Firma Cloudflare została uznana przez firmę Gartner za lidera w raporcie „Gartner® Magic Quadrant™ for Web Application and API Protection (WAAP)” z 2022 roku oceniającym jedenastu dostawców pod kątem „zdolności do realizacji” i „kompletności wizji”. Aby otrzymać darmową kopię najnowszego raportu firmy Gartner dotyczącego rozwiązań WAAP, zarejestruj się tutaj.
Uważamy, że to osiągnięcie podkreśla nasze ciągłe oddanie i zaangażowanie w tym obszarze — naszym celem jest zapewniać użytkownikom i klientom coraz lepsze i skuteczniejsze rozwiązania w zakresie bezpieczeństwa.
Nowe wyzwania bezpieczeństwa aplikacji
Globalna sieć Cloudflare przetwarza ponad 36 milionów żądań HTTP na sekundę, co daje nam bezprecedensowy wgląd we wzorce sieci i wektory ataku. Ta skala pozwala skutecznie identyfikować złośliwy ruch, dzięki czemu nasze portfolio WAAP łagodzi około 10% żądań HTTP na krawędzi .
Widoczność to jednak nie wszystko. Wraz z wyłanianiem się nowych przypadków użycia i wzorców inwestujemy w badania i rozwój nowych produktów. Przykładowo wykorzystanie interfejsów API stale rośnie (obecnie jest to ponad 55% całego ruchu) i nie przewidujemy, by ta tendencja w najbliższej przyszłości zwolniła. Aby pomóc klientom z nowym obciążeniem, nasza brama interfejsów API, bazująca na naszej zaporze aplikacji internetowej (WAF), zapewnia lepszą widoczność i łagodzenie uporządkowanego ruchu interfejsów API, gdzie zaobserwowaliśmy inne profile ataków niż w standardowych aplikacjach sieci Web.
Wierzymy, że nasze ciągłe inwestycje w bezpieczeństwo aplikacji pomogły nam osiągnąć obecną pozycję w tej branży, i pragniemy podziękować firmie Gartner za wyróżnienie.
Cloudflare WAAP
Do naszego portfolio rozwiązań WAAP (bezpieczeństwa aplikacji i API) należą liczne funkcje.
Ochrona przed atakami DDoS i ich łagodzenie
Nasza sieć, która obejmuje ponad 275 miast w przeszło 100 krajach, stanowi podstawę naszej platformy i jest głównym komponentem pozwalającym nam łagodzić ataki DDoS każdej wielkości.
W tym celu celowo stosujemy w naszej sieci metodę anycast, anonsując te same adresy IP z wszystkich lokalizacji, co pozwala nam rozdzielić ruch przychodzący na mniejsze porcje, z którymi wszystkie lokalizacje radzą sobie bez najmniejszego problemu. Jest to szczególnie istotne podczas łagodzenia większych ataków wolumetrycznych typu „rozproszona odmowa usługi” (DDoS).
System jest zbudowany w sposób, dzięki któremu wymaga minimalnej konfiguracji, a jednocześnie zawsze jest aktywny, przez co ataki są natychmiast łagodzone. Do tego dochodzi bardzo inteligentne oprogramowanie, na przykład nasze nowe łagodzenie rozpoznające lokalizację. W efekcie problem ataków DDoS jest rozwiązany.
Dla klientów o bardzo specyficznych wzorcach ruchu pełna konfiguracja zarządzanych reguł DDoS wymaga tylko kilku kliknięć.
Zapora aplikacji internetowej
Nasza zapora aplikacji internetowej (WAF) jest podstawowym komponentem naszego systemu bezpieczeństwa aplikacji i gwarantuje, że hakerom i skanerom luk w zabezpieczeniach nie będzie łatwo znaleźć potencjalnych luk w aplikacjach sieci Web.
To bardzo ważne, gdy luki w zabezpieczeniach zero-day stają się ogólnie dostępne — nierzadko cyberprzestępcy starają się wykorzystać nowe wektory w ciągu kilku godzin od ich upublicznienia. Log4J oraz późniejsze Confluence CVE to tylko dwa z licznych przypadków tego zjawiska. Właśnie dlatego naszą WAF wspiera zespół ekspertów ds. bezpieczeństwa, którzy stale monitorują, opracowują i udoskonalają sygnatury, dzięki czemu możemy zapewnić klientom dodatkowy czas na wzmocnienie i poprawienie systemu zaplecza, gdy jest to konieczne. Ponadto, jako dopełnienie sygnatur, nasz system uczenia maszynowego WAF klasyfikuje każde żądanie, zapewniając znacznie szerszy wgląd we wzorce ruchu.
Nasza zapora aplikacji internetowej ma liczne zaawansowane funkcje, takie jak sprawdzanie pod kątem ujawnionych poświadczeń, zaawansowana analiza oraz alerty i rejestrowanie ładunków.
