Web & API Access mit Nevis

Ein Access Gateway bietet sicheren Zugriff auf bestimmte Anwendungen, indem es einen differenzierten Ansatz zur Benutzerauthentifizierung und -autorisierung nutzt. Access Gateway steuert und begrenzt den Benutzerzugriff auf bestimmte Anwendungen und einzelne Ressourcen zentral, basierend auf der Authentifizierung, Autorisierung und dem Kontext des Benutzers. Durch die Zentralisierung der Autorisierung können Zugriffskontrollen auf Anwendungsebene erstellt werden.

Identity and Context Aware Proxy ist das Prinzip von Nevis, das es Kunden ermöglicht, sich nahtlos zu verbinden und die Authentifizierung und fein abgestufte Autorisierung für Webanwendungen, Webdienste und APIs zentral zu handhaben.

Angriffe wie XSS, CSRF, Injection Attacks oder Session-Stealing-Versuche stehen seit Jahren ganz oben auf der OWASP-Top-10-Liste. Striktes Filtern und Blockieren des gesamten Datenverkehrs verhindert aktuelle und zukünftige Ausführungen solcher Angriffe. Angriffe entsprechen häufig nicht den Standards oder verlassen sich auf erkennbare und bekannte Muster. Eine leistungsstarke Filter- und Blockierungs-Engine kann viele dieser häufigen Angriffe vermeiden.

Powerful Request Filtering

• Stellen Sie die Servicequalität sicher, indem Sie sich schlecht benehmende Clients blockieren und Ihre Dienste begrenzen.
• Definieren Sie Einschränkungen, um Ressourcenausschöpfungsangriffe oder DoS zu reduzieren.
• Validierungen auf HTTP-Protokollebene.
• Header- und Request-Parameter-Filterung.
• Filtern und validieren Sie Anfragen mit strukturierten Formaten wie: JSON, SOAP-Aufrufe und XML.

Dynamic Filtering

Alle Schutzfunktionen können dynamisch erzwungen oder übersprungen werden, basierend auf Regeln wie:

• Quell- und IP-Geolokalisierung
• Anwendungsfallspezifisch

Advanced Filtering

• Malware Filtering Integration (ICAP): eingehende Anfragen per ICAP weiterleiten
• ModSecurity-Integration: Nutzen Sie die Flexibilität von ModSecurity, um Ihre Webanwendungen zu schützen
• Skripterstellung mit Lua: Verwenden Sie eine sichere Programmierumgebung, um anwendungsfallspezifische Schutzmassnahmen oder Prüfungen zu implementieren

Reverse-Proxy-Server und Load Balancer sind Komponenten in einer Client-Server-Computing-Architektur. Beide fungieren als Vermittler bei der Kommunikation zwischen den Clients und Servern und führen Funktionen aus, welche die Effizienz verbessern. Sie können als dedizierte, speziell entwickelte Geräte implementiert werden, aber in modernen Webarchitekturen sind sie zunehmend Softwareanwendungen, die auf handelsüblicher Hardware ausgeführt werden.

Unterschiede:

• Ein Reverse Proxy akzeptiert eine Anfrage von einem Client, leitet sie an einen Server weiter, der sie erfüllen kann, und gibt die Antwort des Servers an den Client zurück.
• Ein Load Balancer verteilt eingehende Client-Anfragen auf eine Gruppe von Servern und sendet die Antwort des ausgewählten Servers jeweils an den entsprechenden Client zurück.

Load Balancer werden am häufigsten eingesetzt, wenn eine Seite mehrere Server benötigt, weil das Volumen der Anfragen zu gross ist, um von einem einzelnen Server effizient verarbeitet zu werden. Durch die Bereitstellung mehrerer Server wird auch ein einzelner «Point of Failure» eliminiert, wodurch die Website zuverlässiger wird.

Während die Bereitstellung eines Load Balancers nur dann sinnvoll ist, wenn Sie mehrere Server haben, ist es oft sinnvoll, einen Reverse Proxy mit nur einem Webserver oder Anwendungsserver bereitzustellen, da dies mit erhöhter Sicherheit, Skalierbarkeit und Flexibilität einhergeht.

Ein Policy Enforcement Point (PEP) ist für den Empfang von Autorisierungsanforderungen verantwortlich, die zur Bewertung an den Policy Decision Point (PDP) gesendet werden. Ein PEP kann sich überall in einer Anwendung befinden, wo Daten und Ressourcen geschützt werden müssen oder wo Autorisierungslogik angewendet wird. Ein PEP ist nur für das Anfordern und Auswerten einer Autorisierungsentscheidung zuständig und benötigt keine Autorisierungslogik.