Was ist OWASP? Einführung in die OWASP Top 10 der Schwachstellen und Risiken

OWASP ist eine gemeinnützige Stiftung, die sich für die Verbesserung der Softwaresicherheit einsetzt.

OWASP (Open Worldwide Application Security Project) ist eine offene Community, die Organisationen dabei unterstützt, Software für sichere und vertrauenswürdige Anwendungen zu konzipieren, zu entwickeln, zu beschaffen, zu betreiben und zu warten. Zu ihren Programmen gehören von der Community geleitete Open-Source-Softwareprojekte sowie lokale und globale Konferenzen. Weltweit sind Hunderte Ortsgruppen mit Zehntausenden Mitgliedern beteiligt.

Warum ist OWASP wichtig?

OWASP spielt eine entscheidende Rolle bei der Sensibilisierung für Sicherheitsrisiken bei Webanwendungen und stellt wertvolle Ressourcen, Tools, Dokumentationen und Best Practices bereit, um den wachsenden Herausforderungen im Bereich der Webanwendungssicherheit zu begegnen. OWASP hilft Entwicklern, Sicherheitsexperten und Organisationen, potenzielle Bedrohungen zu verstehen und bewährte Sicherheitspraktiken umzusetzen.

OWASP führt eine Liste der zehn kritischsten Sicherheitsrisiken für Webanwendungen sowie wirksamer Prozesse, Verfahren und Kontrollen zu deren Eindämmung. OWASP stellt außerdem eine Liste der Top 10 der API-Sicherheitsrisiken bereit, um an der Entwicklung und Wartung von APIs beteiligte Personen zu informieren und das Bewusstsein für häufige API-Sicherheitslücken zu schärfen.

Die OWASP-Community ermutigt Einzelpersonen und Organisationen, zu ihren Projekten und Ressourcen beizutragen. Dieser gemeinschaftliche und umfragebasierte Ansatz ermöglicht es der Community, das gebündelte Wissen und die Fachkompetenz ihrer Mitglieder zu nutzen und so umfassende und aktuelle Ressourcen bereitzustellen.

Es gibt Sicherheitsrisiken, die sowohl Apps als auch APIs betreffen und bei der Implementierung von Sicherheitslösungen berücksichtigt werden sollten. Zum Beispiel:

Schwache Authentifizierungs-/Autorisierungskontrollen
Fehlkonfiguration
Missbrauch der Geschäftslogik (Credential Stuffing, Kontoübernahme)
Server-Side Request Forgery (SSRF).

OWASP Top 10 der Sicherheitsrisiken für Anwendungen

Die OWASP Top 10 sind eine weithin anerkannte Liste der kritischsten Sicherheitsrisiken für Webanwendungen. Die Liste dient Entwicklern, Sicherheitsexperten und Organisationen als Leitfaden, um ihre Anstrengungen zur Identifizierung und Eindämmung kritischer Sicherheitsrisiken für Webanwendungen zu priorisieren.

Die Aufnahme eines Risikos in die OWASP Top 10-Liste bedeutet nicht zwangsläufig, dass es in allen Webanwendungen weitverbreitet oder schwerwiegend ist. Zudem sind die Top Ten weder in einer bestimmten Reihenfolge noch nach Priorität geordnet.

Die OWASP Top 10 der Sicherheitsrisiken für Webanwendungen im Jahr 2021 sind:

