Benötigen Sie eine cloudbasierte Web Application Firewall (WAF)?

Ihre Anwendung ist entscheidend für die Bereitstellung Ihrer Lösung oder Dienstleistung und die Benutzerfreundlichkeit ist dabei ausschlaggebend. Hinzu kommt, dass Kunden eine kurze Aufmerksamkeitsspanne haben – wenn Ihre Anwendung also nicht schnell genug lädt oder eine andere Lösung ansprechender ist, werden Nutzer zur Konkurrenz gehen.

Unternehmen geben Millionen dafür aus, sich die Aufmerksamkeit ihrer Nutzer zu sichern. Daneben müssen sie natürlich auch die Sicherheit der gesammelten Kundendaten, der von ihrem Service generierten Daten und der Datensysteme, die für die Bereitstellung der Lösung genutzt werden, gewährleisten. Doch wie kann man sicherstellen, dass die eigene Anwendung sicher ist, dass sie ordnungsgemäß bereitgestellt wird und dass sie ein ansprechendes Benutzererlebnis bietet?

Eine Lösung, die viele übersehen, ist die cloudbasierte Web Application Firewall (WAF). Ohne eine WAF kann Ihre Anwendung bereits für diese Angriffsvektoren anfällig sein:

• Web-Exploits
• API-Missbrauch
• Verfügbarkeitsangriffe
• Bots, Scraper und Crawler

„Aber ich habe doch AWS, Azure oder GCP. Brauche ich trotzdem eine Cloud-WAF?“ Ja! Cloud-Anbieter stellen ihren Kunden zwar effektive Computing-Lösungen für die Bereitstellung von Anwendungen zur Verfügung, doch für den Schutz dieser Anwendungen sind die Kunden selbst verantwortlich.

Darüber hinaus hat jeder Anbieter seine eigene Lösung, die nur auf seiner Plattform funktioniert. Im Gegensatz dazu sind Cloud-WAF-Lösungen darauf ausgelegt, einen End-to-End-Schutz für Ihre Anwendungen bereitzustellen, indem sie eine einzige Lösung für alle Ihre Umgebungen bieten, unabhängig von der Größe, Komplexität oder dem Cloud-Anbieter.

Werfen wir nun also einen Blick darauf, wie Cloud-WAFs Ihre Anwendung und Ihre Daten schützen.

Web-Exploits

Sehr geschickte Angreifer arbeiten daran, Schwachstellen in dem Code zu entdecken, mit dem Ihre Anwendungen im Internet ausgeführt werden. Sobald Schwachstellen entdeckt werden, entwickeln die Angreifer Zero-Day-Exploits, die für Anwendungen verwendet werden können, die den anfälligen Code ausführen.

Oft verkaufen diese Hacker die Exploits im Dark Web und an anderen Orten – entweder nur zum Spaß oder aus Profitgier. Böswillige Hacker scannen dann das gesamte Internet nach angreifbaren Anwendungen. Wurde eine solche Anwendung identifiziert, können Angreifer die im Dark Web verfügbaren Tools nutzen, um Ihre Daten, Ihr geistiges Eigentum, die Daten Ihrer Kunden, Kreditkarteninformationen oder andere persönlich identifizierbare Informationen (PII) zu entwenden.

Was diese Situation noch schlimmer macht, ist, dass Commodity-Exploits leicht zu finden sind und deren Ausführung keinerlei besonderen Fähigkeiten erfordert. Selbst wenn Ihr Unternehmen Endgeräteschutz und ein Angriffserkennungssystem hat, könnte Ihre Anwendung weiterhin anfällig für Webangriffe sein.

Der Einsatz einer Cloud-WAF ist eine einfache Lösung, um Ihre Anwendungen vor Web-Exploits zu schützen, einschließlich der Top-Ten-Bedrohungen des Open Web Application Security Project (OWASP) – zu denen Cross-Site-Scripting, Sicherheitsfehlkonfigurationen und SQL-Injection-Angriffe gehören.

API-Missbrauch

Hacker suchen nicht nur nach Schwachstellen in Ihren Webanwendungen – sie haben es auch auf die Systeme abgesehen, die Ihre Anwendung unterstützen. In der modernen Anwendungsentwicklung wird die Kommunikation zwischen Systemen meistens durch eine API (Application Programmable Interface) unterstützt. 2020 trat bei 91 % der Unternehmen ein API-Sicherheitsvorfall auf.

APIs ermöglichen die Kommunikation zwischen Geräten und Programmen, sowie eine schnelle Anwendungsbereitstellung, wie Anwender sie heutzutage erwarten. Genauso wie wir uns auf eine Anwendung verlassen, um einen Dienst oder eine Lösung bereitzustellen, verlassen sich Anwendungen und mobile Apps auf APIs, um wertvolle Informationen an ihre unterstützenden Systeme zu liefern. API-Angriffe werden immer beliebter.

Durch den Einsatz einer Cloud-WAF können Sie Ihre mobilen Apps vor Angriffen auf die unterstützenden Systeme und wichtigen APIs schützen – wie z. B. Ressourcenmangel, Durchsatzbegrenzung, fehlerhafte Authentifizierung und andere der von OWASP definierten Top-Ten-Bedrohungen für APIs.

Verfügbarkeitsangriffe

Anwendungen sind auch anfällig für Angriffe auf die Verfügbarkeit. Mit Denial-of-Service(DoS)-Taktiken können Hacker beispielsweise massive Angriffe starten, die selbst die beste Lösung überfordern können. Dies kann die Benutzererfahrung beeinträchtigen.

