WAF technologie moet zich aanpassen nu apps steeds meer verspreid zijn

Applicaties, die de kern vormen van onze digitale ervaringen, worden nog steeds ingezet in uiteenlopende omgevingen, waaronder private en publieke clouds, on-premises, in datacenters, en aan de edge. Zo ook worden technologieën voor de beveiliging van applicaties steeds vaker op andere plaatsen ingezet dan de applicaties die ze bedienen. Ze zijn niet langer noodzakelijk gebonden aan de applicaties die ze bedienen, maar worden in verschillende omgevingen ingezet en kunnen meerdere applicaties ondersteunen.

Volgens het F5 State of Application Strategy Report 2022 zet 92% van de organisaties nog steeds enkele applicaties on-premises in, maar slechts 53% van hen host daar app beveiligingstechnologie. Moderne app ontwikkeling, inzet, creatie processen, en ondersteunende diensten zijn samengekomen en modulair geworden. Ze zijn allemaal van cruciaal belang voor de digitale ervaring die klanten eisen.

Deze digitale groei betekent een explosie van het aantal applicaties, integraties, en omgevingen, waardoor het voor DevOps, DevSecOps, en SecOps steeds uitdagender wordt om een robuuste multi-cloud uitbreidings- en beveiligingsstrategie te bepalen en uit te voeren. Een doorsnee organisatie kan tussen de 200 en 1.000 applicaties beheren - naast het gebruik van verschillende third-party-as-a-Service aanbiedingen. Complexiteit is nu de norm:

• Applicaties worden gebouwd met behulp van vele talen in meerdere Integrated Development Environments (IDE's).
• Applicaties worden ingezet op verschillende infrastructuur platforms met verschillende toolsets en inzetmogelijkheden over cloud, datacenters, containers, microservices, en serverless.

Standaardisatie of diversificatie bij het inzetten van applicaties?

Natuurlijk kunnen we proberen zoveel mogelijk te standaardiseren om de complexiteit tot een minimum te beperken. In de loop van de tijd was traditionele applicatie-ontwikkeling traag, inflexibel en onbeheersbaar geworden, niet in staat om in te spelen op de snel veranderende behoeften van klanten, terwijl ook de grenzen tussen de rollen van applicatie-ontwikkeling vervaagden. Je zou kunnen aanvoeren dat je schaalvoordelen bereikt als je dezelfde IDE voor toepassingen gebruikt, omdat je code onderhoudt en bouwt op één systeem. Je kunt ook standaardiseren op een gemeenschappelijk deployment raamwerk, zoals Ansible en Terraform, of kiezen voor inzet op één enkele cloud provider. De risico's van het gebruik van één soort infrastructuur en ecosysteem wegen over het algemeen echter veel zwaarder dan de voordelen. Je riskeert vendor lock-in, een single point of failure, en een onvermogen om de kosten te beheersen.

Daarentegen kun je schaal en efficiëntie bereiken als je in diverse omgevingen uitrolt. Overstappen van het inzetten van fysieke servers naar virtuele machines om de onderliggende hardware afhankelijkheden te optimaliseren maakt het bijvoorbeeld gemakkelijker en sneller om compute te schalen. Op dezelfde manier wordt het voordeel van virtuele machines al snel teniet gedaan als je containers overweegt, een draagbaar stukje virtuele compute dat over elke infrastructuur inzetbaar is.

Waarom accepteren we dan dat we gebonden zijn aan infrastructuur-specifieke beveiliging als onze toepassingen heel divers zijn? Als je compute in AWS uitrolt met een mix van virtuele machines en containers, kun je uiteindelijk beveiligingstools van AWS en verschillende tools on-premises gebruiken die niet compatibel zijn. Er is personeel nodig om elke tool te beheren, wat extra middelen en training vereist. Ook kun je, omdat de controles verschillend zijn, zeker weten wat de risicoblootstelling is? En als je naar een andere cloud provider uitbreidt, moet je nieuwe hulpmiddelen leren kennen. Daarom is het een kwestie van tijd geworden om applicaties los te koppelen van hun web application firewalls (WAFs), met de wijdverbreide overstap naar de cloud, de opkomst van de edge, en de daaruit voortvloeiende gedistribueerde aard van applicaties. De beste inzetlocatie voor een gegeven WAF hangt niet alleen af van waar de applicatie zich bevindt, maar ook van andere factoren zoals de aard en locatie van de gebruikers van de applicaties, de aard van de WAF zelf, enz.

F5's WAF portfolio

F5's WAF portfolio, gebaseerd op zijn BIG-IP Advanced WAF engine, past zich aan de unieke eisen van de moderne applicaties en implementaties van vandaag aan. Het biedt flexibele implementatie- en operationele keuzes om aan te sluiten bij de infrastructuur, architectuur, applicatie-locatie en expertise van je organisatie in volledig beheerde, self-service, hybride SaaS, en web-omgevingen, zonder in te leveren op effectiviteit of risico. Organisaties kunnen gebruik maken van:

1. BIG-IP Advanced WAF, beschikbaar voor on-premises/datacenter en publieke of private cloud (virtuele editie) implementatie, voor robuuste, goed presterende webapplicatie- en API beveiliging met granulaire, zelfbeheerde controles.
2. F5 NGINX App Protect WAF voor een lichtgewicht software beveiligingsoplossing die krachtige, low-latency en platform-agnostische implementaties biedt voor moderne, op microservices gebaseerde applicaties en containers.
3. F5 Distributed Cloud WAF voor SaaS-gebaseerde implementaties in een gedistribueerde omgeving die de operationele overhead vermindert met een optionele volledig managed service.

Over het geheel genomen zijn deze beveiligingsoplossingen best-in-class en blijven ze voorop lopen in de innovatie van beveiliging om organisaties in staat te stellen al hun toepassingen te beveiligen, waar ze ook worden ingezet - publieke of private clouds, on-premises datacenters, of aan de rand - en ongeacht hun architecturen: monolithisch / legacy, microservices, service mesh, of serverless.

Naarmate de werklast zich uitbreidt over verschillende omgevingen en app architecturen, willen organisaties consistente beveiligingscontroles kunnen afdwingen voor alle toepassingen, waar dan ook. De visie van F5 is een verenigde suite van marktleidende web application firewall tools, die organisaties in staat stelt de juiste WAF voor hun gebruikssituatie in te zetten en tegelijk beleidslijnen, telemetrie en inzichten te delen. Dit neemt de complexiteit weg van het beheer van inconsistente en ongelijksoortige beveiligingsbeleidslijnen en handhaving in heterogene en hybride cloud omgevingen, zodat organisaties de volgende generatie slechte actoren en aanvallen efficiënt kunnen neutraliseren. Zie hieronder een visual van hoe het allemaal samenkomt.