Gartner hat Cloudflare im Bericht „Gartner® Magic Quadrant™ for Web Application and API Protection (WAAP)“ aus 2022, in dem 11 Anbieter für ihre „Umsetzungsfähigkeit" („Ability to Execute“) und „Vollständigkeit der Vision“ („Completeness of Vision“) bewertet wurden, als Leader ausgezeichnet.
Sie können sich hier für ein kostenloses Exemplar des Berichts registrieren.
Wir glauben, dass dieser Erfolg unser kontinuierliches Engagement und unsere Investitionen in diesem Bereich unterstreicht, um unseren Nutzern und Kunden bessere und effektivere Sicherheitslösungen zu bieten.
Anwendungssicherheit auf dem neuesten Stand
Das globale Cloudflare-Netzwerk verarbeitet über 36 Millionen HTTP-Anfragen pro Sekunde. Dadurch erhalten wir einen beispiellosen Einblick in Netzwerkmuster und Angriffsvektoren. Diese Dimension ermöglicht es uns, sauberen Datenverkehr effektiv von bösartigem zu unterscheiden, was dazu führt, dass etwa 1 von 10 von Cloudflare vermittelten HTTP-Anfragen an der Edge durch unser WAAP-Portfolio abgewehrt wird.
Transparenz und Sichtbarkeit sind jedoch nicht genug. Da immer neue Anwendungsfälle und Muster entstehen, investieren wir laufend in Forschung und die Entwicklung neuer Produkte. So nimmt beispielsweise der API-Traffic zu (mehr als 55 % des gesamten Datenverkehrs) und wir gehen nicht davon aus, dass sich dieser Trend verlangsamen wird. Um Kunden bei diesen neuen Workloads zu helfen, baut unser API Gateway auf unserer WAF auf, um bessere Sichtbarkeit und Abwehr für gut strukturierten API-Traffic zu bieten, für den wir im Vergleich zu normalen webbasierten Anwendungen andere Angriffsprofile beobachtet haben.
Wir sind davon überzeugt, dass unsere kontinuierlichen Investitionen in die Anwendungssicherheit dazu beigetragen haben, unsere Position in diesem Bereich zu stärken, und wir möchten Gartner für die Anerkennung danken.
Cloudflare WAAP
Wir von Cloudflare haben mehrere Funktionen entwickelt, die unter den Begriff Web Application and API Protection (WAAP) fallen.
DDoS-Schutz & -Abwehr
Unser Netzwerk, das sich über mehr als 275 Städte in über 100 Ländern erstreckt, ist das Rückgrat unserer Plattform. Als Kernkomponente ermöglicht sie es uns, DDoS-Angriffe jeder Größe abzuwehren.
Um dies zu unterstützen, wird unser Netzwerk absichtlich per Anycast gesendet und kündigt dieselben IP-Adressen von allen Standorten an. So können wir den eingehenden Datenverkehr in überschaubare Teile aufteilen, die jeder Standort problemlos bewältigen kann. Dies ist besonders wichtig, wenn es darum geht, große volumetrische DDoS-Angriffe (Distributed Denial of Service) abzuwehren.
Das System ist so konzipiert, dass es wenig bis gar keine Konfiguration erfordert und gleichzeitig „immer aktiv“ ist, so dass Angriffe sofort abgewehrt werden. Hinzu kommt eine sehr intelligente Software, wie unsere neue standortorientierte Abwehr, wodurch das Problem der DDoS-Angriffe gelöst wird.
Für Kunden mit sehr spezifischen Traffic-Mustern ist die vollständige Konfigurierbarkeit unserer verwalteten DDoS-Regeln nur einen Klick entfernt.
Web Application Firewall
Unsere WAF ist eine Kernkomponente unserer Anwendungssicherheit und sorgt dafür, dass Hacker und Schwachstellen-Scanner es schwer haben, potenzielle Schwachstellen in Webanwendungen zu finden.
