Agile Sicherheit als Community- und Premium-Version API- und Microservice-Schutz mit Airlock Microgateway

Mit einer kostenlosen Community Edition von Airlock Microgateway schlägt Ergon Informatik einen neuen Weg ein. Development-Teams können damit Microservices und APIs in Kubernetes- und OpenShift-Container-Clustern vor unerwünschten Zugriffen schützen.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Ergon Informatik AG

Die Märkte für Web- und API-Sicherheit verschwimmen zusehends. Darauf reagiert die Ergon Informatik AG im Falle der Airlock-Produkte, die vor 20 Jahren für den Schutz von Webanwendungen konzipiert wurden: Airlock Microgateway kombiniert die Funktionen einer Web Application Firewall und eines API-Security-Gateways.

Roman Hugelsdorfer

Im Zuge der Veröffentlichung wird Ergon Informatik erstmals eine kostenlose Community-Edition der Sicherheitslösung anbieten. Die in einem Freemium-Lizenzmodell geplante Lösung wird über Dockerhub bereitgestellt und sorgt für einen Basisschutz in Kubernetes und OpenShift-Clustern, wie Dr. Martin Burkhart und Roman Hugelshofer im persönlichen Gespräch erläuterten. Für erweiterten Anwendungsschutz, integrierte Zugriffskontrolle oder Premium Support steht eine Premium Edition zur Verfügung.

„Die Lösung selbst bleibt weiterhin ‚Closed Source‘“, wie Head of Product Management Dr. Burkhart auf Nachfrage anmerkte. Diverse Ressourcen und Tools rundherum fänden sich dennoch im Ergon-Kanal bei GitHub, von HELM Charts über eine Minikube-Umgebung zum Testen bis hin zu diversen Tutorials. Das Airlock Community Forum lädt darüber hinaus zu Austausch und gegenseitiger Hilfestellung ein.

Dr. Martin Burkhart

„Wir erwarten wirklich, dass wir mit der Community interagieren können und dass die Entwickler bei den Projekten, die wir dort öffentlich stellen, auch mitmachen“, zeigte sich Burkhart zuversichtlich. „Das betrifft natürlich noch nicht den Kern des Produkts, aber es gibt sehr viele angegliederte Themen und Tools, in die man sich einbringen kann – nicht zuletzt über das Community Forum.“

All die Ressourcen und auch das Microgateway sollen es Development-Teams einfacher machen, ihre APIs und Microservices eigenständig vor unerlaubten Zugriffen zu schützen und gegen die Top-10-Risiken der OWASP abzusichern. Dank der modernen Sicherheitsarchitektur könnten DevOps-Experten Fehler schnell erkennen und Dinge selbst fixen, bevor ein neues Software Release live geht.

„Ein Problem, das wir immer wieder haben, ist das ‚Delivery Ping Pong‘ zwischen Entwicklern und zum Beispiel dem Gateway-Verantwortlichen, wenn es ein neues Software Release gibt“, konstatierte Dr. Martin Burkhart. Beide Bereiche könnten zu wenig über den Tellerrand hinausschauen, umreißt er das Hauptproblem. „Der Gateway-Admin muss die Anwendung integrieren, hat aber kein Domänen-Know-how und kann nicht entscheiden, ob etwas wirklich kaputt ist.“

So werde das Problem von einem Team zum nächsten und von dort aus immer weitergetragen, was zu massiven Verzögerungen führt. Durch die Zentralisierung der Verwaltung auf einem Gateway und die Steuerung über Microgateways könne man die Situation bereinigen. Mit folgenden Features soll das Airlock Microgateway im API- und Microservice-Umfeld punkten:

• Continuous Deployment: Der DevOps-Engineer automatisiert das Deployment, so dass jede API und jeder Microservice mit einem Microgateway ausgerollt wird.

• Security as Code: Falls der Service über eine OpenAPI-Spezifikation verfügt, lässt das Microgateway nur Anfragen durch, die den Sicherheitsvorgaben der Entwickler entsprechen.

• OWASP Top 10: WAF- und API-Schutzfunktionen halten Angreifer und böswillige Anfragen von der Applikation fern.

• Zero Trust: Das Microgateway sorgt für eine Netzwerkarchitektur nach dem Zero-Trust-Prinzip, indem es die Autorisierung jedes Zugriffs prüft (u.a. JWT, JWKS), bevor er die Anwendung erreicht.

• Shift Left: Bereits im Entwicklungs- und Testumfeld wirken die gleichen Schutzmechanismen wie später in der Produktion. Integrationsfehler und Sicherheitsverstöße werden früh in der Entwicklung bemerkt.

Airlock Microgateway wird über öffentliche Dockerhub Repositories bereitgestellt und die gesamte Dokumentation ist öffentlich einsehbar.

(ID:47732434)