Was ist Webanwendung und API Protection (WAAP)?
Webanwendung and API Protection (WAAP) beschreibt eine Reihe von Sicherheitstools, die die komplexen Anwendungen von heute erkennen und schützen. Große Teile der heutigen Webanwendungen werden über Anwendungsprogrammierschnittstellen (API) erstellt und betrieben – leichtgewichtige Softwareschnittstellen, die es Anwendungen ermöglichen, Daten auszutauschen. Diese Interaktivität eröffnet jedoch neue Angriffswege, und WAAP wurde speziell entwickelt, um die Lücken zu schließen, die APIs in der traditionellen Netzwerksicherheit aufgerissen haben.
Lesen Sie die WAF-Vergleichsergebnisse für 2025. Mehr erfahren
Wie die traditionelle WAF ihre Grenzen hat
Bevor wir uns mit den WAAP-Funktionen befassen, ist es sinnvoll, den Bedrohungskontext zu betrachten, für den sie entwickelt wurden. APIs sind so konzipiert, dass Daten schnell und einfach ausgetauscht werden können. Dies unterscheidet sie grundlegend von der Software, die ältere Netzwerk-Sicherheitsplattformen schützten. Web Application Firewalls (WAFs) wurden entwickelt, um Webanwendungen mit weitgehend statischem Verhalten und einer Benutzerbasis zu schützen, die auf weitgehend vordefinierte Weise kommuniziert. Dies ist ein ideales Umfeld für die Regelbasis-Sicherheitsrichtlinie: WAFs prüfen einfach jede HTTP-Kommunikation anhand ihrer internen Richtlinien; alles, was verdächtig aussieht, kann blockiert werden, bevor ein Angriff interne Benutzer erreicht.
Um zu verdeutlichen, warum der richtlinienbasierte Ansatz der WAF begrenzt ist, wollen wir einige der häufigsten Risiken für die API-Sicherheit betrachten:
Korrekte Benutzerauthentifizierung
Bei der Interaktion mit Webanwendungen sollten Benutzer nur auf die Ressourcen zugreifen können, die ihrer Berechtigungsstufe entsprechen. Allerdings sind manche APIs nicht so programmiert, dass sie eine Benutzerauthentifizierungsprüfung durchführen – eine Schwachstelle, die so häufig vorkommt, dass OWASP ihr den Namen Broken Object Level Authorization gegeben hat. APIs, die diese Aktion nicht ausführen, ermöglichen es einem Angreifer, eine API aufzurufen, eine falsche Benutzer-ID im Benutzerparameter anzugeben und so Zugriff auf die Daten dieses Benutzers oder Endgeräts zu erhalten.
Token Theft
Alternativ dazu besteht bei APIs, die ihre Benutzer authentifizieren, möglicherweise die Gefahr des Token-Diebstahls. Jedes Mal, wenn der Benutzer oder das Endgerät seine Identität beim Authentifizierungsserver der APIverifiziert, wird ihm ein Token ausgestellt, das seinen Zugriff auf die zugrunde liegende API bestätigt. Diese Token sollten so eingestellt sein, dass sie regelmäßig ablaufen – einige Entwickler entscheiden sich jedoch dafür, permanente Token auszugeben. Wird dieses Token gestohlen, beispielsweise durch einen Man-in-the-Middle-Angriff, kann ein Angreifer unbegrenzt auf das Benutzerkonto zugreifen.
WAF-Regelbeschränkungen
WAF-Regeln sind im Wesentlichen nicht in der Lage, unzulässige Zugriffe innerhalb der API zu erkennen. Eine Web Application Firewall (WAF), die zur Erkennung von HTML-Mustern entwickelt wurde, hat große Schwierigkeiten mit den komplexen und verschachtelten Strukturen, die von APIs verwendet werden. Signaturen sind nicht das optimale Format zur zuverlässigen Kodierung von Geschäfts- und Authentifizierungsprozessen.