Fehlerhafte Zugriffskontrollen. Diese Schwachstelle entsteht, wenn Zugriffskontrollen und Berechtigungen unzureichend durchgesetzt werden und Angreifer dadurch auf nicht autorisierte Funktionen oder Daten zugreifen können. Eine mögliche Ursache sind unsichere direkte Objektreferenzen (IDORs). Diese können auftreten, wenn eine Anwendung Benutzereingaben, die als direkte Referenz auf ein internes Objekt verwendet werden, nicht validiert oder autorisiert. Eine weitere Ursache können fehlende Zugriffskontrollen auf Funktionsebene sein. Dabei überprüft die Anwendung die Zugriffskontrollen nur bei der anfänglichen Authentifizierung oder Autorisierung, setzt sie jedoch nicht durchgängig in allen Funktionen oder Vorgängen der Anwendung durch. Eine Web Application Firewall (WAF) kann zum Schutz vor diesen Angriffen beitragen, indem sie Zugriffskontrollen überwacht und durchsetzt, um unbefugten Zugriff auf sensible Objekte oder Ressourcen zu verhindern.
Kryptografische Fehler. Dieses Risiko entsteht durch den unzureichenden Schutz sensibler Daten während der Übertragung und im Ruhezustand. Kryptografische Fehler können zu Datenschutzverletzungen, unbefugtem Zugriff auf vertrauliche Informationen und zur Nichteinhaltung von Datenschutzvorschriften wie der Datenschutz-Grundverordnung der EU (DSGVO) sowie von Finanzstandards wie dem Payment Card Industry Data Security Standard (PCI DSS) führen. Diese Fehler können durch unsichere kryptografische Speicherung, die Speicherung von Daten im Klartext oder eine unsichere Schlüsselverwaltung verursacht werden. Das Risiko kann auch durch die Offenlegung von Informationen entstehen, die auf eine schwache Schlüssel- oder Zufallszahlengenerierung oder auf Schwachstellen in kryptografischen Protokollen zurückzuführen sein kann.
Injection-Angriffe. Injection-Schwachstellen treten auf, wenn Angreifer nicht vertrauenswürdige oder schädliche Daten in Befehls- oder Abfragesprachen einschleusen oder wenn vom Benutzer bereitgestellte Daten von der Anwendung nicht validiert, gefiltert oder bereinigt werden, was zur unbeabsichtigten Ausführung schädlicher Befehle führt. Diese Risikokategorie umfasst NoSQL-, Betriebssystembefehls- und LDAP-Injection sowie SQL-Injection-Angriffe, und schließt außerdem Cross-Site-Scripting (XSS) ein, bei dem Angreifer schädliche clientseitige Skripte wie JavaScript in Webseiten einschleusen, die von anderen Benutzern aufgerufen werden. Dies kann zum Diebstahl vertraulicher Informationen wie Anmeldedaten, personenbezogener Daten oder Sitzungscookies führen. Eine WAF kann dazu beitragen, Versuche zur Einschleusung schädlichen Codes zu erkennen und zu blockieren, indem sie eingehende Anfragen überprüft und filtert. Dazu gehören reflektiertes (nicht persistentes), gespeichertes (persistentes) und auf dem Document Object Model (DOM) basierendes XSS. So wird verhindert, dass diese Angriffe die Anwendung erreichen.
Unsicheres Design. Dies ist eine weit gefasste Kategorie, die verschiedene Schwachstellen umfasst, die sich in fehlenden oder unwirksamen Sicherheitskontrollen und Architekturfehlern äußern. Diese Fehler können auftreten, wenn eine Anwendung so konzipiert ist, dass sie auf inhärent unsicheren Prozessen beruht, oder wenn erforderliche Sicherheitskontrollen zum Schutz vor bestimmten Angriffen nicht implementiert werden. Diese Risiken lassen sich durch den verstärkten Einsatz von Bedrohungsmodellierung, sicheren Entwurfsmustern und Referenzarchitekturen verringern.
Sicherheitsfehlkonfigurationen. Eine unzureichende Absicherung von Webanwendungs-Frameworks, Plattformen, Servern oder Sicherheitskontrollen kann zu unbefugtem Zugriff, zur Offenlegung vertraulicher Informationen oder zu anderen Sicherheitslücken führen. Risiken durch Sicherheitsfehlkonfigurationen können auch aus falsch konfigurierten Berechtigungen für Cloud-Dienste oder aus der Installation bzw. Aktivierung unnötiger Funktionen wie ungenutzter Ports, Dienste, Konten oder Berechtigungen resultieren. Fehlkonfigurationen sowohl bei Webanwendungen als auch bei APIs stellen ein erhebliches Risiko dar, da die großen Cloud-Anbieter unterschiedliche Standardsicherheitskonfigurationen verwenden und Architekturen zunehmend dezentralisiert und über eine Multi-Cloud-Infrastruktur verteilt werden.
