Airlock Gateway 8.2

Airlock Anomaly Shield

Mit Gateway 8.2 kann Anomaly Shield das Verhalten von Browser Clients analysieren, um Bots von Menschen zu unterscheiden. Das erfolgt transparent für den Benutzer und vermeidet so die negativen Auswirkungen von CAPTCHAs auf die Benutzerfreundlichkeit. Dieses Feature nennt sich Client Behavior Analysis und wird als neues Modell angeboten.

Die Konfiguration des Anomaly Shield wurde mit mehreren Massnahmen optimiert und vereinfacht. Für die Erstkonfiguration des Anomaly Shield wird jetzt eine empfohlene Defaultkonfiguration mit Triggers und Rules direkt im Configuration GUI angeboten. Diese Defaultkonfiguration entspricht der Empfehlung aus der Dokumentation und muss nicht mehr manuell erfasst werden.

Im laufenden Betrieb sollten alle ML Modelle immer wieder neu trainiert werden, um sicher zu sein, dass Veränderungen im Verhalten der Angreifer von den Modellen erkannt werden und um zu verhindern, dass über die Zeit mehr False Positives entstehen. Um den Betriebsaufwand für Retraining zu minimieren, kann jetzt konfiguriert werden, ob alle Modelle regelmässig neu trainiert und auch sofort angewendet werden sollen.

Policy Learning

In einer produktiven Umgebung treten typischerweise viele Blocks auf. Die False-positives unter den True-Positives zu finden, ist kein einfaches Unterfangen. Deshalb wurde das Policy Learning in Airlock Gateway 8.2 um die Filter "Authenticated Sessions only", "Max. Attack Type per IP" und "Source Country" erweitert, um dem Admin die Arbeit zu erleichtern. Blocks, welche nach Anwenden der neuen Filter angezeigt werden, sind mit grosser Wahrscheinlichkeit false-positives.

OpenAPI Erweiterung

Services mit APIs sind die Zukunft von Webapplikationen. Technologisch schon länger State-of-the-Art, werden APIs sogar regulatorisch gefordert, wie z.B.in der EU-weiten Richtlinie für die Finanzindustrie PSD2. Solche öffentlichen APIs haben einen besonders hohen Schutzbedarf, da sie direkten Zugriff auf sensitive Geschäftsdaten ermöglichen.

Die OpenAPI Unterstützung in Airlock Gateway 8.2 wurde um "application/x-www-form-urlencoded" erweitert. Neu bietet Airlock Gateway noch mehr Schutz für die Back-ends und APIs, validiert die Anfragen und blockiert die nicht-konformen Anfragen. Manuell konfigurierte oder gelernte Security Policies werden obsolet, da bei Service Updates aktualisierte Spezifikationen automatisch mitgeliefert werden können. Das ist eine Win-Win Situation für Security und Betrieb: Präzise Allowlist-Regeln für API-Zugriffe, automatisch aktualisiert!

Post-Quantum Cryptography: PoC

Security ist bei Airlock sehr hoch geschrieben. Deshalb verfolgen wir Themen wie "Post-Quantum Cryptography" mit einem Adlerauge. Um Erfahrungen in Kundenumgebungen zu sammeln, haben wir mit ausgewählten Kunden ein Forschungsprogramm gestartet. Kunden und Partner, die ebenfalls daran interessiert sind, dürfen sich gerne bei uns melden, um bei diesem Forschungsprogramm teilzunehmen.

HSM

Airlock Gateway unterstützt die zwei grössten NetHSM Hersteller, Entrust nShield und Thales Luna HSMs. HSM sind unter anderem sinnvoll für einen zusätzlichen Schutz der privaten Schlüssel für HTTPS. Der höhere Schutz wird dadurch erreicht, dass geheimen Schlüssel das HSM nie verlassen. Beispiele, weshalb diese zusätzliche Sicherheitsmassnahme sinnvoll ist, sind Vulerabilities wie Heartbleed oder Shellshock.

Airlock unterstützt neu die Produkte Thales Luna Network HSM 7 und Entrust nShield Connect.

Gehärtete Filterregeln dank Bug Bounties

Das seit 2020 erfolgreich betriebene Airlock Bug Bounty Programm führte auch in den letzten Monaten wieder zu zahlreichen Sicherheitsverbesserungen.

Einfaches Update

Airlock Gateway 8.2 ist ab sofort auf der Airlock Techzone publiziert. Das Update auf diese Minor Version erfordert keine manuellen Anpassungen: Ihre bestehende Konfiguration kann problemlos aktiviert werden. Einen vollständigen Überblick aller Neuerungen und Korrekturen finden Sie in den Release Notes.