Zarządzanie ruchem botów
Nie jest tajemnicą, że spora część ruchu sieciowego jest zautomatyzowana, i choć nie każda automatyzacja to coś złego, część jest zbędna i potencjalnie złośliwa.
Nasz produkt zarządzający botami pracuje równolegle z WAF i ocenia każde żądanie pod kątem prawdopodobieństwa, że wygenerował je bot, co pozwala filtrować niechciany ruch poprzez wdrożenie reguły niestandardowej WAF w oparciu o potężną analizę danych. Dodatkowo ułatwia to stale aktualizowana lista zweryfikowanych botów, którą można wykorzystać do dalszego wzmocnienia zasad zabezpieczeń.
W przypadku chęci zablokowania zautomatyzowanego ruchu nasze rozwiązanie o nazwie Managed Challenge sprawia kłopoty wyłącznie botom, nie wpływając na doświadczenia prawdziwych użytkowników.
API Gateway
Ruch interfejsów API jest z definicji bardziej uporządkowany niż w przypadku standardowych stron internetowych. Jednocześnie interfejsy API są bliższymi abstrakcjami do baz danych i usług zaplecza, co przyciąga większa uwagę cyberprzestępców, która często pozostaje niezauważona nawet przez wewnętrzne zespoły ds. bezpieczeństwa (tzw. shadow API).
Brama interfejsów API, którą można dodać do naszej zapory aplikacji internetowej, pomaga wykrywać punkty końcowe interfejsów API obsługiwane przez infrastrukturę klienta, jak i wykrywać potencjalne anomalie w przepływie ruchu, które mogą wskazywać na naruszenie zabezpieczeń, zarówno z perspektywy wolumetrycznej, jak i sekwencyjnej.
Charakter interfejsów API znacznie ułatwia bramie interfejsów API zapewnianie pozytywnego modelu bezpieczeństwa, w przeciwieństwie do WAF, która zezwala wyłącznie na znany ruch i blokuje całą resztę. Klienci mogą wykorzystać ochronę schematów i wzajemne uwierzytelnianie TLS (mTLS), by z łatwością osiągnąć ten efekt.
Page Shield
Ataki bezpośrednio wykorzystujące środowisko przeglądarki mogą przez jakiś czas pozostać niezauważone, ponieważ nie wymagają naruszeń zabezpieczeń aplikacji wewnętrznej. Na przykłady jeśli dowolna biblioteka JavaScript strony trzeciej wykorzystywana przez aplikację sieci Web wykonuje złośliwe działania, administratorzy i użytkownicy aplikacji mogą być zupełnie nieświadomi, że dane kart kredytowych wyciekają do punktu końcowego trzeciej strony kontrolowanego przez cyberprzestępcę. To tylko jeden z wielu wektorów ataków po stronie klienta i jest często wykorzystywany przez Magecart.
Page Shield rozwiązuje problem bezpieczeństwa po stronie klienta, oferując aktywne monitorowanie bibliotek stron trzecich i powiadamianie właścicieli aplikacji, kiedy zasób strony trzeciej wykazuje złośliwą aktywność. Wykorzystuje zarówno standardy publiczne, takie jak zasady ochrony zawartości (CSP), jak i niestandardowe klasyfikatory, aby zapewnić jak najwyższe bezpieczeństwo.
Page Shield, podobnie jak nasze pozostałe produkty WAAP, jest całkowicie zintegrowane z platformą Cloudflare i może być aktywowane jednym kliknięciem.
Security Center
Nowe Security Center Cloudflare to centrum naszego portfolio WAAP. W tym miejscu specjaliści ds. bezpieczeństwa mogą szybko sprawdzić zasoby sieciowe i infrastrukturalne chronione przez Cloudflare.
W przyszłości Security Center stanie się punktem wyjścia dla badania zagrożeń i analizy, jednocześnie pozwalając wykorzystywać zapewniane przez Cloudflare dane nt. zagrożeń do badania incydentów.
Przewaga Cloudflare
Nasze portfolio WAAP jest dostarczane z jednej platformy poziomej, dzięki czemu możesz wykorzystywać wszystkie funkcje bezpieczeństwa bez wdrażania kolejnych elementów z osobna. Ponadto skalowanie, konserwacja i aktualizacje są w całości zarządzane przez Cloudflare, dzięki czemu możesz skupić się na wartości biznesowej swojej aplikacji.
Dotyczy to nie tylko WAAP — choć zaczęliśmy budować produkty i usługi dla aplikacji sieci Web, nasza pozycja w sieci umożliwia ochronę wszystkiego, co jest podłączone do Internetu, w tym całych zespołów, oddziałów i aplikacji wewnętrznych. Wszystko z poziomu jednej platformy. Nasze portfolio Zero Trust stanowi obecnie integralną część naszej działalności, a klienci WAAP mogą zacząć wykorzystywać naszą krawędź usługi bezpiecznego dostępu (SASE) kilkoma kliknięciami.