Anfällige und veraltete Komponenten. Die Verwendung veralteter, nicht gepatchter oder anfälliger Komponenten wie Bibliotheken, Frameworks oder Plug-ins kann Anwendungen bekannten Sicherheitslücken aussetzen und so das Risiko einer Ausnutzung erhöhen. Diese Risiken können durch nicht mehr unterstützte oder veraltete Software entstehen, darunter das Betriebssystem (OS), Web-/Anwendungsserver, Datenbankmanagementsysteme (DBMS), Anwendungen, APIs sowie sämtliche Komponenten, Laufzeitumgebungen und Bibliotheken. Besonders gefährlich sind diese Bedrohungen, wenn Unternehmen keine zeitnahen, risikobasierten Maßnahmen zur Fehlerbehebung oder Aktualisierung der zugrunde liegenden Plattform, Frameworks und Abhängigkeiten eines Systems ergreifen. Dadurch bleibt das System über Tage oder Wochen hinweg unnötig bekannten Risiken ausgesetzt. Komplexe Softwarelieferketten und die Automatisierung über CI/CD-Pipelines erhöhen das Risiko, dass anfällige Software in den IT-Stack gelangt. Eine WAF kann als wichtige Übergangslösung dienen, um vor der Ausnutzung von Sicherheitslücken zu schützen.
Fehler bei der Identifizierung und Authentifizierung. Schwachstellen bei der Authentifizierung sowie beim Identitäts- und Sitzungsmanagement können es Angreifern ermöglichen, Benutzerkonten, Passwörter oder Sitzungstoken zu kompromittieren oder eine unsichere Sitzungsverwaltung auszunutzen. Fehler in diesen Bereichen können automatisierte Angriffe ermöglichen, beispielsweise Credential Stuffing. Passwortbezogene Schwachstellen sind die häufigste Ursache für diese Risiken, da viele Menschen Passwörter mehrfach verwenden oder auf standardmäßige, schwache oder allgemein bekannte Passwörter zurückgreifen. Probleme beim Sitzungsmanagement können ebenfalls zu authentifizierungsbezogenen Angriffen führen, insbesondere wenn Benutzersitzungen oder Authentifizierungstoken bei der Abmeldung oder nach einer gewissen Zeit der Inaktivität nicht ordnungsgemäß ungültig gemacht werden. Angriffe, die Authentifizierungskontrollen umgehen, stellen sowohl für Webanwendungen als auch für APIs ein zunehmendes Risiko dar, wie in den Projekten OWASP Top 10, API Security Top 10 und Automated Threats beschrieben.
Fehler bei der Software- und Datenintegrität. Diese Schwachstellen entstehen durch Anwendungscode und Infrastrukturen, die Daten und Software nicht vor Integritätsverletzungen schützen. Dies kann der Fall sein, wenn eine Anwendung auf Plug-ins, Bibliotheken oder Module aus nicht vertrauenswürdigen Quellen, Repositorys und CDNs zurückgreift. Auch bei nicht validierten Softwareupdates, Änderungen an sensiblen Daten und Änderungen an CI/CD-Pipelines können solche Schwachstellen auftreten. Angreifer können unter Umständen eigene Updates hochladen, die anschließend verteilt und auf allen Installationen ausgeführt werden. Auch die unsichere Deserialisierung, bei der eine Anwendung nicht vertrauenswürdige serialisierte Daten übernimmt und verarbeitet, ohne deren Gültigkeit sicherzustellen, gehört zu dieser Risikokategorie und ermöglicht Angriffe wie die Ausführung von Remotecode (RCE) und die Ausweitung von Berechtigungen.
Fehler bei der Sicherheitsprotokollierung und -überwachung. Eine unzureichende Protokollierung und Überwachung kann die rechtzeitige Erkennung von und Reaktion auf Sicherheitsvorfälle erschweren, sodass Angriffe oder unbefugte Aktivitäten nur schwer erkannt und eingedämmt werden können. Dies kann bedeuten, dass prüfbare Ereignisse wie Anmeldungen, fehlgeschlagene Anmeldeversuche und Transaktionen mit hohem Wert weder erkannt noch protokolliert werden und dass Anwendungen laufende Angriffe nicht in Echtzeit erkennen.
Server-Side Request Forgery (SSRF). Diese Schwachstellen treten auf, wenn eine Anwendung eine von einem Benutzer eingegebene URL nicht validiert oder bereinigt, bevor sie Daten von einer entfernten Ressource abruft. Angreifer können diese Schwachstellen ausnutzen, um Anwendungen zum Zugriff auf schädliche Webziele zu zwingen, selbst wenn sie durch eine Firewall oder andere Schutzmaßnahmen geschützt sind. Solche Angriffe können auch auftreten, wenn die angegriffene Ressource Vertrauensbeziehungen zu anderen Systemen unterhält, etwa zu einem Cloud-Metadatendienst oder zu Backend-APIs. Dadurch kann ein Angreifer Anfragen an diese vertrauenswürdigen Dienste stellen und vertrauliche Informationen extrahieren oder unbefugte Aktionen ausführen. Um SSRF einzudämmen, sollten Sie Systeme nach dem Prinzip der geringsten Rechte konzipieren und eine WAF verwenden, um die Parameter des Uniform Resource Identifier (URI) in Ihrer Sicherheitsrichtlinie explizit zu definieren und Hosts, die darauf zugreifen dürfen, gezielt zuzulassen bzw. zu sperren.