Dies ist sehr wichtig, wenn Zero-Day-Sicherheitslücken öffentlich zugänglich werden. Wir haben nämlich erlebt, wie bösartige Akteure versucht haben, neue Vektoren innerhalb weniger Stunden nach ihrem Bekanntwerden auszunutzen. Log4J, und vor kurzem auch Confluence CVE, sind nur zwei Beispiele, bei denen wir dieses Verhalten beobachtet haben. Aus diesem Grund wird unsere WAF auch von einem Team von Sicherheitsexperten unterstützt, die Signaturen ständig überwachen und verbessern/entwickeln, um sicherzustellen, dass wir unseren Kunden wertvolle Zeit „kaufen“, um ihre Backend-Systeme bei Bedarf zu verstärken und zu patchen. Zusätzlich und ergänzend zu den Signaturen klassifiziert das Machine Learning-System unserer WAF jede Anfrage und bietet so einen viel umfassenderen Einblick in die Traffic-Muster.
Unsere WAF ist mit vielen fortschrittlichen Funktionen ausgestattet, wie z.B. Überprüfungen auf durchgesickerte Anmeldeinformationen, erweiterte Analysen und Warnhinweisen und Protokollierung von Nutzlasten.
Bot-Management
Es ist kein Geheimnis, dass ein großer Teil des Web-Traffics automatisiert ist. Und obwohl nicht jede Automatisierung schlecht ist, ist manches unnötig und unter Umständen auch böswillig.
Unser Produkt Bot Management arbeitet parallel zu unserer WAF und bewertet jede Anfrage nach der Wahrscheinlichkeit, dass sie von einem Bot generiert wurde. So können Sie unerwünschten Datenverkehr ganz einfach filtern, indem Sie eine benutzerdefinierte WAF-Regel einrichten, und das alles unterstützt durch leistungsstarke Analysen. Außerdem führen wir eine Liste mit verifizierten Bots, die Sie zur weiteren Verbesserung Ihrer Sicherheitsrichtlinien nutzen können.
Für den Fall, dass Sie automatisierten Datenverkehr blockieren möchten, sorgt die verwaltete Challenge von Cloudflare dafür, dass nur Bots bekämpft werden, ohne die Erfahrung echter Nutzer zu beeinträchtigen.
API-Gateway
API-Traffic ist im Vergleich zu Standard-Webseiten, die von Browsern konsumiert werden, per Definition sehr gut strukturiert. Gleichzeitig sind APIs in der Regel engere Abstraktionen zu Backend-Datenbanken und -Diensten. Dadurch erhalten diese mehr Interesse von böswilligen Akteuren und bleiben oft sogar von internen Sicherheitsteams unbemerkt (Schatten-APIs).
API Gateway, das auf unserer WAF aufgesetzt werden kann, hilft Ihnen, API-Endpunkte zu erkennen, die von Ihrer Infrastruktur bedient werden. Zudem können Sie potenzielle Anomalien in den Traffic-Strömen erkennen, die auf eine Kompromittierung hindeuten können, sowohl aus volumetrischer als auch aus sequenzieller Sicht.
Die Eigenschaften von APIs ermöglichen es API Gateway auch, im Gegensatz zu unserer WAF viel einfacher ein positives Sicherheitsmodell zu bieten: nur bekannt guten Datenverkehr zulassen und alles andere blockieren. Kunden können den Schemaschutz und die gegenseitige TLS-Authentifizierung (mTLS) nutzen, um dies mit Leichtigkeit zu erreichen.
Page Shield
Angriffe, die die Browserumgebung direkt nutzen, können einige Zeit unbemerkt bleiben, da sie nicht unbedingt eine Kompromittierung der Backend-Anwendung erfordern. Wenn beispielsweise eine von einer Webanwendung verwendete JavaScript-Bibliothek eines Drittanbieters böswilliges Verhalten ausführt, werden Anwendungsadministratoren und Benutzer möglicherweise nicht erkennen, wenn gerade Kreditkartendaten an einen von einem Angreifer kontrollierten Endpunkt eines Drittanbieters weitergegeben werden. Dies ist ein häufiger Vektor für Magecart, einen von vielen clientseitigen Sicherheitsangriffen.
