Intelligenter Bedrohungsschutz für Webanwendungen & geringe TCO: Welchen Nutz...

Unser Gespräch über Schutzlösungen für Webanwendungen, Web-Apps und APIs mit Stefan Mandl, Tech Pre-Sales Manager bei Rohde & Schwarz Cybersecurity. Stefan Mandl ist Experte im Bereich Anwendungssicherheit und erklärt die wesentlichen Vorteile, die insbesondere eine Web Application Firewall (WAF) als Software-as-a-Service-Variante Unternehmen und Behörden bieten kann.

Herr Mandl, lassen Sie uns zunächst allgemeiner ins Thema einsteigen: Woher wissen Unternehmen oder auch Behörden denn, dass ihr System einen speziellen Schutz für Web-Assets benötigt?

Stefan Mandl: Eines sollte zunächst klar sein: Eine Web Application Firewall (WAF) ist äußerst wichtige Sicherheitseinrichtung für Unternehmen. Die Geschäftswelt – aber auch immer mehr Verwaltungen und Behörden – arbeiten zunehmend webbasiert. Ergo spielen Webanwendungen eine immer größere Rolle. Lassen Sie mich das veranschaulichen: In großen Unternehmen werden mehr als 100 Webanwendungen aktiv genutzt. Leider bedeutet das auch, dass Angreifer ihr Augenmerk auf die als „schwächer“ geltende und leichter auszunutzende Anwendungsinfrastruktur richten. Leider sind aber Webanwendungen tatsächlich der Hauptgrund für Datenverletzungen.

Netzwerk-Firewalls sind doch heute Sicherheitsstandard in Unternehmen. Bieten diese nicht schon ausreichend Schutz?

Stefan Mandl: Cyberkriminelle nutzen Methoden, die gezielt potenzielle Schwachstellen in der Webanwendungssoftware ausnutzen, sie werden von den klassischen IT-Sicherheitssystemen wie Netzwerk-Firewalls oder Intrusion-Prevention-Systemen gar nicht erkannt. Hinzu kommt, dass selbst Next-Generation Firewalls keinen ausreichenden Schutz mehr bieten können.

Und was heißt das konkret? Was bietet Unternehmen Schutz für Webanwendungen?

Stefan Mandl: Um Angriffe auf Webanwendungen zu verhindern, sollten sie den Einsatz einer Sicherheitslösung wie z. B. einer WAF dringend in Betracht ziehen.

Und wie kommt da jetzt die WAF-as-a-Service ins Spiel?

Stefan Mandl: Unser R&S®Cloud Protector ist eine echte SaaS-Lösung, die wir bereitstellen und warten, ohne dass der Kunde eine Installation vornehmen muss. Da sie einfach zu implementieren und zu konfigurieren ist, muss lediglich der Anwendungsverkehr auf die gehostete Infrastruktur umgeleitet werden. Skalierbarkeit, Software-Updates und die Überwachung der Plattform werden komplett von uns übernommen. Dieses Angebot wird oft mit DDoS-Schutz zur Abwehr volumetrischer Angriffe geliefert. Dabei setzen wir auf zuverlässige Technologien wie Terraform, Cloud Formation und Cloud Watch. Und: Unsere WAF ist in verschiedene Marktplätze wie AWS, Azure & GCP integriert.

Kommen wir noch mal zurück zu Funktionalität. Wäre denn eine WAF beispielsweise auch in der Lage, besondere Zugriffsspitzen zu bewältigen?

Stefan Mandl: Skalierbarkeit ist ein entscheidender Faktor, der bei der Betrachtung von WAF-Lösungen berücksichtigt werden muss. Wenn Online-Services stark nachgefragt werden, brauchen Ämter und Unternehmen einfach eine Möglichkeit, schnell und unkompliziert starke Zunahmen an Website-Besuchern zu bewältigen.

Eine WAF-Lösung sollte diese Möglichkeit zur Skalierung standardmäßig haben. Unser R&S®Cloud Protector (unsere SaaS-WAF-Lösung) bietet diese Funktion: Bei einem Anstieg des Web-Traffics skaliert er bei zusätzlichen Lasten besonders schnell.

Kommen wir zu einer ebenfalls nicht zu vernachlässigenden Frage: Wie steht es bei der WAF denn um die Gesamtbetriebskosten (TCO)?

Stefan Mandl: Um einen guten ROI einer WAF zu illustrieren, müssen folgende Faktoren berücksichtigt werden: Eine WAF bietet eine schnelle und einfache Möglichkeit, Sicherheitsrichtlinien zu bearbeiten. Zweitens sollte die WAF die Anzahl der False Positives deutlich reduzieren. Die Automatisierung von Workflows kann dann eingesetzt werden, um sicherzustellen, dass Sicherheitsrichtlinien effizient laufen. Und damit sind wir beim Schlüssel zur Reduzierung der TCO. Sie ebnet den Weg für digitale Transformation und die Entwicklung nativer Cloud-Anwendungen.

Unser R&S®Cloud Protector ist besonders „TCO-freundlich“ (Stichwort: wegfallende Vorlaufkosten oder andere Investitionen wie Hardware-Installation, Austausch, Wartung, Software-Upgrades …). Er passt sich automatisch an Verkehrsspitzen der Anwendungen an und erfüllt außerdem die OWASP Top 10. Zusätzliches Plus: die verbrauchsabhängige Preisgestaltung im Abonnement, die die SaaS-WAF zu einer idealen und flexiblen Lösung macht.

Foto: © Stefan Mandl

Teaserfoto: © Adobe Stock/Ico Maker