Die OWASP Top 10 von 2021 enthalten einige neue Kategorien und geänderte Bezeichnungen gegenüber den vorherigen OWASP Top 10 von 2017. Zu diesen Änderungen gehörten die Aufnahme der 2017 aufgeführten Bedrohung durch XML External Entities (XXE) in die Kategorie „Security Misconfiguration“ von 2021 sowie die Aufnahme von Cross-Site Scripting (XSS) aus dem Jahr 2017 in die Kategorie „Injection“ von 2021. Das 2017 aufgeführte Risiko „Insecure Deserialization“ ist nun Teil der Kategorie „Software and Data Integrity Failures“ von 2021.

Weitere OWASP-Publikationen

OWASP fördert derzeit 293 Projekte, darunter die folgenden 16 OWASP-Flagship-Projekte, die für OWASP und die Anwendungssicherheit insgesamt von strategischem Wert sind.

OWASP Amass Project, das ein Tool entwickelt hat, mit dem Fachleute für Informationssicherheit Angriffsflächen kartieren und externe Ressourcen mithilfe von Open-Source-Informationsbeschaffung und aktiven Aufklärungstechniken ermitteln können.
OWASP Application Security Verification Standard Project (ASVS), das eine Grundlage für die Prüfung technischer Sicherheitskontrollen von Webanwendungen bietet und Entwicklern zudem eine Liste von Anforderungen für eine sichere Entwicklung zur Verfügung stellt.
OWASP Cheat Sheet Series, die erstellt wurde, um Anwendungsentwicklern und Sicherheitsexperten eine Reihe leicht verständlicher Leitfäden mit bewährten Vorgehensweisen an die Hand zu geben. Statt sich auf detaillierte Best Practices zu konzentrieren, die für viele Entwickler und Anwendungen nicht praktikabel sind, sollen diese Leitfäden bewährte Vorgehensweisen vermitteln, die die Mehrheit der Entwickler tatsächlich umsetzen kann.
OWASP CycloneDX, ein Full-Stack-Standard für Stücklisten (Bill of Materials, BOM), der erweiterte Funktionen für die Lieferkette zur Reduzierung von Cyberrisiken bietet.
OWASP Defectdojo, ein Open-Source-Tool für das Schwachstellenmanagement, das den Testprozess durch Vorlagen, Berichtserstellung, Metriken und grundlegende Self-Service-Tools optimiert.
OWASP Dependency-Check, ein Tool zur Software Composition Analysis (SCA), das versucht, öffentlich bekannt gegebene Schwachstellen in den Abhängigkeiten eines Projekts zu erkennen. Dazu ermittelt es, ob für eine bestimmte Abhängigkeit eine Common-Platform-Enumeration-Kennung (CPE) vorhanden ist. Wird eine solche gefunden, erstellt das Tool einen Bericht mit einem Link zu den zugehörigen Common-Vulnerabilities-and-Exposures-Einträgen (CVE).
OWASP Dependency-Track, eine intelligente Plattform zur Komponentenanalyse, mit der Unternehmen Risiken in der Software-Lieferkette erkennen und reduzieren können.
