unbehelligt im Internet überlebte. Was, für alle, die es nicht wissen, nicht sehr lange war.
Sicherheit rückte fast augenblicklich an die Spitze der Prioritätenliste und steht dort seit etwa 2017 unangefochten.
Bis jetzt.
In diesem Jahr haben wir zum ersten Mal erlebt, dass ein Sicherheitsdienst, der nicht zu den Kerndiensten gehört, den Spitzenplatz unter den „am häufigsten eingesetzten“ Diensten belegt. Bei diesem Dienst handelt es sich um Identitätsmanagement.
Doch es geht nicht nur darum, dass Identitäts- und Zugriffsmanagement inzwischen zu den am häufigsten eingesetzten Technologien gehören. Unsere Forschung liefert zahlreiche Belege für eine deutliche Verlagerung hin zu identitätsbasierter Sicherheit.
Nehmen wir die API-Sicherheit. Ja, sie wird eingesetzt. Wir sind jedoch tiefer ins Detail gegangen und haben nach konkreten Schutzmaßnahmen gefragt, die die Befragten für sinnvoll hielten. Diese haben wir grob in drei Kategorien eingeteilt:
- Traditionell. Diese Schutzmaßnahmen leiten sich größtenteils von den webbasierten Schutzmechanismen ab, die seit Jahren in Web Application Firewalls enthalten sind. Dazu gehören Ratenbegrenzung, die OWASP Top Ten und natürlich Ver- und Entschlüsselung.
- Modern. Diese Schutzmaßnahmen sind in den vergangenen Jahren aufgekommen und haben sich zu einem wichtigen Sicherheitsfaktor für APIs entwickelt. Dazu gehören die Überprüfung von Nutzdaten (Inhalten), etwa auf Malware und schädliche Inhalte, sowie Authentifizierung und Autorisierung. Kleiner Spoiler: Das ist der Identitätsteil.
- Adaptiv. Adaptive Schutzmaßnahmen bilden eine neue Kategorie. Sie nutzen KI und maschinelles Lernen für Verhaltensanalysen, die zwischen menschlichen und nicht menschlichen Nutzern unterscheiden können. Diese Techniken bilden häufig die Grundlage für Dienste zum Schutz vor Betrug und Bots.
Wir fragten die Befragten, welche Schutzmaßnahmen aus dieser Liste sie für die „wertvollsten“ hielten. Die Ergebnisse zeigten ein hohes Maß an Sicherheitskompetenz, insbesondere bei denjenigen, die im vergangenen Jahr tatsächlich API-Schutzmaßnahmen implementiert hatten. Wie schon bei der Bereitstellung von Diensten stand auch hier die Identität an erster Stelle der wertvollsten Schutzmaßnahmen für APIs.
Vielversprechend ist der hohe Stellenwert, der adaptiven Methoden beigemessen wird. Angesichts der bereitwilligen Nutzung von KI und maschinellem Lernen zur Unterstützung von Sicherheitsdiensten ist das nicht weiter überraschend. In Anbetracht der Datenmengen und der Folgen eines unentdeckten Angriffs verwundert es nicht, dass die gesamte Branche auf fortschrittlichere und adaptive Sicherheitsmethoden setzt, um alles zu schützen – von der Infrastruktur über Anwendungen bis hin zum Unternehmen selbst.
Sowohl die Identitäts- als auch die Verhaltensanalyse sind wichtige Bestandteile einer umfassenden Sicherheitsstrategie. Dies gilt insbesondere für APIs, da sie für die digitale Wirtschaft eine immer wichtigere Rolle spielen. Auch die Überprüfung bleibt von zentraler Bedeutung, da sich viele Angriffe – insbesondere Malware und schädliche Inhalte – häufig leicht anhand einer eindeutigen Signatur erkennen lassen, die mit den Nutzdaten einer API-Transaktion abgeglichen werden kann. Die Geschwindigkeit der Erkennung ist ebenso wichtig wie die Zuverlässigkeit, mit der ein möglicher Angriff identifiziert wird. Die Überprüfung bleibt daher eine schnelle und zuverlässige Methode zur Erkennung schädlicher Inhalte.
Schließlich beobachten wir, dass infolge der durch COVID beschleunigten digitalen Transformation verstärkt identitätsbezogene Technologien eingesetzt werden. Wir haben die Befragten gefragt, welche Änderungen sie nach COVID an ihren Sicherheitsstrategien vorgenommen haben. Mehr als ein Viertel (26 %) hat eine Lösung gegen Credential Stuffing implementiert, und 34 % haben Frameworks für API-Sicherheit eingeführt.
Die erste Zahl ist für dieses Thema relevant, denn beim Credential Stuffing geht es darum, die Identität (Anmeldedaten) von Menschen in einer digitalen Welt zu schützen. Angesichts der enormen Zunahme digitaler Angebote für Unternehmen aller Art im Laufe der Pandemie ist es ermutigend zu sehen, dass zumindest einige ihre Verantwortung für den Schutz von Identitäten ernst nehmen.
Dies ist ein relativ schnelllebiger Trend im Sicherheitsbereich, und wir gehen davon aus, dass er sich weiter ausbreiten wird, da Unternehmen ihre Präsenz in der digitalen Wirtschaft weiter ausbauen. Die Bedeutung von APIs lässt darauf schließen, dass der „Nutzer“ von APIs genauer identifiziert werden muss – insbesondere angesichts ihrer wachsenden Bedeutung für die Automatisierung, Cloud-native-Anwendungsarchitekturen, digitale Ökosysteme und natürlich das IoT. Der Schutz von APIs in einer digitalen Wirtschaft ist nicht nur eine technologische, sondern auch eine geschäftliche Angelegenheit.
