Zusammenfassung

  • F5 erweitert den Laufzeitschutz um Anwendungskontext und Bedrohungsinformationen. Die Ankündigung umfasst verfügbare Funktionen und solche, deren Einführung noch läuft.
  • Der kommerzielle Ansatz verbindet einen Scan-Befund mit einer durchsetzbaren Regel. Ein virtueller Patch repariert keinen Code; Validierung und spätere Lockerung bleiben Aufgaben.

Ein Bericht kann vom Sicherheitsteam in die Entwicklungsabteilung wandern, ohne dass sich am Verhalten einer öffentlich erreichbaren Anwendung etwas ändert. Zwischen Befund und Codekorrektur liegt die Entscheidung, welche Anfragen wo blockiert werden sollen. F5 will diesen Übergang enger an seine Produkte binden.

Die Ankündigung vom 1. September erweitert den Laufzeitschutz von F5 WAF for Distributed Cloud. Anwendungsspezifische Anomalieerkennung und agentenbasierte Bedrohungsinformationen ergänzen die Risikobewertung vorbeikommender Anfragen. Virtuelle Patches setzen gezielte Schutzmaßnahmen im Datenpfad um, während die dauerhafte Korrektur entwickelt, getestet und nach den üblichen Änderungsvorgaben ausgerollt wird. Verkauft wird damit nicht nur zusätzliche Sichtbarkeit, sondern ein Weg vom Befund zur Eingriffsmöglichkeit.

Die Verfügbarkeit muss getrennt betrachtet werden. F5 bezeichnet neue KI-gestützte WAF-Fähigkeiten auf Distributed Cloud, virtuelle Patches und die Integration von Web App Scanning mit WAF for BIG-IP als verfügbar. Anomalieerkennung und agentenbasierte Bedrohungsinformationen werden dagegen schrittweise eingeführt; eine breitere Verfügbarkeit soll in den kommenden Monaten folgen. Nicht jede angekündigte Funktion steht damit sofort jedem Kunden offen.

Auch die Verbindung zwischen Scan und Richtlinie beginnt nicht erst im September. Ein Praxisbeitrag vom Juni erläuterte bereits, wie Ergebnisse aus Web App Scanning exportiert und in BIG-IP Advanced WAF importiert werden. Dabei können bestehende oder neue Richtlinien und die zu schützenden Schwachstellenbereiche gewählt werden. Die Erweiterung baut auf dieser Arbeitsoberfläche auf. Sie belegt nicht, dass jeder Befund ohne menschliche Auswahl eine Sperrregel auslöst.

Zuvor stellt sich die Frage nach dem tatsächlich geprüften Umfang. Die technische Produktdarstellung vom September beschreibt KI-gestützte Tests, die Formulare sinnvoller bedienen und dadurch tiefere Anwendungsabläufe erreichen sollen. Die aktuelle Definition einer Anwendung bleibt jedoch konkret: Einstiegs-URL und Zugangsdaten der Testnutzer bestimmen die Anwendung. Weitere benötigte Hostnamen müssen auf der Freigabeliste stehen; standardmäßig werden Ressourcen außerhalb des Einstiegshostnamens nicht getestet. Ein tiefer untersuchter Ablauf ist nicht dasselbe wie eine Prüfung sämtlicher Rollen und Dienste.

Diese Grenze ist zugleich eine Einkaufseinheit. Scan wird nach der Zahl der im Monat geprüften Anwendungen berechnet. Wiederholte Tests und unterschiedliche Test Profiles derselben Anwendung zählen nicht als zusätzliche eigenständige Anwendungen im Kontingent. Prüfungsfrequenz und Umfang des abgerechneten Bestands sind also zu unterscheiden. Die gesamte Rechnung eines konkreten Kunden lässt sich daraus nicht ableiten.

F5 nennt im Juni-Beitrag auch die zentrale Einschränkung: Ein virtueller Patch beseitigt die zugrunde liegende Schwachstelle nicht; unvollständige Regeln können umgangen werden. Protokolle, die Prüfung legitimen Verkehrs und weitere Scans helfen beim Nachjustieren und bei der Entscheidung, wann Schutzmaßnahmen nach einer vollständigen Korrektur gelockert werden können. Wirksamkeitsangaben in der Ankündigung stammen aus internen Tests, nicht aus einer unabhängigen Produktionsmessung.