ENTWURF ZUR ANWENDUNGSSICHERHEIT IN DER CLOUD: ARCHITEKTUREN UND LÖSUNGEN

NUTZUNG KONTEXTBEZOGENER KI-ANALYSE ZUR AUTOMATISIERUNG VON ANWENDUNGSSICHERHEIT

2ENTWURF ZUR ANWENDUNGSSICHERHEIT IN DER CLOUD

Einführung Mit der weitreichenden Nutzung cloudbasierter Umgebungen hat sich die Anwendungsentwicklung gewandelt und erweitert. Webanwendungen sind, wie der Name schon sagt, Anwendungen, die über den Browser zugänglich sind. Sie sind ein wesentlicher Teil der Internetpräsenz von Unternehmen. Diese Präsenz umfasst häufig Schnittstellen zur Programmierung von Anwendungen (APIs), die einen programmatischen Zugriff auf die Webanwendungen eines Unternehmens oder auf die zugrunde liegenden Services der Anwendung bieten.

Es ist nicht überraschend, dass diese Webanwendungen und APIs oft zum Ziel von Cyberkriminellen werden. Die Gefahr dieser wachsenden Bedrohung wird durch die Verbreitung von Diensten in der Cloud, die zum Betrieb solcher Anwendungen erforderlich sind, noch verstärkt. Cloudbasierte Dienste für Webanwendungs- und API-Schutz (WAAP) sind eine Weiterentwicklung webbasierter Anwendungsfirewalls, um diesen neuen Herausforderungen zu begegnen.

Traditionelle Lösungen arbeiten regelbasiert – sie analysieren jede Anfrage isoliert und vergleichen Sie mit einem Satz manuell festgelegter Regeln. Das Problem bei diesem Ansatz ist die hohe Geschwindigkeit der Anwendungsentwicklung. Der Grund für Entwickler, sich cloudbasierten Anwendungen zuzuwenden ist zugleich die Ursache für eine ständig wachsende Angriffsfläche. Anwendungen entwickeln sich schneller weiter als je zuvor – und sie erschaffen und exponieren mehr und mehr APIs.

3ENTWURF ZUR ANWENDUNGSSICHERHEIT IN DER CLOUD

Die Cloud als Ende regelbasierter WAF Regelbasierte, binäre WAF bieten aus folgenden Gründen nur einen unzureichenden Schutz für immer komplexere Anwendungen:

1. Cloudbasierte Webanwendungen beziehen ihren Code in der Regel aus verschiedenen Quellen, einschließlich Open-Source-Repositories. Anwendungen bestehen aus kleinen Anteilen von Code, die einzigartig sind und einem einzigen Zweck dienen, allerdings treten diese in großer Zahl auf. Dies kann zu weiteren Schwachstellen führen. Im Falle von Open Source handelt es sich um größtenteils bekannte Schwachstellen, die einen einfachen Vektor für Angriffe bieten.

2. Der Wandel schreitet schneller voran als je zuvor. Moderne Cloud-Anwendungen sind oft nur einen Klick von der Veröffentlichung entfernt. Ein Commit auf Github unterläuft automatisch Testing- und Staging-Phasen und der Code geht mit minimalen menschlichen Eingriffen in die Produktion. Keine Lösung, die eine Feinabstimmung der Anwendung durch den Menschen erfordert, wird mit der Geschwindigkeit der Anwendungsentwicklung Schritt halten.

3. Anwendungen sind offener und vernetzter geworden. In modernen Cloud-Anwendungen interagieren zahlreiche Ressourcen mit Drittanbieterdiensten außerhalb des „Perimeters“. Daten können weit vielfältiger von Anwendungen angefordert oder bereitgestellt werden als in der Vergangenheit. Tatsächlich gilt es heute, Hunderte von Perimetern zu sichern.

4. Wie immer gilt: Angriffe verbreiten sich abhängig von ihrer Raffinesse. Neben der Nutzung von Bots und APIs als Angriffsvektoren besteht in der Cloud das wesentliche Problem der Rechteausweitung. Angreifer, die Anwendungen infiltrieren, suchen nach API-Schlüsseln zu anderen Anwendungen oder Ressourcen. Durch unsachgemäß konfiguriertes rollenbasiertes Rechte-Management kann Remote-Code-Execution in der Cloud noch verheerender sein.