Noch schlimmer ist, dass der Versuch, WAF-Signaturen in API-Kontexten zu implementieren, oft zu einer großen Anzahl von Fehlalarmen führt. Dies bedeutet, dass die WAF Warnungen ausgibt und unter Umständen sogar die legitime Nutzung der API blockiert.
WAAP: Funktionsweise und Kernkomponenten
Das soll nicht heißen, dass WAF überholt ist – im Kern von WAAP steht eine Web Application Firewall. WAAP folgt ebenfalls dem gleichen Architekturdesign, da es auch als Reverse-Proxy fungiert, der zwischen Benutzern und Backend-Diensten vermittelt.
Anstatt sich ausschließlich auf WAF-Funktionen zu verlassen, profitiert WAAP jedoch von mehreren weiteren Komponenten. Beachten Sie, dass Gartner WAAP als Cloud-basiert definiert, da es nicht nur die Integration mit den bereits vorhandenen Netzwerk-Tools einer Organisation erfordert, sondern auch ein Backbone von Bedrohungsinformationen, das kontinuierlich aktualisiert wird.
Web Application Firewall (WAF)
Die WAF dient weiterhin als effiziente und hochgradig skalierbare Verteidigungsebene. Es prüft den gesamten HTTP/S-Datenverkehr, der zur Anwendung und von ihren Benutzern fließt – eine grundlegende Voraussetzung für die Absicherung einer Webanwendung. Moderne WAF-Module basieren auf einem kontinuierlich aktualisierten Regelsatz, der virtuelles Patching ermöglicht, sobald neue Bedrohungen entdeckt werden. Echtzeit-Bedrohungsfeeds können die gesamte Bandbreite der Schwachstelle-Intelligence-Feeds eines Anbieters einbeziehen und so einen Schutz nahezu in Echtzeit ermöglichen.
Darüber hinaus kann eine fortschrittliche WAF Deep Packet Inspection (DPI) anbieten. Traditionelle WAFs untersuchen die Paket-Header der Benutzeranfragen – diese zeigen, wohin das Paket gesendet und von wo es gesendet wird, sowie wie es dorthin geroutet wird. DPI geht noch einen Schritt weiter, indem es den gesamten Inhalt von Datenpaketen und deren Nutzdaten untersucht, während diese ein Netzwerk durchlaufen.
Diese detailliertere Analyse ermöglicht es einer WAF-Engine, nicht nur einzelne gefährliche Pakete zu blockieren, sondern auch komplexere Angriffe, wie beispielsweise eine kompromittierte Anwendung, die beginnt, Verbindungen zu Command-and-Control-Servern anzufordern. Kontextgesteuerte Protokolle können daher den umfassenderen Kontext jeder Anfrage berücksichtigen, wie z. B. die Identität des Benutzers, den Standort, die Zeit, das Gerät und die Stelle, an der die Daten innerhalb der Anfrage erscheinen.
Schließlich werden all diese HTTPS-Verkehrsdaten in Echtzeit in eine Verhaltensanalyseplattform eingespeist. Dadurch kann die WAF ein Profil darüber erstellen, wie die einzelnen Anwendungen im Laufe der Zeit aufgerufen werden und wie sich verschiedene Benutzer verhalten.
API-Gateway
API-Sicherheit ist ein Kernbestandteil von WAAP. Der WAAP ist als API-Gateway konzipiert und fungiert als zentraler Eingangspunkt, der jede Anfrage entgegennimmt, bevor er sie entweder an den entsprechenden Backend-Dienst weiterleitet oder angeforderte Backend-Dienste aufruft und deren Ergebnisse zusammenführt.
