Sicherheit in Zeiten der Microservices: 7 Tipps von Radware

Posted by PM-Ersteller - 18/02/20 at 03:02:03 p.m.

Wenn es um die Bereitstellung Cloud-basierter Anwendungen über Microservices geht, stellen sich zwei primäre Fragen.

„Wie schnell ist schnell genug?“ und „Wie sicher ist sicher genug?“. Im Wettbewerb um den Kunden haben Unternehmen kaum noch Zeit, auf traditionelle Sicherheitsüberprüfungen zu warten, bevor sie Anwendungen einführen oder verbessern. Die erste Priorität besteht darin, dass die Anwendungen die Kundenanforderungen erfüllen. Die Anwendungssicherheit spielt ebenfalls eine wichtige Rolle, aber sie darf der Agilität nicht im Wege stehen. Sicherheitsaspekte werden daher zunehmend in die DevOps-Teams verlagert, die sich als die Designer und Überwacher der agilen Netzwerkökosysteme verstehen und die automatisierten kontinuierlichen Bereitstellungsprozesse ermöglichen. Diese Teams haben jedoch Prioritäten, die im Widerspruch zu herkömmlichen, abwägenden Sicherheitspraktiken stehen. Ihre Aufgabe besteht darin, schnell Anwendungen bereitzustellen, die die Geschäftsanforderungen unterstützen. Zeit für umfassende Sicherheitsüberprüfungen ist dabei einfach nicht vorgesehen. Folglich können sich traditionelle IT- und Security-Teams von diesem Prozess ausgeladen fühlen.

APIs als Schwachstellen

In einer Microservices-Architektur erfolgt die operative Kommunikation zwischen den verschiedenen Werkzeugen und Diensten über APIs. „Solche APIs sind anfällig für Fehler und Schwachstellen, die jedoch schwer zu erkennen sind und nur selten auffallen“, so Michael Tullius, Managing Director DACH bei Radware. „Herkömmliche Tools zur Bewertung der Anwendungssicherheit funktionieren nicht gut mit APIs oder sind in diesem Fall einfach irrelevant. Bei der Planung der API-Sicherheitsinfrastruktur müssen Authentifizierung und Autorisierung berücksichtigt werden, doch werden diese Aspekte oft nicht richtig behandelt.“

Mikroservice-Architekturen entsprechen dem Bedürfnis von Organisationen nach Geschwindigkeit, aber die Kehrseite der Medaille sind neue Sicherheitsherausforderungen. Dazu 7 Tipps von Radware:

Visibility ist der Schlüssel

1. Es sollte Risikomanagement implementiert werden, das den geschäftlichen Triebkräften bei der Gestaltung von Sicherheitsrichtlinien Vorrang einräumt. Der Ansatz „Sicherheit um jeden Preis“ wird wahrscheinlich ein inakzeptables Maß an Fehlalarmen erzeugen. Die Sicherheit sollte dem gleichen Entwicklungszeitplan folgen wie die Produktentwicklung.

2. Es muss Klarheit über die Rollen für die Anwendungssicherheit geben. Eine klare Verantwortlichkeit befähigt die richtigen Teams, die Verantwortung für Entscheidungen über das akzeptable Risikoniveau und die Strategien zum Schutz von Anwendungen zu übernehmen.

3. Eine Sicherheitslösung sollte in allen Netzwerkumgebungen, sowohl im öffentlichen als auch im privaten Bereich, einen einheitlichen „Point of Visibility“ bieten. Das Vertrauen auf Lösungen von Anbietern öffentlicher Clouds hinterlässt blinde Flecken in der Sicherheitslage, die Angreifer ausnutzen können.

4. Die Sicherheitslösung muss sich in das bereits vorhandene Ökosystem einfügen, ohne dass Anpassungen erforderlich sind, wie z.B. die Änderung im Routing des Traffics, die Vorlage von SSL-Zertifikaten oder die Änderung von IP-Adressen

5. Es hilft, den Open-Source-Charakter von Cloud-nativen Anwendungen zu nutzen, um Telemetrie-Informationen über Verkehrsvolumen, Nutzung von Anwendungen, Leistungsprobleme, geographische Verteilung der Benutzer und die Art der verarbeiteten Daten zu aggregieren. Diese Informationen ermöglichen eine Analyse des Verhaltens, um eine bessere Visibility in das Geschehen auf allen Plattformen zu erhalten

6. Alle Kanäle, über die die Anwendungen bereitgestellt werden, müssen sicher sein. Das bedeutet, dass die APIs sowie Web- und Mobildienste vor Angriffsvektoren wie Protokollmanipulation, Datenmanipulation in Servern und Angriffen auf Sitzungen und Zugangsdaten geschützt werden müssen.

7. Die Sicherheitsarchitektur sollte skalierbar und elastisch sein, um sich an sich ändernde Geschäftsanforderungen anpassen zu können. Eine weitgehende Automatisierung der Überwachung und der Abwehr von Angriffen im gesamten Ökosystem ist erforderlich, um den kontinuierlichen Bereitstellungsprozess von Anwendungen zu unterstützen.

Verantwortlicher für diese Pressemitteilung:

Radware GmbH
Herr Michael Tullius
Robert-Bosch-Str. 11a
63225 Langen
Deutschland

fon ..: +49 6103 70657-0
web ..: http://www.radware.com
email : info_de@radware.com

Pressekontakt:

Prolog Communications GmbH
Herr Achim Heinze
Sendlinger Str. 24
80331 München

fon ..: +49 89 800 77-0
web ..: http://www.prolog-pr.com
email : achim.heinze@prolog-pr.com

Mit DevOps und Microservices verlieren Security-Experten an Einfluss

Posted by PM-Ersteller - 17/10/19 at 12:10:30 p.m.

