Integrierte Web-App- und API-Sicherheit für jede Umgebung
Fastly bietet die WAF mit den flexibelsten Bereitstellungsoptionen auf dem Markt und kann Ihre Anwendungen und APIs mit einer einzigen integrierten Lösung schützen, wo auch immer sie sich befinden – in Containern, in On-Premise-Umgebungen, in der Cloud oder auf der Edge. Profitieren Sie von einem umfassenden Schutz, ohne Abstriche bei der Performance machen zu müssen oder spezielles Personal zu benötigen: Die Fastly Next-Gen WAF (powered by Signal Sciences) ist sofort einsatzbereit und so effektiv, dass fast 90 % unserer Kunden sie komplett im Blocking Mode betreiben.
Die Fastly Next-Gen WAF bietet den proaktiven Schutz, den moderne Apps benötigen, und lässt sich gleichzeitig in Ihre DevOps- und Security-Toolchains integrieren, um beispiellose Transparenz zu schaffen. Unsere flexible Architektur kann Ihre App-Sicherheitsstrategie voranbringen, indem sie Entwicklern, Operations- und Sicherheitsteams Einblicke liefert, wo und wie Ihre Webanwendungen und APIs angegriffen werden.
Architekturübersicht
Die Fastly Next-Gen WAF ist eine hybride Software-as-a-Service (SaaS)-Lösung mit drei Hauptkomponenten. Dieser von Signal Sciences entwickelte, patentierte Ansatz ermöglicht es uns, selbst Anwendungen und APIs mit dem höchsten Volumen einfach zu skalieren und zu schützen, ohne die Performance zu beeinträchtigen.
<br>
Agents
Leichtgewichtige Agents, die Sie auf Ihrer bestehenden Infrastruktur deployen, um Anforderungen schnell und präzise zu erkennen und Entscheidungen dazu zu treffen.
Agents bestehen aus einem kleinen Daemon-Prozess und sind darauf ausgelegt, extrem hohe Lasten zu bewältigen und gleichzeitig auf lokaler Ebene leistungsstarke, exakte Erkennungen durchzuführen und Entscheidungen zu treffen. Der Agent sammelt auch Metadaten zu den von ihm verarbeiteten bösartigen Anforderungen und gibt diese Metadaten an die Cloud Engine weiter. Wir schützen einige der am stärksten frequentierten Websites im Internet, wo Zehntausende von Agents gemeinsam Billionen von Anforderungen in der Produktivumgebung verarbeiten, ohne die Performance von Apps oder API-Performance zu beeinträchtigen. Agents blockieren Angriffe, bevor sie Apps oder APIs erreichen, und bieten nicht nur Transparenz bei eingehenden Anforderungen, sondern auch bei Serverantworten und Anomalien, die zeigen, wie sich die App verhält.
Modul
Optionale, aber leistungsstarke Komponente, die zusammen mit unseren Agents für hohe Performance und Zuverlässigkeit sorgt.
Module laufen auf fast allen Webservern (NGINX, Apache, IIS und weiteren) und in fast allen Anwendungssprachen (.NET, Java, Python, PHP, .nodeJS, und weiteren). Das Modul besteht nur aus einigen hundert Codezeilen, um sowohl Zuverlässigkeit als auch extreme Performance zu gewährleisten. Seine einzige Aufgabe ist es, Anfragen an den Agent weiterzuleiten sowie Entscheidungen vom Agent zu empfangen und durchzusetzen, um die Anfrage an die App weiterzuleiten oder sie zu Log/blockieren (je nachdem, welcher Modus in der Konsole festgelegt ist).
Cloud Engine
In der Cloud gehostetes Analyse-Backend, das den Agent asynchron mit Informationen aus externen und proprietären Quellen anreichert, um dynamische, App-spezifische Erkennungen durchzuführen.
Die Cloud Engine sammelt und analysiert anonymisierte Angriffs- und Telemetriedaten von den vielen tausend Software-Agents unserer Kunden. Der Output der Cloud Engine wird von den lokalen Agents genutzt, um die Erkennung zu verbessern und aggressivere Blockierungsentscheidungen zu treffen. Die Entscheidungsfähigkeit der Agents wird durch unsere NLX (NLX) verbessert, die bestätigte bösartige IP-Quellen innerhalb der Managementkonsole weitergibt. So werden Sie vor verdächtigen Akteuren gewarnt, bevor diese eine Bedrohung für Ihre Apps und APIs darstellen können. Zu den weiteren Feeds gehören externe Listen bösartiger IPs und Custom IP-Listen, die allesamt zusätzlichen Anforderungskontext liefern, der zur Entscheidungsfindung der Agents beiträgt. Diese Transparenz und dieser Kontext werden über unsere API und native Integrationen mit DevOps-Tools geteilt, die Ihr Team bereits verwendet, darunter Slack, PagerDuty, Jira und weitere, sowie Sicherheitstools wie Elastic und Palo Alto Networks Cortex XSOAR. Metriken und Ereignis-Reporting für Ihren gesamten App-Footprint sind auch über Dashboards in einer einheitlichen Managementkonsole leicht verfügbar.
