F5 heeft de beveiligingsmogelijkheden van haar platform uitgebreid om pogingen tot uitbuiting te blokkeren terwijl een kwetsbaarheid nog niet definitief verholpen is in de applicatie. Het bedrijf voegt detectie van anomalieën, agentgebaseerde dreigingsintelligentie en nieuwe virtuele patchfuncties toe aan haar Web Application Firewall (WAF), met als doel de tijd tussen het ontdekken van een kwetsbaarheid en het effectief beschermen van de service te verkorten.
De kernpunten van F5’s nieuwe virtuele patching in 30 seconden
- F5 versterkt haar WAF met anomaliedetectie, machine learning en agentgebaseerde dreigingsintelligentie.
- Virtuele patching maakt het mogelijk om bepaalde uitbuitingspaden te blokkeren zonder onmiddellijk de kwetsbare code te wijzigen.
- In interne tests beweert F5 een detectie-effectiviteit van 98% en een false positive rate van 1% te hebben bereikt.
- Distributed Cloud Web App Scanning kan gerichte beschermingen genereren voor gedetecteerde kwetsbaarheden.
- De virtuele patch is een tijdelijke maatregel: de onderliggende kwetsbaarheid vereist nog steeds een definitieve oplossing.
Deze aanpak speelt in op een probleem dat actueler wordt met het gebruik van kunstmatige intelligentie in cybersecurity. Dezelfde tools die onderzoekers en ontwikkelaars helpen bij het vinden van fouten kunnen ook het werk verminderen dat nodig is om een kwetsbaarheid te analyseren, de exploitatievoorwaarden te bestuderen en aanvallen te ontwikkelen.
F5 stelt dat geavanceerdere AI-modellen de tijd verkorten tussen het ontdekken van een kwetsbaarheid en de uitbuiting ervan. In dit scenario stelt het bedrijf voor om een deel van de respons naar het eigen applicatietraffic te verplaatsen: het blokkeren van malafide verzoeken terwijl ontwikkelaars de patch voorbereiden, testen en uitrollen.
Wat is een virtuele patch en wat kan het beschermen?
Een virtuele patch wijzigt de kwetsbare software niet.
In plaats daarvan voegt het een beveiligingsregel of controle voor de applicatie toe om verzoeken te herkennen en blokkeren die proberen een bepaalde zwakte uit te buiten. Een WAF is bijzonder geschikt om dit te doen omdat het verzoeken inspecteert voordat ze de beveiligde applicatie bereiken.
Dit is vooral nuttig wanneer een organisatie op de hoogte is van een kwetsbaarheid, maar niet onmiddellijk het systeem kan updaten.
Traditionele correcties vereisen vaak codewijzigingen, afhankelijkheden testen, zorgen dat de nieuwe versie geen regressies introduceert en door interne change management processen gaan. In bedrijfsapplicaties die 24/7 beschikbaar moeten blijven, kan dat proces meer tijd kosten dan de tijd die een aanvaller nodig heeft om een recent bekend gemaakte kwetsbaarheid te testen.
F5 wil dat tijdsverschil verkorten.
Het systeem stelt het gebruik van bestaande signatures of het maken van aangepaste regels mogelijk die gekoppeld zijn aan een CVE (Common Vulnerabilities and Exposures), een aanvalspad, een HTTP-methode, een koptekst of een specifiek parameter.
De bescherming kan worden toegepast via F5 WAF for Distributed Cloud en uitgebreid naar hybride omgevingen met F5 WAF for BIG-IP.
Maar er is een belangrijk verschil tussen het mitigeren van een exploit en het verhelpen van een kwetsbaarheid.
Als een WAF-regel voorkomt dat een kwaadaardig verzoek de kwetsbare code bereikt, vermindert dat de blootstelling aan dat aanvalsvector. De oorspronkelijke fout blijft echter bestaan in de applicatie en moet worden gerepareerd via een definitieve update zodra dat mogelijk is.
Daarom presenteert F5 virtuele patching als een tijdelijke oplossing, niet als een permanente vervanging voor het beheer van kwetsbaarheden.
AI analyseert elk verzoek en zoekt naar anomalieën
F5 versterkt bovendien de analyse voorafgaand aan de beslissing om verkeer te blokkeren.
De WAF gebruikt classificatie met machine learning en een risicomotor die verzoeken evalueert terwijl ze binnenkomen en een score toekent.
Het doel is om de afhankelijkheid van bekende signatures te verminderen.
Signatures blijven nuttig bij herkenbare aanvalspatronen, maar hebben beperkingen bij onbekende pogingen of varianten die ontworpen zijn om statische regels te ontwijken.
F5 beweert dat de dynamische score kan helpen bij het detecteren van pogingen tegen zero-day kwetsbaarheden, injectieaanvallen en polymorfe exploitatieketens, hoewel de werkelijke effectiviteit afhangt van het type aanval, de applicatie en de ingestelde configuratie.
De detectie van anomalieën wordt nu ook toegevoegd aan Distributed Cloud WAF.
Deze functie leert de gebruikelijke statistische patronen van elke applicatie en vergelijkt nieuwe verzoeken met die referentie. Een afwijking betekent niet automatisch dat er sprake is van een aanval, maar biedt een extra aanwijzing voor het inschatten van het risico.
Dit aanpak brengt ook een van de gangbare problemen van gedrag gebaseerde detectiesystemen aan het licht: het onderscheid maken tussen kwaadaardige activiteiten en legitiem, maar zelden gedrag.
False positives zijn bijzonder problematisch in een WAF. Een tool die te veel waarschuwingen geeft, wordt simpelweg lawaai. Een die legitiem verkeer blokkeert kan direct gevolgen hebben voor klanten en diensten.
