خلاصه گزارش گارتنر در سال 2020
در زمینه فایروال اپلیکیشن های وب
Magic Quadrant for Web Application Firewall (2020)
Latech-Gartner-WAF-Web Application Firewall-Imperva-Akamai-Cloudflare-F5-BIG IP-LTM-ASM-AFM-DNS-Barracuda-Fortinet-Fortiweb-Radware-Amazon Web Services-Signal Sciences-Microsoft
لاتک-فناوری لاجورد تکوین-گارتنر-فایروال اپلیکیشن وب-ایمپروا-آکامای-کلودفلر-اف فایو- بیگ آی پی- ال تی ام-ای اس ام-ای اف ام-دی ان اس-باراکودا-فورتینت-فورتیوب-ردور-آمازون-سیگنال ساینس-مایکروسافت
ترجمه: مسعود برومندی
Latech-Gartner-WAF-Web Application Firewall-Imperva-Akamai-Cloudflare-F5-BIG IP-LTM-ASM-AFM-DNS-Barracuda-Fortinet-Fortiweb-Radware-Amazon Web Services-Signal Sciences-Microsoft
مقدمه
رشد بازار فایروال برنامه های تحت وب همچنان تحت تأثیر اپلیکیشن های وب ارائه شده توسط زیرساخت ابری و سرویس های محافظت API قرار دارد. رهبران امنیت و مدیریت ریسک باید ارزیابی کنند چگونه WAF ها میتوانند امنیت بهبودیافته، با کاربری و مدیریت آسان را همراه با حفظ حریم خصوصی داده ها، فراهم کنند.
لاتک-فناوری لاجورد تکوین-گارتنر-فایروال اپلیکیشن وب-ایمپروا-آکامای-کلودفلر-اف فایو- بیگ آی پی- ال تی ام-ای اس ام-ای اف ام-دی ان اس-باراکودا-فورتینت-فورتیوب-ردور-آمازون-سیگنال ساینس-مایکروسافت
فرضیات برنامه ریزی استراتژیک
• تا سال 2023 ، بیش از 30% از برنامه های وب و APIهای عمومی با استفاده از برنامه های وب ابری و خدمات حفاظت API (WAAP) محافظت می شوند که شامل محافظت از DDoS، کاهش باتها، حفاظت API و فایروال برنامه های وب (WAF) است. این موضوع همینک 15 درصد میباشد که افزایشی 15 درصدی را نشان می دهد.
• تا سال 2024 ، اکثر سازمانهایی که استراتژیهای چندابری را برای برنامه های وب در حال اجرا دارند، فقط از خدمات WAAP ابری استفاده می کنند.
Latech-Gartner-WAF-Web Application Firewall-Imperva-Akamai-Cloudflare-F5-BIG IP-LTM-ASM-AFM-DNS-Barracuda-Fortinet-Fortiweb-Radware-Amazon Web Services-Signal Sciences-Microsoft
تعریف و توصیف بازار
بازار WAF ، بدلیل نیاز مشتری برای محافظت از برنامه های وب عمومی و داخلی، به پیش رانده میشود. WAF از برنامه های وب و API ها در برابر حملات مختلف خودکار از جمله باتها، تزریق و DoS محافظت می کند. آنها باید محافظت مبتنی بر امضا را ارائه داده، و همچنین باید از مدلهای امنیتی مثبت (لیستهای خودکار مجاز) و یا تشخیص ناهنجاری پشتیبانی کنند.
WAF ها برای محافظت از برنامه های وب، در برابر حملات خارجی و داخلی، نظارت و تأیید دسترسی به برنامه های وب و جمع آوری گزارشهای دسترسی برای انطباق/بازرسی و تجزیه و تحلیل در مجموعه مستقر میشوند. WAFها میتوانند به شکل وسایل فیزیکی یا مجازی باشند. بطور فزاینده، آنها از ابر بصورت WAAP استفاده می کنند. WAFها اغلب بصورت خطی بعنوان پروکسی معکوس مستقر میشوند، این ساده ترین راه برای انجام بازرسی کامل و اجرای سیاستها است. از دیگر گزینه های استقرار میتوان به پلاگینهای WAF در جلوی پروکسی های معکوس و ابزارهای توزیع بار (LTM) یا استقرار tap در شبکه اشاره کرد. افزایش خدمات WAAP که بعنوان پروکسی معکوس طراحی می شوند (همچنین اتخاذ مجموعه های جدید امنیتی لایه چهارم (TLS) که برای رمزگشایی نیاز به رهگیری ترافیک درون خطی دارد)، استفاده از پروکسی های معکوس را تقویت کرده است.