Jeśli interesuje Cię konsolidacja systemów zabezpieczeń — ze względu na zarządzanie, jak i koszty — zespoły odpowiedzialne za usługi aplikacji mogą korzystać z tej samej platformy, której używają zespoły ds. usług IT, w celu zapewnienia ochrony personelu i sieci wewnętrznych.
Ciągłe innowacje
Nie zbudowaliśmy portfolio WAAP w jeden dzień. W ciągu minionego roku wydaliśmy kilka znaczących wersji produktów bezpieczeństwa. Oto kilka wybranych pozycji, które obrazują prędkość naszych innowacji:
- API Shield Schema Protection: tradycyjne podejście do WAF oparte o sygnatury (negatywny model bezpieczeństwa) nie zawsze dobrze się sprawdza z uporządkowanymi danymi takimi jak ruch API. Biorąc pod uwagę szybko rosnący ruch API w całej sieci, zbudowaliśmy nowy produkt przyrostowy, który pozwala wymuszać schematy interfejsów API bezpośrednio na krawędzi z zastosowaniem pozytywnego modelu bezpieczeństwa, który przepuszcza do serwerów pochodzenia wyłącznie poprawnie sformułowane dane;
- API Abuse Detection: dopełnienie API Schema Protection. Ostrzega za każdym razem, gdy wykrywane są anomalie w punktach końcowych interfejsów API. Takie anomalie mogą spowodować nietypowe przepływy lub wzorce ruchu różniące się od standardowej aktywności;
- Nasza nowa zapora aplikacji internetowej: opiera się na naszym nowym silniku reguł krawędzi i została całkowicie przebudowana, począwszy od samego silnika aż po interfejs użytkownika. Może pochwalić się niższymi opóźnieniami, lepszą skutecznością w blokowaniu złośliwych ładunków oraz zupełnie nowymi funkcjami, m. in. wykrywaniem ujawnionych poświadczeń, konfiguracją całego konta i rejestrowaniem ładunków.
- Konfigurowalne zarządzane reguły DDoS: pragnąc zapewnić dodatkową elastyczność konfiguracji, zaczęliśmy uwidaczniać wybrane wewnętrzne zarządzane reguły łagodzenia DDoS do konfiguracji niestandardowych w celu dalszego ograniczenia wyników fałszywie dodatnich i umożliwienia klientom zwiększania wartości progowych/wykrywania według potrzeb;
- Security Center: widok zasobów infrastrukturalnych i sieciowych, a także alerty i powiadomienia o nieprawidłowych konfiguracjach i potencjalnych problemach bezpieczeństwa;
- Page Shield: w odpowiedzi na rosnące zapotrzebowanie klientów i coraz częstsze ataki skupiające się na środowisku przeglądarki użytkownika końcowego Page Shield pomaga wykrywać złośliwy kod JavaScript w kodzie aplikacji;
- Brama interfejsów API: pełne zarządzanie interfejsami API, w tym routing bezpośrednio z krawędzi Cloudflare, z wbudowanymi zabezpieczeniami interfejsów API, w tym szyfrowaniem i wzajemnym uwierzytelnianiem TLS (mTLS);
- Uczenie maszynowe WAF: nasz nowy silnik uczenia maszynowego WAF dopełnia zarządzane zestawy reguł WAF i ocenia każde żądanie w skali od 1 (czyste) do 99 (złośliwe), zapewniając lepszy wgląd do prawidłowych i nieprawidłowych, złośliwych ładunków, co pozwala nam jeszcze lepiej wykrywać ukierunkowane ataki i skany aplikacji;
Plany na przyszłość
Mamy w planach nowe funkcje bezpieczeństwa aplikacji oraz udoskonalenia istniejących systemów. Stale poznając Internet coraz dogłębniej, jesteśmy zdolni coraz lepiej ochraniać aplikacje naszych klientów. Wkrótce będziemy mogli zdradzić więcej informacji.
Gartner, „Magic Quadrant for Web Application and API Protection”, analitycy: Jeremy D'Hoinne, Rajpreet Kaur, John Watts, Adam Hils, 30 sierpnia 2022 r.
Gartner i Magic Quadrant są zastrzeżonymi znakami towarowymi firmy Gartner, Inc. i/lub jej podmiotów zależnych w Stanach Zjednoczonych i na świecie i są one wykorzystywane w niniejszym dokumencie za zgodą. Wszelkie prawa zastrzeżone.
Firma Gartner nie popiera żadnego sprzedawcy, produktu ani usługi przedstawionych w publikowanych przez nią raportach. Nie zaleca także użytkownikom technologii wyboru wyłącznie dostawców o najwyższych ocenach bądź wyszczególnionych w dowolny inny sposób.
Raporty publikowane przez firmę Gartner zawierają opinie organizacji badawczej Gartner i nie powinny być interpretowane jako stwierdzenia faktów. Firma Gartner udziela żadnych gwarancji, wyraźnych lub dorozumianych, w odniesieniu do tych badań, w tym gwarancji przydatności handlowej lub przydatności do określonego celu.