Graphic Airlock Secure Acces Hub

Airlock Gateway 7.4

Was ist der Airlock Gateway?

Der Airlock Secure Access Hub enthält die drei Produkte Airlock WAF, Airlock API und Airlock IAM. Wenn es jedoch um das Herunterladen, den Betrieb oder die Dokumentation des Secure Access Hubs geht, gibt es nur zwei technische Komponenten: Den Airlock Gateway und Airlock IAM. Daher verwenden wir von nun an den Begriff Airlock Gateway, wenn wir uns auf die technische Komponente beziehen, welche die funktionalen Bausteine für Airlock WAF und die Filteringfunktionen für Airlock API bereitstellt. Dies betrifft vor allem die technische Dokumentation, Architekturzeichnungen oder Release-Ankündigungen wie diese.

Der Airlock Gateway steht wie bisher als Appliance und mit dem Airlock Microgateway neu auch als Container zur Verfügung. 

Version 7.4 des Airlock Gateways bringt wichtige neue Funktionen für Airlock WAF und Airlock API. Die Möglichkeit, REST Schnittstellen mittels API Keys abzusichern ist ein wichtiger Meilenstein für Airlock API. Damit kann die API-Zugriffssteuerung und das Überprüfen von API-Nutzungsplänen zentral erfolgen. Das REST API für die Konfiguration wurde zudem um eine Mandantentrennung erweitert, welche es erlaubt gewisse betriebliche Arbeiten, wie z.B. das Aufschalten von Maintenance-Seiten, zu delegieren.

API Keys und Usage Plans

API Keys sind eine bewährte Methode für die Zugriffskontrolle von APIs. Zusätzlich zur Benutzerauthentisierung können mittels API Keys auch die technischen Clients identifiziert und kontrolliert werden. API Endpoints lassen sich zu logischen APIs zusammenstellen, welche über Usage Plans mit Rate Limits versehen werden können.

Das neue Feature von Airlock API basiert auf einer engen Integration des Airlock Gateway mit Airlock IAM. Dadurch lassen sich die individuellen Stärken der beiden Komponenten optimal nutzen:

  • Der Airlock Gateway agiert als Policy Enforcement Point für die API Key Validierung, die Zugriffskontrolle und die Usage Plan Überwachung im laufenden Datenstrom.
  • Airlock IAM dient als Policy Decision Point und übernimmt die Verwaltung der technischen API Clients, der Usage Plans und der API Keys.

Um dieses Feature nutzen zu können, ist Airlock IAM Version 7.2 (STS) oder höher notwendig.

Mandantentrennung auf REST API

Die Verantwortung für einzelne Applikationen ist oft im Unternehmen verteilt, während der Betrieb von Security Infrastruktur, wie dem Airlock Gateway, zentral geregelt ist. Damit Applikationsverantwortliche wiederkehrende Wartungsarbeiten oder einfache Anpassungen an der Konfiguration von Airlock Gateway selbst übernehmen können, gibt es nun eine Mandantentrennung auf dem REST API. Konfigurationsobjekte lassen sich im Configuration Center Mandanten zuweisen. Mit einem eigens pro Mandant genierten API Key erhält ein REST Client nun lediglich Zugriff auf seine Objekte und ausgewählte REST Endpoints.

Es gibt viele weitere Verbesserungen im neuen Release, wie z.B. verbesserte Deny Rules, die Validierung von Responses gegen OpenAPI Spezifikationen, ein Session Tracking mittels Headers statt Cookies und ein Upgrade von Elasticsearch und Kibana.

Einen vollständigen Überblick sowie ein detailliertes Change Log zum neuen Release finden Sie in den Release Notes auf der Techzone.

Airlock Gateway 7.4 ist für Ende Juni 2020 geplant.