Aus Sicht der Sicherheitstransparenz ermöglicht dies eine deutlich bessere API-Transparenz. API -Erkennung kann halbautomatisch erfolgen, da die WAAP-Lösung den Datenverkehr und die zugehörigen Endgeräte scannt, um die aktuell verwendete API zu ermitteln. Sobald eine API in ein Inventar aufgenommen wurde, erfolgt eine manuelle Überprüfung. Verifizierte APIs werden in ein Basisinventar verschoben, während unerwartete Entdeckungen als Schatten-APIs gekennzeichnet und zur weiteren Überprüfung aufgelistet werden.
Zu diesem Prozess gehört auch die Überprüfung, an welches Schema sich jede API hält. Sobald eine API erkannt wurde, erfasst das WAAP-Tool die Stichprobendaten der Anfragen und Antworten und gleicht sie mit einer internen Liste gängiger Schemata ab. Jedes ungewöhnliche Schema kann manuell überprüft werden. Neben dem Schema umfasst diese WAAP-Erkennung auch die Authentifizierungselemente jeder API.
Die erlernten oder importierten API-Schemas ermöglichen die Validierung eingehender und ausgehender Anfragen. Dadurch wird sichergestellt, dass auch Drittanbieter-APIs bewährte Verfahren wie OAuth 2.0-Authentifizierung, Eingabebereinigung und Ratenbegrenzung einhalten. Moderne WAAP-Plattformen integrieren häufig API Gateway für Echtzeit-Transparenz des Datenverkehrs und automatisiertes API Inventarmanagement.
Bot-Management
Während die Sicherheit der API und einzelner Benutzer wichtig ist, gibt es bei der Absicherung von Anwendungen noch einen weiteren Akteur zu berücksichtigen: Bots. Zum Glück verhalten sich Bots oft so, dass sie sich von echten Benutzern und API-Aufrufen unterscheiden – zum Beispiel bewegen Menschen ihre Mauszeiger auf zufällige, organische Weise, während Bots entweder Mausbewegungen in mechanischen geraden Linien simulieren oder gar nicht. WAAP erfasst clientseitige Aktivitäten sowie Parameter wie Gerät, Browser und Netzwerk.
Die Best Practices von WAAP sehen vor, dass einem verdächtigen Bot eine Herausforderung gestellt werden muss, beispielsweise durch JavaScript oder CAPTCHA. Sobald er als Bot verifiziert wurde, kann er blockiert oder mit sinnvollen Ratenbegrenzungen versehen werden.
Zugriffsverwaltung
Wir haben bereits die Bedeutung einer sicheren API-Authentifizierung angesprochen. WAAP sorgt für Transparenz und Durchsetzung, indem es sich in den bereits bestehenden Identity and Access Management (IAM)-Anbieter einer Organisation integriert.
Nach der Integration kann WAAP alle im Rahmen der API-Authentifizierung ausgegebenen Zugriffstoken erfassen und validieren – und sicherstellen, dass jeder API-Aufruf über gültige, nicht abgelaufene Anmeldeinformationen verfügt. Dies bietet einen Rahmen, mit dem eine Organisation gestohlene Zugriffstoken erkennen und entfernen kann, während gleichzeitig die regelmäßige Tokenerneuerung innerhalb ihrer aktiven API erzwungen wird.
Aus Sicht des Endbenutzers können WAAP-Tools den Authentifizierungsprozess beschleunigen, da sie föderierte Identitäten und SSO-Integrationen unterstützen. Dies bedeutet, dass die Authentifizierung für vertrauenswürdige Geräte im Hintergrund erfolgen kann.
Maximieren Sie die API-Sicherheit mit Check Point
Check Point offers transparent API discovery and schema enforcement: it then applies dual AI engines – one trained on vast volumes of malicious and benign traffic, the other continuously modeling the unique context of your applications – to automatically block threats with near-zero false positives.
Finally, Check Point collates all ongoing API and web application data into a unified dashboard. Reporting is made fast and efficient thanks to audit-ready logs, while Check Point’s global infrastructure provides local Points of Presence that keep latency low and maintain a high level of scalability.
Explore the Check Point dashboard for yourself with a demo and start unveiling the APIs within your organization.