Page Shield sorgt für die Sicherheit auf der Client-Seite, indem es die Bibliotheken von Drittanbietern aktiv überwacht und die Eigentümer von Anwendungen benachrichtigt, wenn ein Asset eines Drittanbieters bösartige Aktivitäten aufweist. Es nutzt sowohl öffentliche Standards wie Content Security Policies (CSP) als auch benutzerdefinierte Klassifikatoren, um den Schutz sicherzustellen.
Page Shield ist, genau wie unsere anderen WAAP-Produkte, vollständig in die Cloudflare-Plattform integriert und kann mit einem einzigen Klick aktiviert werden.
Security Center
Das neue Security Center von Cloudflare ist die Heimat des WAAP-Portfolios. Ein zentraler Ort für Sicherheitsexperten, um einen umfassenden Überblick über die von Cloudflare geschützten Netzwerk- und Infrastrukturresourcen zu erhalten.
Wir planen, dass das Security Center in Zukunft der Ausgangspunkt für forensische Untersuchungen und Analysen sein wird, so dass Sie bei der Untersuchung von Vorfällen auch die Bedrohungsdaten von Cloudflare nutzen können.
Der Cloudflare-Vorteil
Unser WAAP-Portfolio wird von einer einzigen horizontalen Plattform aus bereitgestellt, die es Ihnen ermöglicht, alle Sicherheitsfunktionen ohne zusätzliche Implementierungen zu nutzen. Darüber hinaus werden Skalierung, Wartung und Updates vollständig von Cloudflare verwaltet, so dass Sie sich darauf konzentrieren können, mit Ihrer Anwendung Mehrwert zu bieten.
Dies gilt sogar über WAAP hinaus, denn obwohl wir mit der Entwicklung von Produkten und Diensten für Webanwendungen begonnen haben, können wir dank unserer Position im Netzwerk alles schützen, was mit dem Internet verbunden ist, einschließlich Teams, Büros und interner Anwendungen. Alles von einer einzigen Plattform aus. Unser Zero Trust-Portfolio ist jetzt ein integraler Bestandteil unseres Geschäfts, und WAAP-Kunden können mit nur wenigen Klicks beginnen, unseren Secure Access Service Edge (SASE) zu nutzen.
Wenn Sie Ihr Sicherheitsniveau konsolidieren möchten, sowohl aus Sicht der Verwaltung als auch des Budgets, können die Teams für Anwendungsdienste dieselbe Plattform verwenden, die auch die internen IT-Serviceteams zum Schutz der Mitarbeiter und der internen Netzwerke nutzen.
Kontinuierliche Innovation
Wir haben unser WAAP-Portfolio nicht über Nacht entwickelt. Allein im letzten Jahr haben wir mehr als fünf wichtige Sicherheitsprodukte aus dem WAAP-Portfolio veröffentlicht. Wie rasch wir Innovationen liefern, zeigen wir Ihnen hier in einer Auswahl unserer Top-Produkte:
- API Shield mit Schema-basiertem Schutz: Herkömmliche signaturbasierte WAF-Ansätze (negatives Sicherheitsmodell) funktionieren nicht immer gut mit gut strukturierten Daten wie dem API-Traffic. Angesichts des schnellen Wachstums des API-Datenverkehrs im Netzwerk entwickeln wir ein neues Produkt, mit dem Sie API-Schemata direkt am Netzwerkrand durchsetzen können, indem Sie ein positives Sicherheitsmodell verwenden und nur gut strukturierte Daten zu Ihren Ursprungs-Webservern durchlassen;
- API-Missbrauchserkennung: Ergänzend zum API-Schema-Schutz warnt Sie die API-Missbrauchserkennung, wenn an Ihren API-Endpunkten Anomalien entdeckt werden. Diese können durch ungewöhnliche Traffic-Flüsse oder Muster ausgelöst werden, die nicht den normalen Traffic-Aktivitäten entsprechen;