OWASP Juice Shop, die wohl modernste und ausgefeilteste unsichere Webanwendung, die für Sicherheitsschulungen, Sensibilisierungsdemonstrationen und Capture-the-Flag-Wettbewerbe sowie als Versuchskaninchen für Sicherheitstools eingesetzt wird. Juice Shop umfasst Schwachstellen aus den gesamten OWASP Top Ten sowie viele weitere Sicherheitslücken, die in realen Anwendungen vorkommen.
OWASP Mobile Application Security, das Vorzeigeprojekt von OWASP zur Bereitstellung eines Sicherheitsstandards für mobile Apps. Es umfasst außerdem einen umfassenden Testleitfaden, der die bei Sicherheitstests mobiler Apps eingesetzten Prozesse, Techniken und Tools abdeckt, sowie eine vollständige Sammlung von Testfällen, mit denen Tester konsistente und umfassende Ergebnisse erzielen können.
OWASP ModSecurity Core Rule Set, ein Satz allgemeiner Regeln zur Angriffserkennung für den Einsatz mit ModSecurity oder kompatiblen Web Application Firewalls. Das CRS soll Webanwendungen mit möglichst wenigen Fehlalarmen vor einer Vielzahl von Angriffen schützen, darunter auch die OWASP Top Ten.
OWASP Project OWTF (Offensive Web Testing Framework), ein Open-Source-Framework für Penetrationstests von Webanwendungen, das zur Bewertung und Überprüfung der Sicherheit von Webanwendungen entwickelt wurde. Das Hauptziel von OWTF besteht darin, Sicherheitsexperten und Penetrationstestern dabei zu helfen, die Untersuchung und Überprüfung von Webanwendungen auf Schwachstellen zu automatisieren, damit sie Sicherheitslücken effektiver erkennen und beheben können.
OWASP SAMM (Software Assurance Maturity Model) bietet eine effektive und messbare Möglichkeit, die Modellierung des sicheren Softwareentwicklungslebenszyklus zu analysieren und zu verbessern. SAMM unterstützt den gesamten Softwarelebenszyklus und ist technologie- und prozessunabhängig.
OWASP Security Knowledge Framework, eine Webanwendung, die Prinzipien der sicheren Programmierung in mehreren Programmiersprachen erläutert und Entwickler dabei unterstützen soll, Anwendungen zu entwickeln, die von Grund auf sicher konzipiert sind.
OWASP Security Shepherd, eine Schulungsplattform für die Sicherheit von Web- und Mobilanwendungen, die darauf ausgelegt ist, das Sicherheitsbewusstsein von Menschen mit unterschiedlichen Kenntnissen zu fördern und zu verbessern. Ziel dieses Projekts ist es, AppSec-Einsteiger und erfahrene Entwickler dabei zu unterstützen, ihre Fähigkeiten im Bereich Penetrationstests bis hin zum Expertenniveau auszubauen.
OWASP Web Security Testing Guide, ein umfassender Leitfaden zum Testen der Sicherheit von Webanwendungen und Webdiensten. Er bietet einen Rahmen mit bewährten Verfahren, die von Penetrationstestern und Organisationen auf der ganzen Welt eingesetzt werden.
OWASP ZAP, ein Sicherheitstesttool für Webanwendungen, das Sicherheitsexperten und Entwickler dabei unterstützt, Sicherheitslücken in Webanwendungen während der Entwicklungs- und Testphasen zu identifizieren und zu beheben.