Erschwerend kommt hinzu, dass es nicht nur eine Art von DoS gibt. Wenn Sie eine On-Premise-Bereitstellung haben, könnte Ihre Internetbandbreite oder Ihr Netzwerkaggregationspunkt von einem volumetrischen Angriff überfordert werden, der das Netzwerk mit schädlichem Datenverkehr wie SYN-Flood-Angriffen oder DNS-Amplification-Attacks übersättigt.

Viele Unternehmen haben einen Weg gefunden, volumetrische DDoS-Angriffe abzuschwächen, indem sie die digitale Transformation nutzen und zu einem Cloud-Anbieter wie AWS, Azure oder Google Compute migrieren. Diese Anbieter stellen Sicherheitsgruppen bereit, mit denen Benutzer unerwünschte Ports und Protokolle blockieren können, ähnlich wie bei einer Stateful Firewall. Diese Strategie verhindert, dass gefälschter Datenverkehr in großen Mengen Ihre Anwendung erreicht, blockiert jedoch keinen Datenverkehr auf den Ports oder Protokollen, auf die sich Ihre Anwendung stützt. Angreifer haben Techniken entdeckt, um Angriffe auf die erforderlichen Ports und Protokolle mit gefälschten Anwendungsanforderungen zu starten.

Dieser Angriff wird als Anwendungs-DDoS bezeichnet, da das Ziel die Anwendung und nicht das Netzwerk ist. On-Premise-Kunden können sich nur schlecht verteidigen, wenn sowohl volumetrische als auch Anwendungs-DDoS-Angriffe in Kombination eingesetzt werden.

Mit einer Cloud-WAF ist Ihre Anwendung sowohl vor volumetrischen als auch vor Anwendungs-DDoS-Angriffen sicher. Die Cloud-WAF-DDoS-Abwehr ist für On-Premise-, Cloud- oder Hybrid-Umgebungen verfügbar.

Bots, Scraper und Crawler

Sobald Sie Ihre Anwendung implementiert und gesichert haben, können Sie sich darauf konzentrieren, die Aufmerksamkeit Ihrer Kunden zu gewinnen, richtig? Leider nein.

Betrüger suchen immer nach Möglichkeiten, sich einen Vorteil zu verschaffen, und Ihre Dienstleistung oder Lösung bleibt davon nicht verschont. In allen Branchen – vom Schuhverkauf bis hin zu Konzertveranstaltungen – werden „Bad Bots“ eingesetzt, d. h. Programme, die alle Artikel eines Verkaufsschlagers kaufen, bevor es andere Verbraucher tun. Die Betrüger verkaufen die Artikel dann später zu einem viel höheren Preis weiter.

Außerdem könnte ein böswilliger Konkurrent, der Ihr Geschäft unterbieten will, einen „Scraper“ schreiben, um Änderungen auf Ihrer Website zu überwachen, einschließlich Ihrer Sonderangebote. Mithilfe dieser Programme können Betrüger Ihre Kunden abwerben, indem sie ähnliche Artikel etwas günstiger anbieten. Bei der Wahl zwischen zwei ähnlichen Artikeln werden sich Verbraucher für den niedrigeren Preis entscheiden.

Um einen Wettbewerbsvorteil zu erzielen, investieren Unternehmen stark in Suchmaschinenoptimierungs- und Marketingmaßnahmen, mit denen sie ihre Ergebnisse bei Google und anderen Seiten verbessern können. Unternehmen sichern sich ihren Platz in den Suchergebnissen mit proprietären Techniken und Taktiken, die Teil ihres geistigen Eigentums sind. Die Verwendung von robots.txt ist eine bewährte Branchenpraxis und eine großartige Lösung für Crawler, die wissen möchten, wann und ob Sie Ihre Website indizieren sollten. Doch schadhafte Crawler und böswillige Akteure schreiben Programme, um Ihre SEO und andere Geschäftsgeheimnisse zu stehlen, mit denen Sie Ihre Position in den Suchergebnissen bewahren wollen.

Durch den Einsatz einer Cloud-WAF können Sie Bots, Scraper und Crawler davon abhalten, auf Ihre Anwendung zuzugreifen. Dadurch profitieren Sie von weniger unerwünschtem Datenverkehr, geringeren Infrastrukturkosten, einer höheren Rendite für Ihre Marketinginvestitionen und einem insgesamt besseren Kundenerlebnis.

So kann Rackspace Technology Sie unterstützen

Bei Rackspace Technology stellen wir Kunden unsere Managed Cloud WAF zur Verfügung, um ihre Anwendungen in der Cloud, vor Ort und in hybriden Umgebungen zu schützen. Mit Managed Cloud WAF können unsere Experten von der Sicherheit bis zur Anwendungsbereitstellung alle relevanten Gesichtspunkte abdecken, sodass sich unsere Anwender auf ihr Geschäft konzentrieren können. Managed Cloud WAF ist eine einfache Möglichkeit, eine global skalierbare Sicherheitslösung in Multi-Cloud- und Hybrid-Umgebungen bereitzustellen.

Machen Sie den nächsten Schritt zum Schutz Ihrer Anwendungen. Beantworten Sie 15 Fragen zur Einschätzung Ihrer Sicherheit, um eine professionelle Beratung durch einen Cloud-Experten zu erhalten. Der Experte bespricht die Ergebnisse mit Ihnen, beantwortet Fragen und empfiehlt Best Practices zur Behebung der identifizierten Sicherheitslücken.