Q&A: Was ist neu bei Barracuda Cloud Application Protection

Gestern haben wir eine Erweiterung von Barracuda Cloud Application Protection (CAP), die Plattform für Web Application und API-Schutz (WAAP) von Barracuda, vorgestellt, um leistungsstarke neue automatisierte API-Discovery- und GraphQL-Sicherheitsfunktionen hinzuzufügen, die Funktionen zum Schutz vor Account Takeover zu verstärken und den clientseitigen Schutzfunktionsumfang zu verbessern.

Um Ihnen ein genaueres Bild davon zu vermitteln, was es Neues gibt und wie Sie dadurch unterstützt werden können, haben wir uns mit Nitzan Miron, Vice President of Product Management, Application Security bei Barracuda zusammengesetzt, um seine Einblicke zu der neuen Version von Cloud Application Protection zu erhalten.

Interview mit VP Nitzan Miron

Nitzan, was ist neu bei dieser Version von Barracuda Cloud Application?

Zunächst ist Cloud Application Protection die WAAP-Plattform von Barracuda. Der Gedanke dahinter ist, dass die Anwendungssicherheit mit vielen unterschiedlichen Lösungen und zahlreiche Bedrohungen, vor denen Unternehmen geschützt werden müssen, sehr komplex geworden ist. Und mit Barracuda Cloud Application Protection versuchen wir, das alles einfacher zu machen und eine einzige Plattform zu schaffen, die Ihnen alles in einem benutzerfreundlichen Paket bietet, was Sie zum Schutz Ihrer Anwendungen benötigen.

Anfang dieses Jahres haben wir unsere Forschungsergebnisse zu den neuen ABCs der Anwendungssicherheit – API-Schutz, Bot-Schutz und clientseitige Sicherheit veröffentlicht. Mit dieser Version führen wir leistungsstarke neue Funktionen ein, die komplexe Bedrohungen von jedem dieser Bedrohungsvektoren bekämpfen. Diese neuen Funktionen sind außerdem benutzerfreundlich und ermöglichen kontinuierliche Sicherheit und Compliance mit Sicherheitsstandards wie dem kommenden PCI-DSS.

In Bezug auf API-Schutz führen wir API Discovery ein, das durch maschinelles Lernen (ML) und Sicherheit für GraphQL-basierte APIs unterstützt wird. Für Bot-Schutz führen wir Privileged Account Protection ein, bei dem maschinelles Lernen zur risikobasierten Identifizierung von Account-Takeover-Angriffen und neue ML-Modelle zur Erkennung fortgeschrittener Bots eingesetzt werden. Und für die clientseitige Sicherheit bieten wir mehr Automatisierung und Transparenz über die Konfigurationen, die erforderlich sind, um Anwendungen vor Angriffen auf die Website-Lieferkette zu schützen.

Können Sie näher auf die API-Discovery-Funktionen eingehen?

Gerne. Barracuda Web Application Firewall und WAF-as-a-Service können jetzt unter Verwendung von maschinellem Lernen eine kontinuierliche, automatische API-Erkennung durchführen. In der Praxis bedeutet das: Wenn eine Anwendung eine API verwendet, kann die Web Application Firewall oder WAF-as-a-Service diese direkt erkennen, ohne dass eine manuelle Konfiguration erforderlich ist.

Diese Funktion reduziert den Verwaltungsaufwand für den Import von API-Spezifikationen und die Konfiguration von Schutzmechanismen erheblich, während Entwicklungsteams gleichzeitig sichere APIs schnell erstellen und einsetzen können. Mit API Discovery müssen Sie sich keine Sorgen mehr über unentdeckte APIs oder Schatten-APIs machen, die in Anwendungen verwendet werden und zu API-Missbrauch oder Datenschutzverletzungen führen könnten, und Compliance und Sicherheit werden verbessert.

Ein Beispiel für Schatten-APIs, die Chaos verursachen, ist die Schwachstelle des WordPress-Plug-ins von OptinMonster. Über eine Million Websites waren von dieser Schwachstelle betroffen, weil die API-Endpunkte nicht ordnungsgemäß gesichert waren. Ein noch größeres Problem war, dass Administratoren nicht wussten, dass ihre Websites in vielen Fällen diese API freigelegt hatten – und das ist ein Muster, das wir bei WordPress und Plug-ins häufig gesehen haben. Wäre die Website in diesem Fall durch unsere API-Erkennungsfunktionen geschützt gewesen, wäre sie entdeckt, geschützt und dem Administrator angezeigt worden.

Verstanden – können Sie uns etwas über die andere API-Schutzfunktion mit GraphQL-Schutz erzählen?

 GraphQL ist eine Open-Source-Abfragesprache für APIs, durch die die Art und Weise, wie APIs erstellt und bereitgestellt werden, schnell verändert wird. Sie beschleunigt die Entwicklung und mit einer verbesserten Entwicklererfahrung wird ein erheblicher Teil der Anwendungen von einfachen REST-APIs auf GraphQL umgestellt. GraphQL ermöglicht zwar die Erstellung flexibler APIs, beinhaltet aber auch komplexe Konfigurationen, die Anwendungen verschiedenen Sicherheitsschwachstellen aussetzen können, z. B. DDoS-Angriffe, Injection Angriffe, Introspektion-Abfragen (die sensible Daten offenlegen können) oder andere bösartige Abfragen.