گارتنر، خدمات WAAP را بعنوان تکمیل کننده سرویسهای WAF ابری تعریف می کند. سرویسهای WAAP، ترکیبی از سرویس WAF، کاهش باتها، محافظت از DDoS و امنیت API، با استفاده از ابر و بعنوان یک سرویس با یک مدل اشتراکی هستند. ارائه دهندگان WAAP، ممکن است یک سرویس مدیریت شده را ارائه دهند، و برای برخی این یک مؤلفه اجباری برای چنین محصولی است. WAAP از آنجا آغاز شد که فروشندگان WAF، ابزارهایشان را به فضای ابری گسترش داده و فروشندگان CDN نیز به سرویسهایشان، WAF را افزودند. اخیراً، این فروشندگان که قابلیتهای کاهش بات را ایجاد یا به دست آورده اند و در تلاشند تا قابلیتهای امنیتی API خود را گسترش دهند. بسیاری از فروشندگان، نسخه های مختلفی از WAAP خود را ارائه می دهند که اغلب به یک پیشنهاد ساده برای استفاده و نسخه بسیار قابل تنظیم، تقسیم می شوند.
برخی از سازمانهایی که از WAAP ساخته شده در تجهیزات WAF استفاده می کنند، از آن به عنوان یک کنسول مدیریت و سیستم گزارش یکپارچه یا قابلیتهای پیشرفته (مثلاً Positive Security model)، استفاده می کنند که این امکانات هنوز در خدمات ابری WAAP ارائه نشده است.
گزارش گارتنر، WAFهایی را بررسی نموده است که به صورت جداگانه در مقابل یا در کنار برنامه های وب، استقرار یافته اند و مستقیماً در سرورهای وب تعبیه نشده اند:
• سخت افزار، نسخه مجازی یا نرم افزاری ساخته شده بعنوان WAF
• ماژولهای WAF جاسازی شده در ابزارهای تحویل برنامه (ADC)
• سرویس WAAP ، شامل ماژولهای WAF تعبیه شده در سیستم عامل های بزرگتر ابری مانند سیستمهای تحویل محتوا (CDN) و سرویسهای WAF ابری که مستقیماً از طریق ارائه دهندگان IaaS فراهم شده اند
• ابزارهای مجازی موجود در پلتفرمهای IaaS و راهکارهای WAF از ارائه دهندگان IaaS
راهکارهای مستقل کاهش بات، درگاه های API و راهکارهای ویژه محافظت از API و محصولات RASP ، در مجاورت بازار WAF قرار داشته و ممکن است در سازمانها جهت دریافت بودجه های امنیتی یکسان برای آنها رقابت بوجود بیاید. این موضوع به فروشندگان ابزارهای WAF ، این انگیزه را می دهد که در صورت لزوم، ویژگیهای مربوطه را از این بازارها دریافت و به محصولات خود بیافزایند. بعنوان مثال، WAAP ممکن است ابزارهای امنیتی برنامه های تحت وب (همچون CDN) را بصورت بسته باندل ارائه کند.
یکپارچگی WAF با سایر فناوریهای امنیتی سازمانی، بعنوان مثال ابزارهای تست امنیتی (AST)، مدیریت دسترسی به وب (WAM)، و مدیریت رخدادهای امنیتی (SIEM)، از حضور پرقدرت WAF در بازار سازمانی حمایت می کند. تلفیق WAFها با فناوری هایی مانند ADCها، CDNها یا خدمات ابری کاهش DDoS، مزایا و چالشهای خاص خود را دارد. با این حال، در مورد امنیت برنامه های وب، ارزیابی بازار بیشتر بر نیازهای امنیتی خریدار متمرکز است. این موضوع درباره چگونگی فناوری WAF در موارد ذیل میباشد:
• حداکثر میزان تشخیص و گرفتار کردن تهدیدهای شناخته شده و ناشناخته
• کاهش هشدارهای اشتباه ( بعنوان مثال موارد مثبت کاذب) و سازگاری با پیشرفتها و تحولات برنامه های تحت وب
• تفکیک ترافیکهای خودکار از ترافیکهای کاربر واقعی و کنترل مناسب بر روی هر دو دسته ترافیک
• تضمین سازگاری گسترده تر از طریق تسهیل استفاده و تأثیر حداقلی بر عملکرد
• خودکارسازی گردش کار پاسخدهی به حوادث برای کمک به تحلیلگران امنیت برنامه های وب
• محافظت از برنامه های وب و API های عمومی و شرکای تجاری همچون برنامه های داخلی
گارتنر این ویژگیها و نوآوری ها را در مورد توانایی آنها برای بهبود امنیت برنامه وب، بیش از آنچه فایروال شبکه، سیستم جلوگیری از نفوذ (IPS) یا WAFهای با منبع باز/رایگان (بعنوان مثال ModSecurity) انجام می دهد، با استفاده از مجموعه ای از امضاهای عمومی بررسی می کند. از آنجا که بسیاری از ارائه دهندگان محلی امنیت، CDNها و ADCها ممکن است از یک موتور رایگان مانند ModSecurity یا یکی از قوانین موجود در آن استفاده کنند، امروزه تعداد زیادی از راهکارهای WAF در بازار وجود دارد.
