Da Unternehmen ihre Abläufe zunehmend in die Cloud verlagern, ist es wichtiger denn je, robuste Sicherheitskontrollen für Anwendungen zu implementieren, die den besonderen Herausforderungen dieser Umgebung und der sich wandelnden Bedrohungslandschaft gerecht werden. Eine solche Herausforderung besteht beispielsweise darin, dass Schwachstellen und Sicherheitsverletzungen nicht schnell genug behoben werden.
Der F5 State of Application Strategy Report 2024 ergab, dass 50 % der Befragten der Ansicht waren, dass „es zu lange dauert, Patches und Updates auf allen betroffenen Systemen bzw. in der gesamten betroffenen Software bereitzustellen, und dass es an Tools oder Prozessen mangelt, um schnell auf Zero-Day-Angriffe zu reagieren“. Daher überrascht es nicht, dass „Geschwindigkeit“ der wichtigste Vorteil von Security-as-a-Service ist, wenn es darum geht, die Sicherheit und Funktionsfähigkeit von Anwendungen zu gewährleisten.
SecureIQLab hat kürzlich seinen „2024 Cloud WAAP CyberRisk Validation Report“ veröffentlicht und zahlreiche Anbieter in den Bereichen Web Application Firewall und API-Sicherheit bewertet, darunter F5 Distributed Cloud Web Application and API Protection (WAAP).
Testverfahren von SecureIQLab
Sie testeten gezielt die Sicherheitswirksamkeit, die betriebliche Effizienz und die Vermeidung von Fehlalarmen und hoben die wichtigsten Alleinstellungsmerkmale der einzelnen Technologieanbieter hervor. SecureIQLab testete cloudbasierte WAAP-Lösungen, indem Anwendungen und APIs 3.500 Angriffen auf Basis von Branchen-Frameworks wie OWASP Top 10 und MITRE ATT&CK ausgesetzt wurden. Sie validierten 80 Funktionen dieser WAAP-Lösungen, darunter Bereitstellung, Verwaltung und Skalierbarkeit, und setzten damit einen neuen Standard für die Cybersicherheitsvalidierung nach AMTSO-Standards.
Das Ergebnis: F5 Distributed Cloud WAAP besteht mit voller Punktzahl
F5 Distributed Cloud Web Application and API Protection (WAAP) erhält als einer von sieben Anbietern, die die WAAP-Schwachstellenbewertung mit voller Punktzahl bestanden haben, die Bewertung „Secure by Design“ von SecureIQLab. Die Lösung erzielt sowohl bei der Sicherheitswirksamkeit als auch bei der betrieblichen Effizienz hohe Bewertungen und erreicht:
- Gesamtsicherheitsbewertung von 98,54 % (unter den beiden Bestplatzierten)
- Bewertung der betrieblichen Effizienz: 93 % (unter den drei Bestplatzierten)
- 99,37 – Bestnote für WAF OWASP ohne Fehlalarme
Für jeden der wichtigsten bewerteten Sicherheitsbereiche werden weitere Einblicke in die Testkriterien gegeben:
API-Schutz
APIs sind ähnlichen Angriffen ausgesetzt wie Webanwendungen, da sie dieselben Schwachstellen aufweisen, etwa Injection-Schwachstellen, Authentifizierungsprobleme und Risiken einer Offenlegung von Daten aufgrund unzureichender Eingabevalidierung und unzulänglicher Sicherheitsmaßnahmen. Im API-Sicherheitstest wurde untersucht, wie wirksam F5 Distributed Cloud API Security unbefugten Zugriff auf sensible Daten über sechs API-Protokolle hinweg verhindert. Dazu wurden mehr als 70 Angriffe aus den 2023 OWASP API Security Top 10 eingesetzt. Die Bewertungen basierten auf dem prozentualen Sicherheitswirkungsgrad und reichten von 1 bis 5, was unterschiedliche Schutzniveaus widerspiegelt. Die Ergebnisse dienen als Referenzwert für die API-Sicherheitsstandards der WAAP-Branche. Der Bericht hebt den überdurchschnittlichen OWASP-API-Schutz von F5 hervor.
Bot-Abwehr
Die Fachexperten und Data Scientists von F5 untersuchen kontinuierlich die Tools von Angreifern sowie Verhaltens- und Umgebungssignale und nutzen fortschrittliches ML, um Anpassungen der Angreifer schnell zu erkennen und aktualisierte Modelle bereitzustellen, die Angriffe in Echtzeit abwehren. F5 Distributed Cloud Bot Defense wurde anhand von fünf Arten von Bot-Angriffen getestet, darunter zwei von OWASP, die von Standorten in Asien und Nordamerika ausgingen. Dabei zeigte sich, dass die Geolokalisierung keinen Einfluss auf die Sicherheitseffektivität des Produkts hat; die Bewertungen für Bot-Angriffe reichten von 0 % bis 100 %. F5 erzielte beim Bot-Schutz die volle Punktzahl und schnitt deutlich besser ab als der Gruppendurchschnitt.