Bereitstellungsoption
Native Bereitstellungsoptionen für Rechenzentrum, Cloud, Container und serverlos.
Bereitstellungsoption Nr. 1: Cloud- und Container-nativ
Das Agent-Modul-Paar lässt sich innerhalb weniger Minuten auf Ihrem Webserver, API-Gateway oder auf Anwendungsebene installieren. Unser Agent ist infrastrukturunabhängig, sodass Sie ihn dort deployen können, wo Sie ihn benötigen, ohne sich Gedanken über Abhängigkeiten von zugrundeliegenden Sprachen oder Frameworks machen zu müssen.
Implementierung in Kubernetes und Service Mesh
Neue App-Tools und Frameworks wie Kubernetes helfen Unternehmen beim schnellen Umstieg auf DevOps. Unternehmen releasen Code heute schneller als je zuvor, und Fastly bietet flexible Bereitstellungsoptionen, die zu Ihrer Container-Strategie passen, mit drei „Layern“, in denen Sie unsere WAF in Kubernetes installieren können, und vier Methoden, wie Sie deployen. Außerdem sorgen unsere native Integrationen mit Envoy Proxy und den Istio-Service-Meshes für Transparenz sowohl bei Nord-Süd-Anforderungen (Client-Server) als auch bei Ost-West-Anforderungen (Service-zu-Service).
Installationsmethode | Layer 1: Ingress-Controller | Layer 2: Mid-Tier-Service | Layer 3: App-Ebene |
|---|---|---|---|
Agent + Modul im selben App-Container | "check" | "check" | "check" |
Agent + Modul in verschiedenen Containern | "check" | "check" | "check" |
Agent im Reverse-Proxy-Modus im selben Container wie die App | "check" | "check" | "check" |
Agent im Reverse-Proxy-Modus im Sidecar-Container | "check" | "check" | "check" |
Fastly unterstützt vollständig Deployments für:
<br>
Bereitstellungsoption Nr. 2: Rechenzentrum und herkömmliche Anwendung
Kunden, die Schutz für herkömmliche Anwendungen oder in Rechenzentren bereitgestellte Anwendungen benötigen, entscheiden sich in der Regel für eine von zwei Bereitstellungsoptionen: Sie installieren die Fastly Next-Gen WAF, um den Traffic zu prüfen, bevor Webanfragen den App- oder API-Endpoint erreichen, oder sie installieren unseren Agent im Reverse-Proxy-Modus. Unser Modul kann z. B. am Loadbalancer (A10 Networks, HAProxy, NGINX) oder am API-Gateway (Ambassador, Kong, Cloudentity) installiert werden. Unser Agent kann im Reverse-Proxy-Modus für Kunden bereitgestellt werden, deren Anforderungen eine Installation am Loadbalancer oder API-Gateway nicht zulassen.
<br>
A10 Next-Gen WAF, betrieben von Fastly
Für einen überlegenen On-Premise-Schutz haben A10 Networks und Fastly sich zusammengeschlossen, um Kunden das A10 Next-Gen WAF, betrieben von Fastly, anzubieten. Der A10 Thunder ADC bietet erstklassige App-Auslieferung und Schutz gegen eine Vielzahl fortschrittlicher Angriffe mit außergewöhnlicher Genauigkeit, wodurch die Serviceverfügbarkeit gewährleistet ist und gleichzeitig Komplexität und TCO reduziert werden.
Bereitstellungsoption Nr. 3: auf der Edge
Die Fastly Next-Gen WAF ist im Fastly Edge-Cloud-Netzwerk verfügbar, sodass Kunden Sicherheitskontrollen als Teil der Fastly Auslieferungs-Services durchsetzen können. Die Edge-Cloud-Bereitstellungsoption ist nahtlos in „Varnish“, den Caching Layer von Fastly, integriert.