Die bessere Alternative zu regelbasierten, binären WAFs ist eine Lösung ohne manuelle Anpassung von Regeln und automatisierter Bereitstellung. Durch Verwendung eines Konzepts zum Selbstschutz von Anwendungen und angetrieben durch eine patentierte, kontextbezogene KI-Engine kann das bahnbrechende CloudGuard AppSec:

• Die Bereitstellung automatisieren und Angriffe auf Anwendungsschichten verhindern, einschließlich OWASP Top 10, ohne manuelle Anpassung oder Fehlalarme.

• Nicht autorisierten Zugriff auf APIs und dessen Ausnutzung stoppen, ohne Anwendungen einzuschränken und Nutzer zu verärgern.

• Böswillige Bots erkennen und stoppen, bevor diese das Kundenerlebnis negativ beeinflussen

• HTTP-basierte CVEs und bekannte Schwachstellen erkennen

4ENTWURF ZUR ANWENDUNGSSICHERHEIT IN DER CLOUD

Kontextbezogene, bewertungsbasierte Entscheidungs-Engine Fehlalarme durch maschinelles Lernen stoppen Durch die detaillierte Untersuchung mehrerer Parameter und deren Kombination zu einer aussagekräftigen Risikobewertung kann CloudGuard AppSec Fehlalarme eliminieren. Eine abschließende Risikobewertung wird durch Eingaben aus mehreren Engines erstellt:

Transaktionsrisiko

Risiko durch Benutzerverhalten

Risiko durch Gruppenverhalten

Inhaltsrisiken

5ENTWURF ZUR ANWENDUNGSSICHERHEIT IN DER CLOUD

Transaktionsrisiko – Diese Engine bewertet Transaktionen und Anfragen und gliedert sie in kleine Elemente, die als Angriffshinweise bezeichnet werden. Die Engine enthält ein Wörterbuch, das die kleinsten Komponenten webbezogener Angriffe und ihrer Beziehungen untereinander enthält. Die Angriffshinweise einer relevanten Transaktion werden in die Engine eingegeben. Ein patentierter ML-Algorithmus bestimmt, ob diese bösartig sind oder nicht. Wenn sie bösartig sind, werden sie umgehend blockiert. Wenn das Ergebnis nicht eindeutig ist, was häufig vorkommt, werden weitere Engines zur Entscheidungsfindung herangezogen.

Risiko durch Benutzerverhalten – Diese Engine analysiert alle Anfragen eines bestimmten Benutzers: Wie viele Anfragen waren in der Vergangenheit bösartig? Wie viele Anfragen deuten auf einen Angriff hin? Kurz gesagt wird die Anfrage eines Benutzers von vornherein auf bösartige Absichten hin überprüft. Es werden Risikobewertungen für Benutzer erstellt. Wenn ein Nutzer bösartiges Verhalten zeigt, wird er blockiert.

Risiko durch Gruppenverhalten – Diese Engine bewertet, wie Nutzer mit einem Standort interagieren. Das Standortprofil deckt auf, ob es sich bei einer vermeintlichen Anomalie um legitimes Verhalten handelt, dass dem typischen Gebrauch einer Anwendung entspricht. Zum Beispiel: Eine bestimmte URL wird für zahlreiche Benutzer als verdächtig markiert, sodass die Wahrscheinlichkeit, dass es sich bei der Anfrage um einen bestimmten Angriff handelt, niedriger ist.

Vertrauenswürdige Benutzer – Diese Engine beschleunigt das Lernen der Anwendung mittels Erstellung einer Whitelist zulässiger Eingaben, die durch vertrauenswürdige Benutzer festgelegt werden.

Inhaltsrisiken – Diese Engine lernt, welche Inhalte für bestimmte Komponenten einer bestimmten Anwendung typisch sind. Sie bietet eine eingehende Analyse der Inhalte selbst – Welche Muster sind in welchem Bereich zu erwarten? Zum Beispiel ist in bestimmten Bereichen einer Anwendung die Ausführung eines Befehls zu erwarten. Eine traditionelle WAF-Engine würde diesen Bereich als Remote Code Execution erkennen und ihn blockieren. Demgegenüber erkennt diese Engine, dass dieses spezifische Feld-Wert-Paar von zahlreichen Anwendern genutzt wird, es sich daher um legitimes Verhalten handelt und das Muster wird akzeptiert. Durch Prüfen anderer Quellen, die denselben Parameter angefordert haben sowie durch Ermittlung der Anzahl der Benutzer, die ähnliche Werte angefordert haben, werden Fehlalarme vermieden. Das Verständnis der Muster dieser Bereiche kann aus allen hier erwähnten Engines abgeleitet werden.

