Cloudflare признана лидером в исследовании Gartner

Gartner признала Cloudflare лидером в отчете Gartner® Magic Quadrant™ для веб-приложений и защиты API (WAAP) за 2022 год, в котором 11 поставщиков оценивались на предмет их «способности реализовать» и «полноты видения». Вы можете зарегистрироваться для получения бесплатного экземпляра самого последнего отчета Gartner WAAP здесь.

Мы полагаем, что это достижение служит свидетельством наших постоянных усилий и инвестиций в данной сфере, где мы стремимся предоставить нашим пользователям и клиентам высококачественные и эффективные решения в области безопасности.

Глобальная сеть Cloudflare обрабатывает более 36 млн HTTP-запросов в секунду, что дает нам беспрецедентные возможности для мониторинга характеристик сетевого трафика и векторов атак. Подобный масштаб позволяет нам эффективно отличать чистый трафик от вредоносного, благодаря чему примерно 1 из 10 HTTP-запросов, проксируемых Cloudflare, блокируется на периферии сети нашими сервисами WAAP.

Одного мониторинга недостаточно, и по мере появления новых сфер применения и трендов мы инвестируем в исследования и разработку новых продуктов. Так, например, в настоящее время наблюдается рост трафика API (более 55% всего трафика), и мы полагаем, что темпы этого роста будут сохраняться. Чтобы помочь клиентам справиться с увеличившимися нагрузками, мы предлагаем шлюз API, дополняющий собой наш WAF и обеспечивающий расширенные возможности мониторинга и защиты от угроз для хорошо структурированного трафика API, для которого, по нашим наблюдениям, характерны другие профили атак по сравнению со стандартными веб-приложениями.

Мы полагаем, наши постоянные инвестиции в области безопасности приложений позволили нам завоевать свои позиции в этой сфере, и мы благодарны Gartner за признание.

Мы предоставляем целый ряд сервисов, которые относятся к сфере защиты веб-приложений и API (WAAP).

Наша сеть, охватывающая более 275 городов в более чем 100 странах, является основой нашей платформы и ключевым компонентом, позволяющим нейтрализовывать DDoS-атаки любой мощности.

Чтобы облегчить эту задачу, наша сеть работает в режиме Anycast: все сетевые локации анонсируют одни и те же IP-адреса, что позволяет нам "поделить" входящий трафик на части, с которыми каждая локация легко может справиться. Это особенно важно при нейтрализации распределенных атак типа "отказ в обслуживании" (DDoS) большой мощности.

Система спроектирована таким образом, что почти не требует настройки, постоянно включена и обеспечивает мгновенную нейтрализацию атак. Добавьте к этому высокоинтеллектуальное ПО, каким является наш новый сервис DDoS-защиты с учетом географии трафика, — и проблему DDoS-атак можно считать решенной.

Клиентам с нетипичными характеристиками трафика доступны широкие возможности настройки наших управляемых правил DDoS-защиты, для этого достаточно одного щелчка мыши.

WAF является одним из ключевых компонентов нашей системы безопасности приложений, препятствуя попыткам хакеров и сканеров уязвимостей находить потенциальные уязвимости в веб-приложениях.

Это особенно важно, когда в публичном доступе оказываются уязвимости нулевого дня, поскольку злоумышленники пытаются использовать новые векторы атак в течение считанных часов после появления информации о них в открытом доступе. Log4J, а также более недавний Confluence CVE — два характерных примера, когда мы наблюдали подобное поведение. Поэтому работа нашего WAF подкреплена командой экспертов в сфере информационной безопасности, которые ведут постоянный мониторинг и разработку/обновление сигнатур, выигрывая бесценное время для наших клиентов и давая им возможность обезопасить свои системы и, при необходимости, пропатчить серверы. Помимо сигнатур, каждый запрос оценивается системой машинного обучения нашего WAF, что дает гораздо более широкое представление о характеристиках трафика.

Наш WAF обладает множеством передовых функций, таких как проверка учетных данных на утечки, расширенная аналитика, оповещения и журналирование блокировок.

Не секрет, что автоматизированный трафик составляет в общем веб-трафике весьма значительную часть, и хотя не всякая автоматизация вредна, зачастую она является излишней и даже вредоносной.