F5 verzekert dat haar eigen tests aantonen dat haar AI-ondersteunde WAF een detectie-effectiviteit van 98% behaalde en false positives tot 1% reduceerde. Deze resultaten zijn afkomstig van de fabrikant zelf en kunnen in praktijkomgevingen variëren.
Van kwetsbaarheid ontdekken naar blokkeren van de exploitatie
Een andere pijler van de strategie is het koppelen van kwetsbaarheidsdetectie aan bescherming tijdens uitvoering.
F5 Distributed Cloud Web App Scanning (WAS) kan blootgelegde kwetsbaarheden, onbeveiligde API’s en bepaalde logische fouten detecteren. Wanneer een probleem wordt gevonden dat gemitigeerd kan worden, kan het systeem een specifieke virtuele patch activeren.
Het idee is het verkorten van een proces dat normaal meerdere stappen omvat: een scanner ontdekt een kwetsbaarheid, genereert een waarschuwing, het beveiligingsteam controleert het, bepaalt de prioriteit en configureert een beschermmaatregel.
F5 wil dat proces automatiseren.
Daarnaast wordt dreigingsintelligentie op basis van agenten gebruikt, gebaseerd op technologie van Fletch, een door F5 overgenomen bedrijf.
Het systeem combineert externe informatie over nieuwe dreigingen of misbruikte kwetsbaarheden met observaties binnen de applicaties van de organisatie.
Dit helpt een veelvoorkomend probleem in veiligheidsoperaties te adresseren: dat het kennen van een nieuwe kwetsbaarheid niet automatisch betekent dat de organisatie hetzelfde risico loopt.
De context is essentieel.
Een kritieke kwetsbaarheid in een component die niet door een organisatie wordt gebruikt, heeft een lagere prioriteit dan een die een direct gekoppelde, met internet verbonden applicatie betreft waarop al pogingen tot uitbuiting worden waargenomen.
F5 wil dat het systeem helpt bepalen welke dreigingen relevant zijn voor elke omgeving en mitigaties voor te stellen die als virtuele patches kunnen worden ingezet.
De automatisering verhoogt ook het belang van goede controlemechanismen over de beslissing om te blokkeren. Een foutieve aanbeveling automatisch toepassen op productieverkeer kan serieuze problemen veroorzaken. Daarom zijn het minimaliseren van false positives en het kunnen herzien van mitigaties van groot belang.
AI verkort de reactietijd
De achtergrond van het nieuws gaat verder dan een nieuwe versie van een WAF.
Kunstmatige intelligentie versnelt verschillende onderdelen van beveiligingswerkzaamheden. Het kan code reviewen, wijzigingen analyseren, kwetsbaarheidspatronen opsporen en helpen bij het bouwen van proof-of-concept-aanvallen. Deze functies bieden defensieve voordelen, maar kunnen ook door aanvallers worden ingezet om doelen te bestuderen en sneller aanvallen te ontwikkelen.
Dit vergt een herziening van hoe lang een kwetsbaarheid nog onzeker kan blijven voordat een conventionele patch beschikbaar is.
F5 stelt voor om twee behoeften tijdelijk van elkaar te scheiden: het eerst mitigeren van aanvallen via verkeer en vervolgens werken aan het corrigeren van het softwareprobleem, terwijl de juiste procedures worden gevolgd voor een goede update.
Het bedrijf vult dit aan met F5 Insight for Application Delivery and Security Platform (ADSP), dat gericht is op het ondersteunen van operationele teams bij het patchen van de infrastructuur zelf.
De nieuwe AI-gedreven functies in de WAF zijn momenteel beschikbaar binnen Distributed Cloud via F5 ADSP. Virtuele patches en de integratie tussen Distributed Cloud WAS en F5 WAF for BIG-IP worden ook uitgerold, terwijl anomaliedetectie en agentgebaseerde dreigingsintelligentie in fasen worden geïntroduceerd bij klanten.
De praktische waarde hangt af van een essentieel aspect van cybersecurity: dat de tijdelijke bescherming nauwkeurig genoeg is om aanvallen te blokkeren zonder onnodige verstoringen te veroorzaken.
Virtuele patches kunnen de blootstellingsperiode verkorten. Maar een simpele regel blijft gelden: blokkeren betekent niet dat de kwetsbaarheid weg is.
Veelgestelde vragen
Wat is een virtuele patch in cybersecurity?
Een bescherming die vóór de kwetsbare software wordt toegepast, meestal via technologieën zoals een WAF, om bepaalde uitbuitingspaden te blokkeren zonder de originele code direct aan te passen. Gebruikt als tijdelijke mitigatie totdat een definitieve patch kan worden geïnstalleerd.
Gebruikt F5 kunstmatige intelligentie om te bepalen welk verkeer te blokkeren?
Ja, F5 maakt gebruik van machine learning, een risicoscore-engine en anomaliedetectie om verzoeken te analyseren. Daarnaast wordt agentgebaseerde dreigingsintelligentie geïntegreerd om kwetsbaarheden te contextualiseren en mitigaties aan te bevelen.
Vervangt een virtuele patch een beveiligingsupdate?
Nee. Het kan tijdelijk de blootstelling aan bepaalde aanvallen verminderen, maar de kwetsbaarheid blijft bestaan in de software. Het systeem moet worden geüpdatet of gecorrigeerd om het onderliggende probleem op te lossen.
Hoe effectief is de AI-ondersteunde WAF van F5?
F5 beweert dat haar interne tests een detectie-effectiviteit van 98% en een false positive rate van 1% haalden. Dit zijn door de fabrikant opgegeven metrics; de werkelijke prestaties kunnen variëren afhankelijk van de omgeving.
Bron: f5