Mit dieser neuen Version haben wir das native Parsen von GraphQL-Anfragen und die Durchsetzung von Sicherheitsüberprüfungen zum Schutz vor diesen Angriffen hinzugefügt. GraphQL wird überall für neue Anwendungen eingesetzt und diese Fähigkeiten tragen dazu bei, dass diese Anwendungen nicht von Anfang an gefährdet sind.

Sprechen wir über das B von ABC – was sind unsere neuen Bot-Schutzfunktionen?

Bei Bot-Angriffen ist der Account Takeover einer der häufigsten und kritischsten Angriffe. Web-Applikationen und APIs sind ständig der Bedrohung von Account-Takeover-Angriffen ausgesetzt. Account-Takeover-Angriffe werden häufig von Cyberkriminellen eingesetzt, um die Benutzerkonten legitimer Benutzer zu stehlen, sowohl private als auch geschäftliche Konten, indem sie gestohlene Zugangsdaten aus Datenschutzverletzungen verwenden. Sobald diese Konten gestohlen wurden, können die böswilligen Akteure die Konten verwenden, um Geld zu überweisen, hinterlegte Mittel, Kreditkarten, Geschenkkarten und Treuepunkte zu verwenden, Ransomware zu verbreiten, Daten zu stehlen und andere Cyberangriffe durchzuführen, auch in anderen Bot-Kampagnen wie Scalping und Web-Scraping.

Mit dieser Version fügt Barracuda Cloud Application Protection den vorhandenen ATO-Funktionen ein evolutionäres Upgrade hinzu – PAP (Privileged Account Protection). Unterstützt durch eine Schicht des maschinellen Lernens lernt PAP die Anmeldemuster der konfigurierten Anmeldekonten und identifiziert das Risiko von Anmeldungen. Wenn die Modelle des maschinellen Lernens eine riskante Anmeldung erkennen, kann PAP den Administrator warnen und vorkonfigurierte Maßnahmen ergreifen, um Account-Takeover-Angriffe zu verhindern.

Diese Funktion ist auch bei der PCI-DSS-Compliance wichtig. Die neuen PCI-DSS 4.0-Standards beinhalten einiges über Anmeldung-Schutzmaßnahmen basierend auf Risikobewertungen, wozu PAP ziemlich gut passt. Weitere Informationen dazu werden wir in Kürze veröffentlichen!

Wir haben außerdem dem Dashboard der Advanced Threat Intelligence für Bot-Schutz neue Modelle für maschinelles Lernen zur Erkennung fortgeschrittener Bots und neue Feedbackschleifen-Funktionen hinzugefügt.

Alles klar. Und das C? Neue clientseitige Schutzfunktionen?

Clientseitige Angriffe haben stark an Bedeutung zugenommen und Skimmer wie die Magecart-Gruppe haben in den letzten Jahren massive Schäden auf Websites verursacht. In dieser Version hat der clientseitige Schutz von Barracuda Cloud Application Protection verbesserte Kontrollen für die Konfiguration und Visualisierung von Inhalte-Sicherheitsrichtlinien und die Einstellungen für die Integrität von untergeordneten Ressourcen hinzugefügt. Das Anwendung-Dashboard unterstützt jetzt Aktionen zur Behebung von CSP-Verstößen mit Ein-Klick-Vorschlägen und fügt neue Visualisierungen und Steuerelemente hinzu, um Administratoren die Einrichtung und Aufrechterhaltung Ihrer Schutzmaßnahmen zu erleichtern.

In der Praxis bedeutet das für Administratoren, dass wir ihnen einen Großteil der Arbeit bei der Einrichtung und Aufrechterhaltung ihrer CSP- und SRI-Konfigurationen abnehmen – und das allein ist eine große Erleichterung. Die Visualisierung und Ein-Klick-Einstellungen zur Behebung fügen eine weitere Ebene der Benutzerfreundlichkeit hinzu, die wir im Laufe der Zeit weiter verbessern werden, um es Administratoren noch leichter zu machen, diese komplexen Einstellungen einzurichten und zu verwalten.

Gibt es ein Thema, das wir noch nicht angesprochen haben?

Ja! Die neue technologische Integration der Barracuda Web Application Firewall und der Venafi Trust Protection Platform bietet eine voll ausgestattete, einheitliche Lösung, die eine sichere, zentralisierte und automatisierte Verwaltung von Zertifikaten und Schlüsseln in der Barracuda Web Application Firewall ermöglicht. Diese Integration erhöht die Sicherheit der verwalteten Rechneridentitäten und beseitigt die Sorgen und Risiken, die mit Zertifikat-bezogenen Ausfallzeiten und Risiken verbunden sind. Kunden, die Barracuda und Venafi nutzen, können jetzt direkt den Venafi Marketplace besuchen, um diese Integration auszuprobieren.

Schützen Sie Ihre Anwendungen mit einer einfachen Plattform.