Diese Art der kontextbezogenen Analyse ist für Webanwendungen unverzichtbar, da diese meist von Endkunden verwendet werden. Fehlalarme könnten den Zugriff auf Ressourcen durch Kunden verhindern. Die Kombination der Risikoanalyse verschiedener Engines führt zu einer genaueren Entscheidungsfindung bei gleichzeitigem Verständnis des Kontextes. Dies ermöglicht Administratoren, im Präventionsmodus Sicherheit zu gewährleisten, ohne legitime Anfragen zu blockieren.

6ENTWURF ZUR ANWENDUNGSSICHERHEIT IN DER CLOUD

Kontinuierliches Lernen Automatische Anpassung Webanwendungen beginnen im Lernmodus. Die Lerndaten werden als Agent und in der Cloud gespeichert. Dieser Mechanismus ist verteilt – mehrere CPUs arbeiten unabhängig und legen die Daten im Speicher ab, woraufhin diese Daten stündlich untereinander synchronisiert werden. Auf jedem verteilten CPU laufen die zuvor genannten Engines. Sie verfügen über ein tiefgreifendes Verständnis der Anwendung im Hinblick auf den Code, die HTTP-Methoden, die Arten der HTTP- Anfragen, die Schlüssel-Wert-Paare der HTTP-Anfragen sowie ihren jeweiligen Standort. Diese Informationen werden verarbeitet und den Engines zur Verfügung gestellt.

Das System beginnt im Lern-und-Erkennungsmodus. Das Lernen ist innerhalb weniger Tage abgeschlossen und der Benutzer kann das System in den Präventionsmodus schalten.

Überwachtes Lernen ist ein Modus, in dem das System das maschinelle Lernen wesentlich beschleunigt. Im Wesentlichen handelt es sich um ein Tool für Administratoren, um das Lernen zu beschleunigen und wesentlich früher in den Präventionsmodus zu wechseln. Dabei wird der Benutzer in den Blick genommen: Es werden die Log-Dateien der vergangenen Woche ausgewertet und erkannt, bei welchen Ereignissen es sich um bösartige Aktionen mit hohem oder kritischen Schweregrad handelt. Es werden Ähnlichkeiten zwischen ihnen festgestellt, und diese werden dem Benutzer nach bestimmten Mustern gruppiert vorgelegt. Zu diesen Mustern zählt die Gruppierung nach bestimmten Identifikationspunkten, wie etwa eine IP oder eine E-Mail-Adresse. Dem Benutzer werden mögliche Einstellungen vorgeschlagen. Zum Beispiel: „70 % der Anfragen aus dieser Quelle wurden als kritisch eingestuft. Ein legitimer Alarm bedeutet, dass es sich um einen Angriff handelt. Wenn Sie diesen als bösartig markieren, wird er blockiert. Als gutartig markieren, um Fehlalarme zu unterbinden – dies zeigt an, dass das System zu viele Anfragen als bösartig erkannt hat.“ Dies unterstützt das maschinelle Lernen bei der Erkennung gutartiger Anfragen, eine Bewertung, die letztendlich erfolgt wäre. Durch überwachtes Lernen können Benutzer diesen Vorgang beschleunigen.

7ENTWURF ZUR ANWENDUNGSSICHERHEIT IN DER CLOUD

OpenAPI Schema-Validierung Wenig Spielraum für API-Angriffe Zusätzlich zur kontextbezogenen Engine und maschinellem Lernen bietet CloudGuard AppSec eine API Schema-Validierung. Benutzer können ihr Schema hochladen, in der Regel in Form einer JSON- Datei, welche die API-Funktionalität des Servers beschreibt. CloudGuard AppSec gewährleistet die Durchsetzung dieses Schemas, indem es sicherstellt, dass niemand Anwendungen über APIs und Felder infiltrieren kann, die nicht explizit freigegeben wurden. Dies erreicht es durch Untersuchung der Schlüssel im Schema und indem überprüft wird, dass der in der Anfrage übermittelte Wert dem Erlaubten entspricht. Hier ist ein Beispiel einer solchen JSON-Datei:

Beachten Sie, dass der Typ jedes Feldes explizit festgelegt ist. Das Feld „readingValue“ muss beispielsweise eine Ziffer mit Werten zwischen 1 höchstens 100.000 sein.

Wenn der Client die POST- Anfrage an den Server sendet, enthält diese die Entscheidung des Scripts, welche besagt, ob

der Traffic durch einen Menschen oder durch einen

Bot ausgelöst wurde.