DDoS-Abwehr
Distributed-Denial-of-Service-Angriffe (DDoS) auf Layer 7 und Denial-of-Service-Angriffe (DoS) auf Layer 7, die gültige TCP-Verbindungen nutzen, stellen eine Herausforderung für die Erkennung dar. Bei Tests von F5 Distributed Cloud DDoS Mitigation gegen zwei DDoS-Angriffe auf Layer 7 und fünf DoS-Angriffe auf Layer 7 wurden Ergebnisse zwischen 57 % und 100 % erzielt.
Operative Resilienz
F5 Distributed Cloud WAAP wurde außerdem anhand von 103 Resilienztestfällen mit drei unterschiedlichen Angriffsvektoren auf seine operative Resilienz getestet. Ziel war es, unbekannte Angriffe zu blockieren. Der Resilienz-Score, der den prozentualen Anteil der blockierten Angriffe an der Gesamtzahl der Angriffe angibt, lag zwischen 54,9 % und 99,3 %. Dies belegt die Fähigkeit der Lösung, verschiedenen Angriffsvarianten standzuhalten und sie abzufangen. F5 erzielte mit einer Blockierungsrate von 99,3 % gemeinsam mit einem anderen Anbieter den höchsten Wert und schnitt deutlich besser als der Durchschnitt ab.
Inhärente Sicherheit
SecureIQLab bewertete die Sicherheit des Cloud-WAAP-Produkts, um sicherzustellen, dass es die Angriffsfläche geschützter Umgebungen nicht vergrößert und seine Berechtigungen nicht ausgenutzt werden können. F5 Distributed Cloud WAAP wurde anhand von 11 Verfahren zur Schwachstellenbewertung getestet. Sieben der 12 WAAP-Lösungen (einschließlich F5) erzielten bei der WAAP-Schwachstellenbewertung die perfekte Punktzahl von 100 %. Aufgrund dieser Punktzahl von 100 % bei der WAAP-Schwachstellenbewertung stuft SecureIQLab F5 als „Secure by Design“ ein.
Betriebliche Effizienz
Betriebliche Effizienz ist für die effektive Bereitstellung und Verwaltung von WAAP-Lösungen von entscheidender Bedeutung, da sie einen minimalen Ressourcenbedarf und geringe Betriebskosten gewährleistet. SecureIQLab hat die betriebliche Effizienz der WAF- und API-Sicherheit in verschiedenen Bereichen validiert. Dabei kam ein auf den Funktionsmerkmalen basierendes Bewertungssystem zum Einsatz, das umfassende Bewertungen für jede Kategorie liefert und Unternehmen bei der Auswahl von Lösungen unterstützt, die die Sicherheit optimieren, ohne Geschäftsabläufe zu beeinträchtigen. SecureIQLab hebt hervor, dass F5 beim API-Betrieb eine überdurchschnittliche betriebliche Effizienz aufweist und in zwei von sieben Kategorien die volle Punktzahl erreicht.
Vermeidung von Fehlalarmen
WAAP-Lösungen müssen wirksam zwischen legitimen Geschäftstransaktionen und böswilligen Aktivitäten unterscheiden, um Fehlalarme zu vermeiden, die den Geschäftsbetrieb beeinträchtigen können. Die KI/ML-basierte Erkennung böswilliger Benutzer von F5 ermöglicht eine dynamische Risikobewertung und Einstufung potenzieller Bedrohungen anhand verhaltens- und signaturbasierter Merkmale. Anhand von Tests mit mehr als 6.500 Fehlalarmfällen, die normales Benutzerverhalten simulierten, wurde F5 Distributed Cloud WAAP hinsichtlich seiner Fähigkeit bewertet, harmlosen Datenverkehr präzise von Bedrohungen zu unterscheiden. Höhere Werte bei der Fehlalarmvermeidung weisen dabei auf geringere Auswirkungen auf die betriebliche Effizienz hin.
Zum Schutz heutiger Hybridumgebungen entwickelt
Unternehmen benötigen umfassende Anwendungssicherheit, die ihren spezifischen Anforderungen entspricht – unabhängig davon, wo ihre Anwendungen und APIs gehostet werden oder sich ihre Benutzer befinden. Das hybride SaaS-Bereitstellungsmodell von F5 unterstützt sowohl interne als auch öffentlich zugängliche Anwendungen und ermöglicht eine erweiterte Bereitstellung in Private-Cloud- und lokalen Umgebungen. Die WAAP-Lösung von F5 Distributed Cloud umfasst eine WAF mit KI-/ML-basierter Erkennung böswilliger Benutzer, integrierter API-Erkennung und -Sicherheit sowie DDoS- und Bot-Abwehr und ermöglicht so einen umfassenden, zentral verwalteten Schutz von Webanwendungen und APIs. Angesichts der Vielzahl der auf dem Markt verfügbaren Lösungen für Anwendungssicherheit hilft der SecureIQLab-Bericht dabei, Lösungen mit hoher Wirksamkeit und einer geringeren Anzahl falsch positiver Ergebnisse zu identifizieren. Damit erhalten Kunden klare Orientierung dazu, welche Anbieter sie bei der Bewertung potenzieller Lösungen berücksichtigen sollten, um ihre allgemeine Anwendungssicherheit zu verbessern.
Weitere Informationen finden Sie, wenn Sie den Bericht hier herunterladen oder F5 kontaktieren, um mehr darüber zu erfahren, wie F5 Distributed Cloud WAAP Ihrem Unternehmen zugutekommen kann.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...