Airlock und die OWASP Top 10 Web Application Security Risiken 2025

Das Gateway/Microgateway von Airlock fungiert als zentraler Punkt zur Durchsetzung von Richtlinien und verweigert standardmässig den Zugriff – nur explizit zugeordnete Ressourcen sind erreichbar, wobei jede mit Rollen- und Zugriffsbeschränkungen konfigurierbar ist. Airlock IAM gibt nach erfolgreicher Authentifizierung Rolleninformationen weiter und ermöglicht so konsistente, sitzungsbezogene Autorisierungsentscheidungen über alle geschützten Anwendungen hinweg. Anfragen werden zusätzlich anhand definierter und gelernter Richtlinien validiert, was Schutz vor Manipulation, Path Traversal und SSRF bietet.

• Upstream-Authentifizierung [IAM] und Autorisierung
• Step-Up- und Step-Down-Authentifizierung
• Zugriffsmodell «Deny-by-default»
• CSRF-Schutz
• Abweisungsregeln für SSRF und Path Traversal

Airlock bietet sichere Standardeinstellungen und ein Konfigurationsmodell, bei dem Anfragen explizit Backend-Diensten zugeordnet werden. Konfigurationsvalidatoren und das Erlernen von Richtlinien reduzieren Fehlkonfigurationen. Antworten und Header werden umgeschrieben, um bewährte Sicherheitspraktiken durchzusetzen und sensible Informationen zu unterdrücken.

• Sichere Standardkonfiguration
• Erlernen von Richtlinien
• Konfigurationsvalidierung
• Durchsetzung der OpenAPI-Spezifikation
• GraphQL-Schema-Validierung
• Einfügen von Sicherheits-Headern, Header-Filterung und Umschreiben von Antworten
• Cookie-Speicher
• Ersetzen von Fehlerseiten

Airlock Gateway/Microgateway mindert Schwachstellen in Backend-Komponenten durch virtuelles Patching und Protokollterminierung und reduziert so das Risiko, ohne dass Änderungen an der Anwendung erforderlich sind. Dies ist besonders relevant, wenn Komponenten von Drittanbietern nicht sofort gepatcht werden können. Die Airlock-Plattform selbst ist durch Massnahmen wie SELinux, Schutzmechanismen auf Compiler-Ebene (NX, ASLR) und strikte Privilegien-Trennung gehärtet. Die Software-Lieferkette wird kontinuierlich überwacht, und erforderliche Sicherheitspatches werden bei Bedarf zeitnah ausserhalb der regulären Release-Zyklen bereitgestellt.

• Virtuelles Patching
• Infrastructure as Code (IaC)
• Durchsetzung der MFA-Authentifizierung
• HTTP-Protokollterminierung und -regeneration
• Security compartments / Prinzip der geringsten Privilegien
• Kontinuierliche Überwachung der Software-Lieferkette mit zeitnaher Bereitstellung von Sicherheitspatches ausserhalb der regulären Release-Zyklen

Airlock beendet TLS mit starken Konfigurationen, einschliesslich der Unterstützung für Post-Quantum-Kryptografie. Sitzungen und Cookies sind vor Diebstahl und Manipulation geschützt. Authentifizierungsdaten werden von Anwendungen getrennt und sicher gehandhabt.

• TLS-Terminierung (Front-End & Back-End)
• Unterstützung für Post-Quantum-Kryptografie
• HSM-Unterstützung

Airlock erkennt und blockiert Injection-Versuche mithilfe von Deny-Regeln und dynamischen Whitelists. Protokoll-Validierung und Anforderungsanalyse verhindern, dass fehlerhafte oder mehrdeutige Anfragen Anwendungen erreichen. Anstatt sich ausschliesslich auf die signaturbasierte Erkennung bekannter Exploits zu verlassen, zielen die Regeln von Airlock auf Angriffsklassen und -muster ab – und bieten so proaktiven Schutz vor neuen und unbekannten Varianten.

• Deny-Regeln
• Dynamische Whitelisting-Listen & Whitelisting-Lernen
• HTTP-Protokoll-Validierung und -Regenerierung
• JSON-, GraphQL- und Multipart-Parsing

Airlock gleicht unsichere Anwendungsdesigns aus, indem es an jedem Kontrollpunkt – vom Perimeter bis zur Service-zu-Service-Kommunikation in Zero-Trust-Architekturen – Kontrollen durchsetzt. Ratenbegrenzung, Sitzungsverwaltung und API-Schutz beheben häufige Designschwächen. Ein konsistenter Schutz wird über Kubernetes- und VM-basierte Bereitstellungen hinweg gewährleistet.

• Zugriffsmodell «Deny-by-default»
• Sichere Trennung von Mandanten
• Upstream-Authentifizierung [IAM] & Privilegien-/Sitzungsverwaltung
• Anomaly Shield (auf maschinellem Lernen basierende Bedrohungserkennung)
• Native Kubernetes-Integration für Zero-Trust-Architekturen

Airlock zentralisiert die Authentifizierung mithilfe von Airlock IAM und unterstützt risikobasierte Authentifizierung, indem es den Kontext anhand historischer Muster auswertet, um die Authentifizierungsstärke anzupassen. Sitzungen sind vor Hijacking und Manipulation geschützt.

• Unterstützung mehrerer Authentifizierungsschemata, darunter OIDC/OAuth2, FIDO2/Passkeys, formularbasierte Authentifizierung, Kerberos und Client-Zertifikate (mTLS)
• Risikobasierte Authentifizierung [IAM]
• Multi-Faktor-Authentifizierung (MFA) [IAM]
• Sichere Sitzungsverwaltung / Cookie-Speicher
• Client-Fingerprinting

Airlock schützt die Kommunikationsschicht zwischen Client und Anwendung und hat daher keinen Einblick in Integritätsfehler, die innerhalb der Anwendung selbst auftreten, wie beispielsweise nicht verifizierte Updates oder das Laden unsicherer Abhängigkeiten.

• Signierte Airlock-Software-Updates

Airlock erkennt und protokolliert Angriffe in Echtzeit und lässt sich in externe SIEM-Systeme integrieren, um eine schnelle Reaktion auf Vorfälle und deren Analyse zu unterstützen.

• Zentrale Protokollierung und Ereigniserzeugung
• Unterstützung für Tracing
• Metriken für zugelassene und blockierte Anfragen
• Maskierung sensibler Daten in Protokollen
• Echtzeit-Dashboards
• SIEM-Integration (CEF/JSON)

Airlock erkennt abnormales Verhalten, begrenzt die Ressourcennutzung und gewährleistet einen stabilen Betrieb auch unter aussergewöhnlichen Bedingungen. Backend-Fehlerseiten werden ersetzt, um das Durchsickern sensibler Informationen wie Stack-Traces oder Versionsdetails zu verhindern.

• Anomaly Shield
• Ratenbegrenzung & DoS-Schutz
• Backend-Zustandsprüfungen & Failover-Clustering
• Ersetzen von Fehlerseiten