 

Airlock Microgateway

Moderne IT Sicherheits-Architekturen verändern sich in Richtung Micro Segmentation und Zero Trust Architekturen. Moderne Software Entwicklung geschieht in agilen Teams und nach DevOps Paradigmen. Für diese Anforderungen ist der Airlock Microgateway die optimale Antwort. Die neue Komponente ist eine leichtgewichtige Alternative zur Airlock Gateway Appliance und kann als Container in Microservice Architekturen eingesetzt werden. Die Entwicklung erfolgte in enger Zusammenarbeit mit DevOps Profis und Pilotkunden.

Mit dem Aufkommen von Microservice-Architekturen und DevOps-Methoden werden zentrale Sicherheits-Gateways, die viele Aufgaben für alle Dienste auf ein einziges System konzentrieren, zunehmend in Frage gestellt. Die verschiedenen Interessengruppen können unterschiedliche Anforderungen, Zeitvorgaben und Richtlinien für das von ihnen gemeinsam genutzte System haben.

Sicherheit sollte von der ersten Sekunde an Teil einer Entwicklungspipeline sein. Wenn Sicherheit erst als letzter Schritt vor der Inbetriebnahme berücksichtigt wird, führt dies häufig dazu, dass Sicherheitsteams für versäumte Termine, gefährliche Kompromisse und anhaltende Spannungen zwischen den Teams verantwortlich gemacht werden. Da von den Entwicklern verlangt wird, die operative Verantwortung für ihre Dienste zu übernehmen, benötigen sie eine Sicherheitskomponente, die

  • leichtgewichtig ist (zur Kopplung mit Microservices),
  • ihnen gehört (damit sie Verantwortung übernehmen können) und
  • DevOps Best Practices für Automatisierung und Konfiguration befolgt.

Hier kommt der Airlock Microgateway ins Spiel. Der Airlock Microgateway basiert auf dem bewährten Sicherheitskern der Airlock Gateway Appliance. Er unterstützt unsere bewährten Sicherheitsfunktionen, wie z.B. Deny Rules, OpenAPI-Spezifikationen sowie JWT-Validierung und -Prüfung. Er hat keine grafische Benutzeroberfläche, sondern verwendet eine reduzierte Konfigurationsdatei auf Basis einer DSL für die einfache Integration mit Entwicklertools.

 

Der Airlock Microgateway ist für den Betrieb auf Kubernetes und OpenShift ausgelegt. Er folgt einem individuellen Release-Zyklus. Version 1.0 wird in Kürze veröffentlicht. Bleiben Sie dran! 

Wir informieren Sie

-Unsere Whitepaper-

IT-Sicherheitslösungen

Die Digitalisierung stellt Unternehmen vor neue Herausforderungen, die weit über die IT hinausgehen. Das betrifft vor allem einen Aspekt, der heute immer wichtiger wird: Die IT-Sicherheit.

In unserem Whitepaper erfahren Sie, wie IT-Security zum Beschleuniger der Digitalisierung wird.

Kostenlos anfordern

Digitalisierung beschleunigen

Wer in der digitalen Transformation bestehen will, muss vermehrt auf Hybrid-Cloud Umgebungen umstellen. Dies erfordert neue Security Ansätze sowie ein abgestimmtes Identitäts- und Berechtigungsmanagement.

Erfahren Sie mehr dazu in unserem Whitepaper in Zusammenarbeit mit Deloitte, eperi und SHE.

Kostenlos anfordern

OWASP Top 10 für API Sicherheit

OWASP hat eine neue Top10 Liste für API Security erstellt. Die gelisteten Top 10 geben einen breiten Konsens darüber wieder, was die derzeit wichtigsten API Sicherheitsthemen sind.

In unserem Whitepaper erfahren Sie, wie unsere Airlock API die OWASP Top 10 adressiert.

Kostenlos herunterladen

Weitere Whitepaper

Zu folgenden weiteren Themen stellen wir Ihnen kostenlos Whitepaper zur Verfügung:

  • erfolgreiche IAM Projekte
  • Compliance
  • Datenschutz (DSGVO)
  • Einführung von PSD2
  • PCI DSS Anforderungen
Kostenlos anfordern