Application Security
Ihre Web-Applikationen – egal, ob selbst programmiert oder eingekauft, egal ob lokal oder in der Cloud – sollten unter dem Schutz einer Web Application Firewall (WAF) stehen. Welche Besonderheiten gilt es beim Einführen einer WAF zu beachten und warum tut es die Installation von der Stange nicht?
Application Security: Nur massgeschneidert ans Ziel
Ohne Web-Anwendungen – Applikationen, die auf Web-Servern und nicht auf den lokalen Endgeräten der Anwender:innen laufen – kommt keine Organisation mehr aus. Beim Schützen dieser Anwendungen mittels einer Web Application Firewall (WAF) spielt es keine Rolle, ob Sie die Web-Apps inhouse programmieren, zukaufen, im eigenen Rechenzentrum oder bei einem Cloud-Hoster laufen lassen: Eine WAF schützt nur dann wirksam, wenn sie an die jeweilige Anwendung beziehungsweise Middleware angepasst ist.
Der WAF muss mitgeteilt werden, wo Eingabeformulare liegen, wie Nutzer:innen durch die Seiten navigieren, an welchen Stellen Daten ein- oder auszugeben sind. Nur so lassen sich beispielsweise SQL-Injections oder nicht autorisierte Deeplinks auf Seiten mit sensiblen Inhalten unterbinden. Um die Zahl der falsch-positiven Log-Einträge zu minimieren, gilt es nur die Erkennungsmuster zu aktivieren, die auch zur jeweiligen Umgebung passen.
Inzwischen sind WAFs so mächtig und komplex, dass ein simples Installieren beinahe keinen Mehrwert liefert. Im Gegenteil, wenn der integrierte Lernmodus der WAF vor der Inbetriebnahme falsch angewendet wird, schaltet die Web Application Firewall im Realbetrieb wahrscheinlich auf Durchzug.
Spezialwissen verlangt – ensec liefert
Wenn Sie ensec mit der Integration einer WAF zum Schutz Ihrer Web-Apps betrauen, sind Sie vor solchen fatalen Konfigurationsfehlern sicher. Wir haben jahrelange Erfahrung im Umgang mit WAFs und parametrisieren die Web Application Firewall anhand des tatsächlichen Schutzbedarfs Ihrer jeweiligen Umgebung – eine wahrlich massgeschneiderte Lösung. Wir wissen auch um die Stärken und Schwächen der Lösungen unserer Partner und weisen Sie bei Bedarf auf Einschränkungen hin.
Unsere Spezialist:innen können Ihnen auch bei der Entscheidung helfen, ob Sie besser per White- oder per Blacklist vorgehen. Erstere erfordert das erwähnte spezifische Anpassen der WAF an Ihre Applikation. Eine Blacklist lässt an sich jeglichen Datenverkehr zur Anwendung durch und filtert nur die als bösartig bekannten Muster heraus. Ob Sie mit dem einen oder dem anderen Ansatz besser fahren, erarbeiten unsere Fachleute mit Ihnen.
Auf Wunsch können wir die von uns konfigurierten WAFs und Load Balancer auch an Ihre containerisierten Umgebungen (Red Hat OpenShift, Kubernetes) anbinden und so per WAF kontrollieren. Da diese Umgebungen sehr dynamisch sind und es ständig neue Ein- und Austrittspunkte gibt, müssen die entsprechenden Regeln automatisch erstellt werden. Wir stellen sämtliche Weichen hierfür.
Nur wer bekannt ist, kommt rein
Eine sinnvolle Ergänzung zu einer Web Application Firewall ist die Authentisierung der Nutzer:innen vor dem Zugriff auf die jeweilige Web App. Ein Single-Sign-On-Portal leitet nur bekannte Anwender:innen zu den jeweiligen Anwendungen weiter. Da nur authentisierte Requests zur eigentlichen Applikation durchdringen, lassen sich zahlreiche Angriffe so im Keim ersticken. Die Angaben über die Nutzer:innen kann sich eine solche Lösung aus einem Active Directory oder einem anderen System zur Nutzerverwaltung ziehen.
Das Auslagern der Anmeldevorgänge zu einem einheitlichen Portal hilft auch beim Standardisieren der Authentifizierung beziehungsweise der Integration von Multifaktor-Anmeldeverfahren. Anstatt jede einzelne Web-Anwendung zu konfigurieren, gilt es lediglich das Login-Portal entsprechend einzurichten.
Nicht nur dem Auditor zuliebe
Seitdem die DSGVO in Kraft trat, müssen Unternehmen aller Branchen nach einem Datenvorfall nachweisen, dass sie alle notwendigen Schutzmassnahmen umgesetzt haben. Für stärker regulierte Branchen wie Banken galt dies schon länger.
Betreiben Sie Web-Applikationen, dann gehört eine Web Application Firewall (WAF) zu diesen Schutzmassnahmen. Ohne WAF handeln Sie aus Sicht der Datenschutzbehörden also fahrlässig. Eine von uns konfigurierte WAF hilft aber nicht nur, Auditoren zu besänftigen. Sie senkt oder verhindert auch Umsatzverluste, die durch Denial-of-Service-Attacken auf Ihre Anwendungen drohen können.
Application Security im Detail
Web Application Firewall
Schützt Webanwendungen vor Angriffen. Sie überwacht und filtert sämtlichen HTTP-Traffic zu und von den Applikationen. Schädlicher Input/Output wird blockiert.
Access Policy Management Portal
Sicherer Benutzerzugriff auf Anwendungen und Daten. Egal von wo, mit welchem Gerät und mit was die Verbindung hergestellt wird.
Dürfen wir Ihnen persönlich Argumente für ensec liefern? Kontaktieren Sie uns.