Argumente für integrierte Sicherheitskontrollen

OWASP spielt eine entscheidende Rolle bei den kontinuierlichen Bemühungen, die Softwaresicherheit zu verbessern, indem es das Bewusstsein für Sicherheitsrisiken bei Webanwendungen schärft und sich bei Entwicklern, Sicherheitsexperten und Organisationen für bewährte Verfahren einsetzt. Als von der Community getragenes Projekt bringt OWASP Fachleute und Interessierte zusammen, die gemeinsam an der Verbesserung der Sicherheit von Webanwendungen arbeiten. So trägt OWASP zum Aufbau einer sicherheitsbewussten Kultur bei, die sichere Programmierpraktiken und Entwicklungsmethoden fördert.

Darüber hinaus stellt OWASP eine Fülle kostenloser Open-Source-Tools, Dokumente und Ressourcen bereit, mit denen Organisationen ihre Sicherheitslage verbessern können. Dazu gehören die OWASP Top 10, die OWASP API Security Top 10 und das Projekt „Automated Threats to Web Applications“. Weitere OWASP-Initiativen sind:

Das OWASP Bug Logging Tool (BLT), mit dem Internetnutzer Probleme melden können, auf die sie online stoßen, und durch die Förderung einer verantwortungsvollen Offenlegung sowie einer sichereren Online-Umgebung zur Verbesserung der Internetsicherheit beitragen.
Der OWASP CSRFGuard, eine Bibliothek, die Webanwendungen vor Cross-Site-Request-Forgery-Angriffen (CSRF) schützt.
Eine Reihe von Repositorys auf GitHub, darunter die Cheat Sheet Series, die eine kompakte Sammlung besonders wertvoller Informationen zu bestimmten Themen der Anwendungssicherheit bietet.
OWASP Top 10 der clientseitigen Sicherheitsrisiken, eine Zusammenstellung spezifischer Schwachstellen, die häufig in browserseitigen Anwendungen auftreten.
OWASP Cloud-Native Application Security Top 10, ein noch in Entwicklung befindliches Projekt, das Informationen über die größten Sicherheitsrisiken für Cloud-native-Anwendungen, die damit verbundenen Herausforderungen und deren Bewältigung bereitstellen wird.

Engagieren Sie sich, indem Sie OWASP-Mitglied werden oder an einem Treffen einer lokalen Gruppe teilnehmen, das kostenlos ist und sowohl Mitgliedern als auch Nichtmitgliedern offensteht. Darüber hinaus veranstaltet OWASP jedes Jahr fast ein Dutzend globale und regionale Veranstaltungen, die hervorragende Gelegenheiten bieten, Ihre beruflichen Fähigkeiten auszubauen, Ihr berufliches Netzwerk zu erweitern und sich über neue Trends in der Branche zu informieren.

F5 begegnet OWASP-Sicherheitsrisiken

F5 unterstützt die OWASP Foundation bei ihrem Engagement für die Verbesserung der Softwaresicherheit und die Sensibilisierung für Sicherheitsrisiken und Schwachstellen bei Webanwendungen. F5 Web Application Firewall-Lösungen blockieren und mindern ein breites Spektrum an Risiken, die sich aus den OWASP Top 10 ergeben.