Наш сервис Bot Management (Управление ботами) работает параллельно с нашим WAF и оценивает каждый запрос на вероятность того, что он сгенерирован ботом, что позволяет без труда отфильтровать нежелательный трафик, развернув соответствующее пользовательское правило WAF, и все это на основе мощной аналитики. Мы еще больше облегчаем данную задачу, поддерживая список известных ботов, который может использоваться для дальнейшей оптимизации политики безопасности.

Если вы хотите заблокировать автоматизированный трафик, использование управляемой проверки Cloudflare позволяет воспрепятствовать работе ботов, не создавая при этом неудобств реальным пользователям.

Трафик API по определению очень хорошо структурирован по сравнению с обычными веб-страницами, отображаемыми браузерами. В то же время API обычно являются более близкими абстракциями баз данных и сервисов на серверной стороне, тем самым привлекая все больше внимания со стороны злоумышленников, и зачастую остаются незамеченными даже для собственных служб информационной безопасности компаний (теневые API).

Шлюз API, который может использоваться в качестве дополнительного уровня поверх нашего WAF, позволяет как обнаруживать конечные точки API, обслуживаемые вашей инфраструктурой, так и выявлять потенциальные аномалии в потоках трафика с точки зрения объема или последовательности поступающих запросов, что может являться признаком компрометации.

Кроме того, свойства API позволяет шлюзу API с гораздо большей легкостью, по сравнению с WAF, применять положительную модель безопасности: пропускать только заведомо легитимный трафик и блокировать все остальное. Для этого клиентам достаточно включить защиту схем API и взаимную TLS-аутентификацию (mTLS).

Атаки, напрямую использующие среду браузера, могут в течение некоторого времени оставаться незамеченными, поскольку для их осуществления может не требоваться компрометация серверной стороны приложения. Например, если некая сторонняя библиотека JavaScript, используемая веб-приложением, выполняет вредоносные действия, администраторы и пользователи приложения могут ни о чем не подозревать, в то время как данные кредитных карт утекают на стороннюю конечную точку, контролируемую злоумышленником. Этот метод часто используется Magecart, одной из многочисленных кибератак, осуществляемых на стороне клиента.

Page Shield решает проблему безопасности на стороне клиента, обеспечивая активный мониторинг сторонних библиотек и оповещая владельцев приложений о вредоносной активности сторонних ресурсов. Для обеспечения эффективности обнаружения используются как публичные стандарты, такие как Content Security Policy (CSP), так и специально разработанные классификаторы.

Page Shield, как и все остальные сервисы WAAP, полностью интегрирован в платформу Cloudflare, и для его включения достаточно одного щелчка мыши.

Новый Центр безопасности Cloudflare — место, где наши сервисы WAAP собраны воедино и где специалисты по информационной безопасности могут получить комплексный анализ как сетевых, так и инфраструктурных ресурсов, находящихся под защитой Cloudflare.

В дальнейшем мы планируем, что Центр безопасности будет служить отправной точкой для анализа обнаруженных угроз, давая вам возможность при расследовании инцидентов также использовать аналитические данные об угрозах Cloudflare.

Наш портфель сервисов WAAP предоставляется в рамках единой горизонтальной платформы, что дает возможность использовать все функции безопасности без необходимости развертывания каких-либо дополнительных средств. При этом масштабирование, обслуживание и обновление системы целиком берет на себя Cloudflare, давая вам возможность сосредоточиться на разработке и развитии вашего приложения.

Это касается не только WAAP: хотя мы начали создавать продукты и услуги для веб-приложений, наша позиции в сети позволяют нам обеспечивать защиту всего, что подключается к Интернету, в т. ч. устройств сотрудников, офисов и внутренних приложений, и все это в рамках единой платформы. Кроме того, неотъемлемой частью нашего бизнеса является портфель сервисов Zero Trust — клиенты WAAP могут воспользоваться нашим периферийным сервисом безопасного доступа (SASE) с помощью нескольких щелчков мыши.

Это дает вам возможность оптимизировать свою систему безопасности как с точки зрения управления, так и с токи зрения бюджета, поскольку отделы приложений могут использовать ту же платформу, что и отделы внутренних ИТ-услуг, обеспечивая защиту устройств сотрудников и внутренних сетей.