Die Verantwortung für die Sicherheit der IT-Umgebungen verschiebt sich deutlich, wenn Unternehmen DevOps-Verfahren und Microservices einführen.

Zu diesem Ergebnis kommt die Studie „Application Security in the Microservices Era“ von Radware. Etwa 70% der für diese Studie befragten Führungskräfte gaben an, dass die CISOs (Chief Information Security Officers) nicht der wichtigste Einflussfaktor bei der Entscheidung über die Politik, die Tools und die Implementierung von Sicherheitssoftware waren. Diese Verschiebung führt laut Radware potentiell zu neuen Sicherheitslücken und höheren Risiken bei der IT-Sicherheit.

Die schnelle Ausweitung der Rolle der Development Security Operations (DevSecOps) hat die Art und Weise, wie Unternehmen ihre Sicherheitslage angehen, verändert, Tatsächlich berichteten 90% der Befragten über Datenschutzverletzungen innerhalb der letzten 12 Monate, und 53% der Befragten sind der Ansicht, dass die Exposition von Cloud- und Anwendungsdaten auf Missverständnisse in Bezug auf die Sicherheitsverantwortung mit ihrem Cloud-Provider zurückzuführen sind.

David Monahan, ehemaliger Managing Research Director, Security and Risk Management bei Enterprise Management Associates (EMA), erläutert: „Die derzeitige Umstellung auf Container und Mikroservices vereinfacht die Bereitstellung von Services, ermöglicht die kontinuierliche Integrationen und Entwicklung (CI/CD) und kann die Performance von Anwendungen verbessern. Gleichzeitig bringt sie aber einige intrinsische Risiken mit sich.“

„Wir befinden uns kulturell an einem Wendepunkt zwischen der Rolle von DevSecOps und dem CISO“, kommentiert Anna Convery-Pelletier, Chief Marketing Officer von Radware. „Unsere Forschung zeigt, dass die Befragten – unabhängig vom Titel – das Gefühl haben, die Kontrolle über ihre Sicherheitslage zu haben. Dennoch erlebten 90% der Unternehmen immer noch Datenverluste. Dies ist ein Widerspruch, der auf die organisatorischen Unterschiede zwischen DevSecOps und traditionellen IT-Sicherheitsrollen hinweist. Während das Team des CISO unmittelbar mit der Verantwortung für die Sicherheit konfrontiert ist, stellen die DevSecOps-Teams die Agilität in den Vordergrund. Bei der Sicherheit verfolgen sie daher oft einen ‚gut genug‘-Ansatz“.

Umstieg auf MicroServices

Unternehmen passen Rollen und Verantwortlichkeiten an, um sowohl den Agilitäts- als auch den Sicherheitsanforderungen gerecht zu werden, die diese neuen Umgebungen mit sich bringen. Mehr als 90% der Befragten gaben an, dass ihre Unternehmen über DevOps- oder DevSecOps-Teams verfügen. Diese Teams sind relativ neu – nur 21% der Befragten berichten über DevSecOps-Teams, die länger als 24 Monate im Einsatz sind. Dabei kommt bei mehr als der Hälfte (58%) der Unternehmen nur eine DevSecOps-Position auf 6 bis 10 Entwickler. Bei der Bewertung der Zusammenarbeit zwischen DevOps und DevSecOps-Teams gehen 49% von einer sehr engen Kooperation aus, während ebenfalls knapp die Hälfte (46%) angaben, dass sie es irgendwie schafften, zusammenzuarbeiten.

Doch gerade diese Zusammenarbeit wird immer wichtiger, da das Vertrauen der Unternehmen in die Security Services der Cloud Provider sinkt. Im Jahr 2018 gaben 86% der Befragten an, dass sie dem Sicherheitsniveau ihrer Cloud-Anbieter vertrauen. Ein Jahr später ist diese Zahl um 14 Punkte auf 72% gesunken.

Der Bericht zeigt, dass Angriffe auf Applikationen eine ständige Bedrohung darstellen. Die Bandbreite der Angriffe, die die Befragten täglich erlebten, umfasste Zugriffsverletzungen, Session/Cookie-Poisoning, SQL-Injektionen, Denial-of-Service, Protokollangriffe, Cross-Site-Scripting und API-Manipulationen.

Zusätzlich zu den Umfragedaten enthält der Bericht auch Trends aus dem Traffic-Flow der Bot Manager-Kunden von Radware, aus dem hervorgeht, dass 45% des Internetverkehrs von Bots stammt. Die Aufteilung des Bot-Verkehrs zeigt, dass 17% des Traffics von „guten“ Bots stammt und 28% von bösartigen.

Der vollständige Bericht steht kostenlos unter https://www.radware.com/resources/was-report-2019/ zur Verfügung.

Verantwortlicher für diese Pressemitteilung:

Radware GmbH
Herr Michael Tullius
Reguscenter – Terminalstraße 18
85356 München
Deutschland

fon ..: +49 6103 70657-0
web ..: http://www.radware.com
email : info_de@radware.com

Pressekontakt:

Prolog Communications GmbH
Herr Achim Heinze
Sendlinger Str. 24
80331 München

fon ..: +49 89 800 77-0
web ..: http://www.prolog-pr.com
email : achim.heinze@prolog-pr.com