F5 WAF-Lösungen kombinieren signatur- und verhaltensbasierte Schutzmechanismen, einschließlich Bedrohungsinformationen von F5 Labs und ML-basierter Sicherheit, um mit neuen Bedrohungen Schritt zu halten. Sie reduzieren den Aufwand und die Komplexität bei der durchgängigen Absicherung von Anwendungen in Cloud-, On-Premises- und Edge-Umgebungen und vereinfachen zugleich die Verwaltung über eine zentralisierte SaaS-Infrastruktur. F5 WAFs optimieren außerdem die Anwendungssicherheit, indem sie Schutzmechanismen mit zentralen Sicherheitsfunktionen, zentralisierter Orchestrierung und Überwachung über ein einziges Dashboard in Entwicklungsframeworks und CI/CD-Pipelines integrieren. Dieses bietet eine 360-Grad-Ansicht der Anwendungsleistung und der Sicherheitsereignisse in verteilten Anwendungen.

F5 begegnet außerdem den in den OWASP API Security Top 10 aufgeführten Risiken mit Lösungen, die vor der wachsenden Angriffsfläche und neuen Bedrohungen schützen, wenn sich Anwendungen weiterentwickeln und die Zahl der API-Bereitstellungen zunimmt. F5-Lösungen für Web Application and API Protection (WAAP) schützen die gesamte Angriffsfläche moderner Anwendungen mit umfassenden Schutzmechanismen, darunter WAF, API-Sicherheit, L3-L7-DDoS-Abwehr und Bot-Schutz vor automatisierten Bedrohungen und Betrug. Die verteilte Plattform erleichtert die Implementierung einheitlicher Richtlinien und die Skalierung der Sicherheit über Ihre gesamte Anwendungs- und API-Landschaft hinweg – unabhängig davon, wo diese gehostet werden – sowie die Integration der Sicherheit in den API-Lebenszyklus und umfassendere Ökosysteme.

F5 bietet außerdem Lösungen zur Bewältigung der Risiken, die im OWASP-Projekt „Automatisierte Bedrohungen für Webanwendungen“ beschrieben werden.F5 Distributed Cloud Bot Defense verhindert Betrug und Missbrauch, die bestehende Bot-Management-Lösungen umgehen können, und bietet Echtzeitüberwachung und -informationen sowie ML-basierte retrospektive Analysen, um Unternehmen vor automatisierten Angriffen zu schützen, ohne zusätzliche Hürden für Benutzer zu schaffen oder das Kundenerlebnis zu beeinträchtigen. Distributed Cloud Bot Defense bleibt unabhängig davon wirksam, wie Angreifer ihre Methoden anpassen – ob sie ihre Angriffe von Webanwendungen auf APIs verlagern oder versuchen, Schutzmaßnahmen gegen Automatisierung zu umgehen, indem sie Telemetriedaten fälschen oder menschliche CAPTCHA-Löser einsetzen.

F5 bietet außerdem einen mehrstufigen DDoS-Schutz für fortschrittliche Online-Sicherheit als verwalteten, cloudbasierten Mitigationsdienst, der groß angelegte Angriffe auf Netzwerk-, Protokoll- und Anwendungsebene in Echtzeit erkennt und abwehrt. Dieselben Schutzmechanismen sind auch als lokale Hardware-, Software- und Hybridlösungen verfügbar. F5 Distributed Cloud DDoS Mitigation wehrt volumetrische und anwendungsspezifische Angriffe auf Layer 3–4 sowie komplexe Angriffe auf Layer 7 ab, bevor sie Ihre Netzwerkinfrastruktur und Anwendungen erreichen.

Weitere Informationen dazu, wie die Komponenten der F5 ADSP-Plattform vor OWASP-Sicherheitsrisiken schützen, finden Sie in den folgenden Ressourcen:

Ähnliche Inhalte