Наши сервисы WAAP создавались не за один день, при этом только за прошедший год мы выпустили в рамках нашего портфеля WAAP более пяти новых крупных продуктов. Чтобы дать вам представление о темпах наших инноваций, вот подборка наших основных новинок:

• API Shield, сервис защиты схем API: традиционные подходы к WAF, основанные на использовании сигнатур (негативная модель безопасности) не всегда подходят для работы с хорошо структурированными данными, такими как API. Учитывая быстрый рост трафика API по всей сети, мы создали методом инкрементной разработки новый сервис, позволяющий проверять схемы API непосредственно на периферии сети, используя положительную модель безопасности: только правильно сформированные данные пропускаются к серверам-источникам;

• API Abuse Detection: выступая в качестве дополнения к защите схем API, сервис API Abuse Detection (Обнаружение злоупотребления API) предупреждает об обнаружении аномалий на конечных точках API. Это могут быть необычные потоки трафика или какие-либо характеристики, не соответствующие типичной картине вашего трафика;

• Наш новый межсетевой экран веб-приложений: построен на основе нового периферийного механизма правил. Наш основной межсетевой экран веб-приложений был полностью переработан — от внутреннего устройства до UI. Повышена производительность как с точки зрения сетевых задержек, так и в плане эффективности блокировки вредоносного кода, добавлены новые возможности, в т. ч. проверка учетных данных на утечки, применение настроек ко всей учетной записи, журналирование блокировок;

• Управляемые правила DDoS-защиты с возможностью настройки: в целях повышения гибкости конфигураций мы начали открывать для пользовательской настройки часть наших внутренних управляемых правил DDoS-защиты, что позволяет еще больше снизить число ложных срабатываний и дает клиентами возможность повышать пороги или увеличивать количество обнаружений в зависимости от потребностей;

• Центр безопасности: сервис Cloudflare, осуществляющий анализ ваших инфраструктурных и сетевых ресурсов, а также обеспечивающий оповещения и уведомления о неправильных настройках и потенциальных проблемах безопасности;

• Page Shield: в условиях растущего спроса пользователей и появления новых векторов атак, нацеленных на среду браузера конечного пользователя, Page Shield позволяет обнаруживать проникновение вредоносного JavaScript в код вашего приложения;

• Шлюз API: полное управление API, в т. ч. маршрутизация напрямую с периферии Cloudflare, с встроенной защитой API, включая шифрование и взаимную TLS-аутентификацию (mTLS);

• WAF с машинным обучением: помимо использования наборов управляемых правил, наш новый механизм WAF с машинным обучением присваивает каждому запросу оценку от 1 (чистый) до 99 (вредоносный), предоставляя вам дополнительные возможности мониторинга как корректных блокировок, так и ложных срабатываний, и облегчая нам задачу обнаружения целенаправленных атак и попыток сканирования ваших приложений;

Наш план разработки включает много нового функционала для защиты приложений, а также множество усовершенствований существующих систем. Чем больше у нас знаний об Интернете, тем лучше мы готовы к обеспечению безопасности ваших приложений. Следите за дальнейшими новостями.

Gartner, Magic Quadrant for Web Application and API Protection (Защита веб-приложений и API), аналитики: Джереми Д'Уанн, Раджприт Каур, Джон Уоттс, Адам Хилс, 30 августа 2022 г.

Gartner и Magic Quadrant являются зарегистрированными товарными знаками Gartner, Inc. и/или аффилированных с ней компаний в США и других странах и используются здесь с разрешения владельца. Все права сохраняются.Gartner не поддерживает каких-либо поставщиков, продукты или услуги, представленные в ее исследовательских публикациях, и не утверждает, что пользователям технологий следует выбирать исключительно поставщиков, имеющих наивысшие рейтинги или отмеченных иным образом.

Исследовательские публикации Gartner представляют собой мнения исследовательской организации Gartner и не должны рассматриваться как утверждения о фактах. Gartner не дает никаких гарантий, явных или подразумеваемых, в отношении данного исследования, в т. ч. никаких гарантий товарной пригодности или пригодности для определенных целей.