Dies sorgt für Schutz und Beschleunigung in unmittelbarer Nähe der Nutzer durch Abschirmung der Origin-Systeme vor missbräuchlichem Angriffs-Traffic bei gleichzeitiger erstklassiger Performance. Unsere Edge-Bereitstellung ist ideal für Kunden, die keine Software auf der bestehenden Infrastruktur installieren können und die Performancevorteile des globalen Content Delivery Networks (CDN) von Fastly nutzen möchten. Außerdem bietet diese Bereitstellungsoption zusätzliche Funktionen, einschließlich „always-on“ DDoS-Schutz für Layer 3 und 4 sowie TLS-Management.
<br>
Bereitstellungsoption Nr. 4: Cloud WAF
Mit Cloud WAF können Sie Webanwendungen, APIs, Microservices und serverlose Anwendungen schnell und einfach schützen – ohne in Ihrer Infrastruktur Software installieren zu müssen. Nach dem Deployment genügt eine einfache DNS-Änderung, um den App-Traffic auf Cloud WAF zu lenken und die Transparenz und den Schutz der Fastly Next-Gen WAF für Ihre Apps zu aktivieren. Sämtliche Webanforderungen werden an unseren Cloud Enforcement Layer umgeleitet, wo schädliche Anforderungen erkannt und blockiert werden. Legitimer Traffic wird hingegen uneingeschränkt an Ihren App Origin weitergeleitet. Cloud WAF ist ideal für Kunden, die eine einfach zu verwaltende WAF hinzufügen möchten, ohne Änderungen an ihrem CDN-Layer upstream vornehmen zu müssen.
Sicherheit + Datenschutz
Viele führende Unternehmen für Finanzdienstleistungen, Unternehmen des Gesundheitswesens und andere Unternehmen mit strengen Datenschutz-Anforderungen nutzen die Next-Gen WAF von Fastly wegen unserer soliden Architektur, die für den Datenschutz entwickelt wurde. Sensible Daten werden ausschließlich innerhalb der Kundenumgebung verarbeitet, und nur bereinigte und redigierte Teile von Anforderungen, die als Angriffe oder Anomalien gekennzeichnet sind, werden dann an die Fastly Cloud Engine gesendet.
Sobald der Agent einen potenziellen Angriff oder eine Anomalie in einer Anforderung erkennt, werden lokal vollständig individuell anpassbare Entfernungen angewendet, und der Agent sendet dann nur den redigierten einzelnen Parameter der Anforderung, der die Angriffs-Payload enthält, sowie einige andere nicht sensible oder gutartige Teile der Anforderung, wie Client-IP-Adresse, User Agent, URI usw. Unser Backend sammelt nur die Metadaten der Antwort, z. B. Antwortcodes, Größen- und Zeitangaben. Wir bieten unseren Kunden die Möglichkeit, Entfernungsrichtlinien und Felder bei Bedarf vollständig anzupassen. Als zusätzlichen Schutz sorgt Fastly automatisch für die Entfernung gängiger sensibler Datentypen – wie Passwörter, Schlüssel, GUIDs und aller Arten von personenbezogenen Daten oder geschützten Gesundheitsinformationen – bevor die Anforderung an unser Backend gesendet wird.
„Die WAF ist sofort einsatzbereit, skaliert automatisch und liefert hervorragende Transparenz bei gleichzeitigem Schutz der App.“
Integrationen in DevOps- und Security-Toolchains
Der beste Pfad zum Erfolg für einen effektiven App- und API-Schutz besteht darin, Entwicklungs-, Operations- und Sicherheitsteams dieselben grundlegenden Sicherheitsdaten in den von ihnen bereits verwendeten Tools zur Verfügung zu stellen. Fastly arbeitet mit den besten Tools und Plattformen der Branche zusammen, um Ihre DevOps- und Sicherheitstoolchains mit Echtzeitwarnungen zu versorgen und sicherzustellen, dass Ihre Teams unsere Sicherheitstelemetrie für die Produktivumgebung innerhalb der aktuellen Tools und Prozesse Ihres Unternehmens für weitere Untersuchungen und Analysen nutzen können.
Out-of-the-box-Technologieintegrationen helfen Teams dabei, den Übergang zu modernen Entwicklungsmodellen und -architekturen zu vollziehen oder fortzusetzen. Unsere Ein-Klick-Integrationen umfassen die gängigsten Alerting-Engines für Entwicklung und Operations, Chat-Ops-, Projektmanagement- und Incident-Tracking-Systeme.
Technologie- und Plattformintegrationen
Setzen Sie Fastly Next-Gen WAF überall ein
Load Balancer
Webserver
IAAS
PAAS
Container
Konfigurationsmanagement
<br>
Feed-Integrationen und -Partner
Senden und Empfangen von Daten von der Fastly Next-Gen WAF
DevOps-Toolchain
Sicherheitsinformations- und Ereignismanagement/SOAR