8ENTWURF ZUR ANWENDUNGSSICHERHEIT IN DER CLOUD

Bot-Angriffe – Menschliche und nicht-menschliche Angriffe unterscheiden Legitimen Bot-Traffic validieren Bösartige Bots sind von Bedrohungsakteuren bereits bei einer Vielzahl von Angriffen verwendet worden, von verteilten Denial-of-Service-Angriffen bis zum Aufkauf der neuesten Sneakers von Nike innerhalb von Sekunden. Unter Bedrohungsakteuren ist die Verwendung von Bots für automatisierte Angriffe gängige Praxis. Einige Beispiele der Nutzung von Bots als Waffe durch Bedrohungsakteure umfassen:

• Reconnaissance

• Scraping

• Ausspähen von Zugangsdaten

• Automatisierte Erstellung von Konten

• Token-Cracking

CloudGuard AppSec nutzt clientseitige Verhalten- sanalyse, um menschliches Verhalten zu erkennen.

Sobald ein Client sich mit einem Server verbindet, wird eine GET-Anfrage ausgelöst.

Der Client erhält vom Server die angeforderte Seite,

einschließlich eines von Check Point entwickelten Javascripts,

das in den Browser des Clients injiziert wird.

Das Script erfasst Informationen zum

Verhalten des Clients.

9ENTWURF ZUR ANWENDUNGSSICHERHEIT IN DER CLOUD

Fazit Anwendungen sind eine treibende Kraft aller Unternehmen, und mit der steigenden Verbreitung von APIs nimmt auch die Angriffsfläche ständig zu. DevOps aktualisieren Anwendungen mit steigender Regelmäßigkeit. Die Anwendungssicherheit ist nicht in der Lage, mit der Geschwindigkeit dieser Entwicklung Schritt zu halten. Moderne Anwendungen verlangen moderne Sicherheit, die eine präzise Prävention ohne Fehlalarme bietet. Moderne Cloud-Anwendungen müssen durch vollständig automatisierte Sicherheitslösungen geschützt werden, die kontinuierlich lernen und Einblicke in die Anwendung, Inhalte und das Nutzerverhalten erhalten, um jede eingehende Anfrage auf Grundlage der richtigen Entscheidung zu verarbeiten.

CloudGuard bietet Anwendungssicherheit, die von kontextbezogener KI angetrieben wird. Im Mittelpunkt steht hierbei die Untersuchung aller Parameter einer Webanwendung bzw. einer API- Anfrage, um eine Risikobewertung zu erstellen. Durch die automatische Erkennung bösartiger und nicht bösartiger Anfragen reduziert CloudGuard betrieblichen Mehraufwand und bietet zugleich ein hohes Maß an Genauigkeit in der Bedrohungsprävention.

Starten Sie noch heute Ihre Gratis-Testphase von CloudGuard AppSec oder fordern Sie eine Demo an!

Headquarter (weltweit) 5 Ha’Solelim Street, Tel Aviv 67897, Israel | Tel: +972 3-753-4555 | Fax: 972-3-624-1100 | E-Mail: info@checkpoint.com

U.S. Headquarters 959 Skyway Road, Suite 300, San Carlos, CA 94070 | Tel: 800-429-4391; 650-628-2000 | Fax: 650-654-4233

www.checkpoint.com

© 2022 Check Point Software Technologies Ltd. Alle Rechte vorbehalten.

IPS-Schutz Protokollbasierte Angriffe verhindern und bekannte Schwachstellen umgehen Der IPS-Schutz von CloudGuard AppSec ergänzt die bereits dargestellten Schutzmaßnahmen. Obwohl der Selbstschutz von Anwendungen HTTP-Anfragen mit einem tieferen Verständnis und maschinellem Lernen verarbeitet, können Schwachstellen außerhalb der bekannten und untersuchten Muster unentdeckt bleiben. IPS erkennt alle bekannten Schwachstellen. Es verfügt über die Fähigkeit, bösartige CVEs durch den Abgleich von Signaturen in den Anfragen zu verhindern. Wenn eine Signatur einem Muster entspricht, die als Teil eines CVE bekannt ist, wird diese blockiert.

Die Signaturen in CloudGuard AppSec sind HTTP-basiert. Das Backend, das Check Point zur Erkennung dieser bösartigen Signaturen verwendet, ist ThreatCloud – ein kooperatives Netzwerk und eine cloudbasierte Knowledge Base, die dynamische Sicherheitsdaten in Echtzeit bereitstellt.

CloudGuard AppSec ist die logische Entwicklung weg von regelbasierten WAF hin zu automatisiertem und selbstlernendem Anwendungsschutz.

https://pages.checkpoint.com/cloudguard-appsec-trial.html https://pages.checkpoint.com/cloudguard-appsec-demo.html https://www.checkpoint.com/support-services/threatcloud-managed-security-service/