WAAP、DDoS Mitigation、API Security、Bot Managementをひとつのポリシーサーフェスに統合します。
アプリケーション保護は、もはやWebサーバーの前に置かれるWAFだけのものではありません。DDoS攻撃、OWASPクラスの脆弱性、APIの悪用、クレデンシャルスタッフィング、スクレイピング、実ユーザーを装うボットトラフィックが、同じアプリケーション入口に集中します。
TR7 Protectソリューションは、この境界を四つの焦点に整理します。WebとAPIの広範なWAAP、ボリューム型およびアプリケーション層攻撃に対するDDoS Mitigation、API固有の制御を行うAPI Security、自動化トラフィックを分離するBot Management。本番環境では通常、これらのレイヤーが連携します。
四つの保護領域。ひとつのポリシーチェーン。
Webアプリケーション、API、ボット、DDoSのシグナルを別々の製品に分割するのではなく、TR7は同じ決定チェーン内で評価します。目標は、実ユーザーを安全に保ちつつ、攻撃や悪用のトラフィックを適切なアクションで阻止することです。
単一の保護レイヤーを選択するか、WAAP、DDoS、API Security、Bot Managementを本番環境向けに組み合わせて配置します。
WebとAPI向けの主要な保護レイヤー
OWASPリスク、仮想パッチ、APIアウェアネス、ボットシグナル、アプリケーションアウェアなセキュリティポリシー。ほとんどのエンタープライズWebおよびAPI保護アーキテクチャの出発点となります。
L4からL7までの多層防御
SYN flood、UDP/ICMPアンプリフィケーション、HTTP flood、Slowloris、アプリケーション標的型攻撃に対するネットワーク層およびアプリケーション層の緩和アプローチ。
API固有のポスチャ、スキーマ、悪用制御
汎用的なWAFアプローチを超えて: APIスキーマ検証、コンシューマ単位のレート制御、行動分析、OWASP API Top 10のカバレッジ。
自動化トラフィックを実ユーザーから分離
良性ボット、悪性ボット、グレーゾーンのトラフィックを分類します。行動シグナルとリスクスコアリングにより、スクレイピング、クレデンシャルスタッフィング、アカウント乗っ取り、キャンペーン悪用に対処します。
保護は、別個のアプライアンス間の断片化された判断から構築するのではなく、連携する読みやすいポリシーモデルであるべきです。
WAAP、DDoS、API Security、Bot Managementは、同じフローエンジン、同じポリシーロジック、同じ監査アプローチを共有します。チームは、同じ意図を四つの異なるツール間で翻訳する必要がありません。
リクエストがブロック、スロットル、チャレンジされたとき、どのルールとどのシグナルがその判断を生み出したのかを確認できるべきです。セキュリティはブラックボックスではなく、検査可能な決定チェーンであるべきです。
これらのソリューションは代替ではありません。ほとんどの展開ではWAAPが中心となり、必要に応じてDDoS、API Security、Bot Managementが同じセキュリティチェーンに接続されます。
WebおよびAPIセキュリティについては、WAAPから開始してください。DDoS、APIの悪用、ボットトラフィックが優先リスクであれば、該当するソリューションページにお進みください。ほとんどの本番展開では、これらのレイヤーをいくつか組み合わせて使用しています。
保護スコープ、サポートされる攻撃タイプ、ボットシグナル、API制御、DDoS容量は、選択された製品バンドル、アドオン、アプライアンスクラス、展開モデルによって異なる場合があります。詳細なカバレッジについては、該当するソリューションおよび製品ページをご参照ください。