- Unsere neue Web Application Firewall: Basierend auf unserer neuen Edge Rules Engine wurde der Kern der Web Application Firewall komplett überarbeitet, von den internen Funktionen der Engine bis hin zur Benutzeroberfläche. Bessere Performance sowohl in Bezug auf die Latenzzeit als auch auf die Wirksamkeit beim Blockieren bösartiger Nutzdaten, zusammen mit brandneuen Funktionen, einschließlich, aber nicht beschränkt auf Überprüfungen offener Zugangsdaten, kontoübergreifende Konfigurationen und Protokollierung von Nutzdaten;
- DDoS anpassbare verwaltete Regeln: Um zusätzliche Flexibilität bei der Konfiguration zu bieten, haben wir damit begonnen, einige unserer internen verwalteten DDoS-Abwehrregeln für benutzerdefinierte Konfigurationen offenzulegen, um Fehlalarme weiter zu reduzieren und Kunden die Möglichkeit zu geben, Schwellenwerte/Erkennungen nach Bedarf zu erhöhen;
- Security Center: Cloudflare-Übersicht über die Infrastruktur und die Netzwerkressourcen, zusammen mit Warnungen und Benachrichtigungen über Fehlkonfigurationen und potenzielle Sicherheitsprobleme;
- Page Shield: Aufgrund der wachsenden Kundennachfrage und der Zunahme von Angriffsvektoren, die sich auf die Browserumgebung des Endnutzers konzentrieren, hilft Ihnen Page Shield zu erkennen, wenn bösartiges JavaScript in den Code Ihrer Anwendung gelangt ist;
- API Gateway: vollständige API-Verwaltung, einschließlich Routing direkt vom Cloudflare-Edge, mit eingebauter API-Sicherheit, einschließlich Verschlüsselung und gegenseitiger TLS-Authentifizierung (mTLS);
- Machine Learning WAF: Ergänzend zu unseren WAF Managed Rulesets bewertet unsere neue ML WAF-Engine jede einzelne Anfrage von 1 (sauber) bis 99 (bösartig) und verschafft Ihnen so zusätzlichen Einblick in gültige und nicht gültige bösartige Nutzdaten, so dass wir noch besser in der Lage sind, gezielte Angriffe und Scans auf Ihre Anwendung zu erkennen;
Der Blick nach vorn
Unsere Roadmap enthält sowohl neue Funktionen für die Anwendungssicherheit als auch Verbesserungen an bestehenden Systemen. Je mehr wir über das Internet erfahren, desto besser sind wir in der Lage, Ihre Anwendungen zu schützen. Updates folgen, bleiben Sie also auf dem Laufenden.
Gartner, „Magic Quadrant for Web Application and API Protection“, Analyst(en): Jeremy D'Hoinne, Rajpreet Kaur, John Watts, Adam Hils, 30. August 2022.
Gartner und Magic Quadrant sind eingetragene Marken von Gartner, Inc. und/oder seinen Tochtergesellschaften in den USA und international, die im Folgenden mit Genehmigung verwendet werden. Alle Rechte vorbehalten.
Die Vorstellung oder Erwähnung von Anbietern, Produkten oder Dienstleistungen in den Studien von Gartner stellt keine Empfehlung dar und Gartner rät Technologieanwendern auch nicht, sich nur für die Anbieter mit den höchsten Bewertungen oder anderen Kennzeichnungen zu entscheiden. Gartner-Forschungspublikationen geben die Meinung der Forschungsmitarbeiter von Gartner wieder und sind nicht als Tatsachenbehauptungen auszulegen. Gartner übernimmt in Bezug auf diese Forschungsarbeiten weder ausdrückliche noch stillschweigende Gewähr, wodurch auch die Gewährleistung der Gebrauchstauglichkeit oder Eignung für einen bestimmten Zweck ausgeschlossen ist.