Moderna IT-lösningar kräver moderna säkerhetslösningar.
Det gäller inte minst webbapplikationer och APIer.
Det finns sex viktiga strategier för att säkra dem. De kan upplevas som jobbiga att efterleva, men det är ännu jobbigare att återställa IT-miljöer som drabbats av attacker. Det skriver Sean Leach, chefsarkitekt för produkter på Fastly.
Webben är den naturliga platsen för att köra applikationer i dag, vare sig användaren har en smartmobil eller en dator. En viktig del av den tekniska arkitekturen för det är APIer, eller programmeringsgränssnitt som är den svenska benämningen. Ett API i det här sammanhanget är helt enkelt en mjukvara som kan finnas var som helst och anropas av andra mjukvaror.
En annan, mindre rolig, självklarhet i dag är behovet av IT-säkerhet, så också för webbappar och APIer. Här följer en beskrivning av sex viktiga strategier för att säkra moderna IT-lösningar.
- Insyn är nyckeln
Insyn, eller ”visibility”, i APIer är av yttersta vikt för att säkra dem, eftersom allt mer nätverkstrafik passerar via dem. Om man inte vet vad som händer när programkoden för ett API körs blir det väldigt svårt att säkra det. Det går definitivt inte att få till nödvändig automatisering av säkerhetsfunktioner.
- Fungera i alla arkitekturer
En modern IT-lösning kan mycket väl innefatta traditionell mjukvara, virtuella maskiner, containrar och serverlösa applikationer. Och de olika delarna kan köras både i egna datacenter och på publika molnplattformar. En modern säkerhetslösning måste fungera i alla dessa sammanhang, det räcker inte att bara säkra äldre delar, eller de mest moderna.
-
Sean Leach, chefsarkitekt för produkter på Fastly
Sömlös integration med processer och verktyg för devops
Modern systemutveckling innefattar ofta ett arbetssätt som kallas devops. I korthet går det ut på att föra samman alla aktiviteter från de första utvecklingsfaserna till drift av färdiga applikationer i en enda kedja. Det inkluderar automatiserade processer för att ta applikationer i drift. Säkerhetslösningar för webbappar och APIer måste fungera även för devopsaktiviteter och de verktyg som används i dem.
- Automatisering överallt
Manuell hantering av regler och konfigurationer fungerar inte i moderna IT-miljöer. Det krävs verktyg som automatiskt övervakar trafik, för att identifiera säkerhetshot och attacker. När verktygen upptäcker problem måste de med automatik skicka larm till relevanta mjukvaror och säkerhetsteam.
- Ständiga uppdateringar
I dag fungerar det dåligt att sköta uppdateringar, tester och hantering av regler för mjukvaror manuellt. Det krävs verktyg för att automatisera uppdateringar, för att kunna skapa säkra IT-miljöer.
- Skydda mot dåliga avsikter
Äldre skydd mot skadlig kod, som virus, var oftast baserade på signaturer. Ett säkerhetsprogram jämförde till exempel en fil med information om känd skadlig kod. Det tillvägagångssättet räcker inte i dag, eftersom cyberkriminella ständigt byter metoder och skriver om skadlig kod. Dessutom leder det till nästan hälften av alla falska positiva larm, vilka utgör ett stort problem, enligt våra undersökningar. Ett positivt larm är helt enkelt en identifikation av skadlig kod som är felaktig.
Lösningen på problemen är att använda automatiserad analys av avsikten med nätverkstrafik. Det är viktigt att sådana inte medför ett ökat antal falska negativa resultat, i klartext att skadlig kod inte upptäcks.
Det kan verka jobbigt att införa alla de olika typer av funktioner som nämns ovan. Men det är garanterat ännu mycket jobbigare att återställa en IT-miljö som drabbats av en attack.