Der Trend zeigt aber auch, wie wichtig Identität in einer digitalen Welt ist und warum es nur bedingt überrascht, dass identitätsbezogene Dienste 2022 zu den am häufigsten eingesetzten Technologien für Anwendungssicherheit und -bereitstellung zählen.
Diese durch unsere Studie aufgezeigte Verlagerung hin zur Identität ist auch deshalb von Bedeutung, weil sich Zero Trust am Markt als grundlegender Sicherheitsansatz etabliert. 40 % der Befragten bezeichneten Zero Trust als den „spannendsten“ Trend beziehungsweise die „spannendste“ Technologie. Als Architekturmodell konzentriert sich Zero Trust auf die Absicherung und den Schutz von Anwendungen und Infrastruktur, indem Netzwerke mit sicheren Mikroperimetern konzipiert und Risiken durch die Einschränkung von Benutzerrechten und Zugriffsmöglichkeiten begrenzt werden.
Im Zentrum von Zero Trust steht eine einfache Frage: Wer sollte auf eine Ressource zugreifen dürfen? Die Beantwortung dieser Frage und die Durchsetzung der daraus resultierenden Richtlinien in Core-, Cloud- und Edge-Umgebungen sind zweifellos weitaus komplexer. Doch ohne Identität bricht der gesamte Ansatz in sich zusammen.
Ob Identität weiterhin im Fokus bleiben wird, bleibt abzuwarten. Da jedoch auch neue Trends wie Web3 der Identität als zentralem Grundbaustein große Bedeutung beimessen, gehen wir davon aus, dass die Verlagerung des Sicherheitsschwerpunkts hin zur Identität gerade erst begonnen hat.
Weitere Blogbeiträge bieten vertiefende Einblicke in ausgewählte Themen:
State of Application Strategy 2022: Acht Jahre Trends im Detail ›
State of Application Strategy 2022: Edge-Workloads werden auf Anwendungen und Daten ausgeweitet ›
State of Application Strategy 2022: Die Multi-Cloud-Komplexität bleibt bestehen ›
Stand der Anwendungsstrategie 2022: Performance-Trends ›
State of Application Strategy 2022: Zeit für die Modernisierung des IT-Betriebs ›
State of Application Strategy 2022: Die Zukunft der Unternehmen ist anpassungsfähig ›
Über den Autor
Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.
Weitere Blogbeiträge von Lori Mac VittieÄhnliche Blogbeiträge
Ein umfassender Leitfaden zur Bereitstellung und Sicherheit von KI-Anwendungen
Entdecken Sie optimale Strategien für die Absicherung und Bereitstellung von KI-Anwendungen.
KI zulassen und einführen? Lehren aus der Public Cloud
Die Einführung von KI steht unmittelbar bevor und könnte entscheidend sein, um wettbewerbsfähig zu bleiben. Daher muss die IT-Sicherheit proaktiv handeln und der KI-Einführung schon jetzt einen Schritt voraus sein, um sie auf einen risikogerechten Weg zu lenken.
Stand der Anwendungsstrategie 2022: Zeit für die Modernisierung des Betriebs
Es ist deutlich geworden, dass Unternehmen ihren Fokus erneut auf die Geschäftsfunktionen richten müssen, um die Dynamik ihrer digitalen Transformation aufrechtzuerhalten. Kundenerlebnisse haben zwar weiterhin Priorität, doch auch Geschäftsfunktionen wie Recht, Personalwesen und Finanzen müssen digitalisiert werden. Das bedeutet, dass CIOs das Steuer übernehmen, während sich die digitale Transformation von der Modernisierung von Anwendungen hin zur Modernisierung von Betriebsabläufen verlagert.
F5s Weg zu einer vielseitigen Plattform für Anwendungsanalysen
F5 bietet heute die umfassendsten Anwendungsdienste entlang des gesamten Weges vom Code bis zum Kunden. Künftig werden wir verstärkt auf Anwendungstelemetrie und -analysen setzen, damit unsere Kunden wertvolle Erkenntnisse über ihre Anwendungen, Geschäftsabläufe und Benutzererlebnisse gewinnen können. Beim Ausbau unserer Cloud-Analysefunktionen werden wir ML und KI noch stärker nutzen, um unsere Kunden bei der Verbesserung ihrer Geschäftsdienste zu unterstützen.
Telemetrie: Eine andere Art von Daten
Verwenden wir den Begriff „Telemetrie“ nur, weil er attraktiver klingt als „Daten“? Letztlich sind sowohl Daten als auch Telemetrie strukturierte Informationseinheiten. Es ist kein Verbrechen, die Begriffe synonym zu verwenden. Doch wenn man es genau nimmt, gibt es einen Unterschied. Und dieser Unterschied wird immer wichtiger werden, je weiter Unternehmen in die Datenökonomie vordringen.
MTTR bedeutet nicht „Mean Time to Reboot“
„Schnell scheitern“ lautet heute das Mantra für mehr Geschwindigkeit. Ob in DevOps oder im Geschäftsleben: Wer in einer digitalen Wirtschaft agiert, muss eine möglichst perfekte Verfügbarkeit gewährleisten.