Latech-Gartner-WAF-Web Application Firewall-Imperva-Akamai-Cloudflare-F5-BIG IP-LTM-ASM-AFM-DNS-Barracuda-Fortinet-Fortiweb-Radware-Amazon Web Services-Signal Sciences-Microsoft
لاتک-فناوری لاجورد تکوین-گارتنر-فایروال اپلیکیشن وب-ایمپروا-آکامای-کلودفلر-اف فایو- بیگ آی پی- ال تی ام-ای اس ام-ای اف ام-دی ان اس-باراکودا-فورتینت-فورتیوب-ردور-آمازون-سیگنال ساینس-مایکروسافت
فایروال اپلیکیشن های وب
Latech-Gartner-WAF-Web Application Firewall-Imperva-Akamai-Cloudflare-F5-BIG IP-LTM-ASM-AFM-DNS-Barracuda-Fortinet-Fortiweb-Radware-Amazon Web Services-Signal Sciences-Microsoft
لاتک-فناوری لاجورد تکوین-گارتنر-فایروال اپلیکیشن وب-ایمپروا-آکامای-کلودفلر-اف فایو- بیگ آی پی- ال تی ام-ای اس ام-ای اف ام-دی ان اس-باراکودا-فورتینت-فورتیوب-ردور-آمازون-سیگنال ساینس-مایکروسافت
نقاط ضعف و قوت وندورها
Latech-Gartner-WAF-Web Application Firewall-Imperva-Akamai-Cloudflare-F5-BIG IP-LTM-ASM-AFM-DNS-Barracuda-Fortinet-Fortiweb-Radware-Amazon Web Services-Signal Sciences-Microsoft
Imperva
کمپانی Imperva ، در قسمت رهبران بازار قرار دارد. این شرکت توانسته است سطح بالایی از امنیت را از طریق محصولات خود (خواه به صورت on-premise یا ابری) فراهم کند، اما بطور فزاینده ای توسط رقبای خود در بخش سرویس های ابری، مورد چالش قرار می گیرد.
دفتر مرکزی آنها در کالیفرنیا واقع بوده و به عنوان یک شرکت ارائه دهنده ابزارهای امنیتی اپلیکیشن ها شناخته شده است. سبد محصولات این شرکت شامل محصولات امنیت داده، RASP (که بواسطه خرید محصول Prevoty ارائه می شود)، ابزار فیزیکی یا مجازی WAF (بنام Imperva WAF Gateway) و سرویس ابری آن (بنام Imperva Cloud WAF)، می باشد. Imperva همچنین اشتراکی برای تحلیل یکپارچه و بلادرتگ هشدارهای WAF (چه به صورت تجهیز یا ابری) تحت نام Attack Analytics دارد که همراه با MSS و SOC مدیریت شده، آن را ارائه می دهد.
در ماه های اخیر، Imperva یکپارچه سازی محصول کاهش بات شرکت Distil Network را در موتور بازرسی Cloud WAF و سیستم مدیریت مرکزی یکپارچه خود به پایان رسانده و محافظت های جدیدی را برای دفاع در برابر حملات سمت مشتری مانند Magecart ، منتشر کرده است. همچنین، آنها سیاست قیمت گذاری FlexProtect خود را تغییر داده و پشتیبانی از gRPC و مدیریت دسترسی مبتنی بر نقش را برای راهبران WAAP فراهم کرده اند.
Imperva ، انتخاب مناسب لیست کوتاه برای انواع مشتریان، به ویژه سازمانهای بزرگی است که نیاز به تجهیزات WAF با امنیت بالا و یا سرویس WAAP توزیع شده، دارند.
نقاط قوت
• تقسیم بازار:Imperva یکی از تنها فروشندگانی است که دارای پایگاه مشتریان بزرگی بوده و در لیست کوتاه خرید اکثر سازمان ها برای ابزارهای WAF و WAAP قابل مشاهده است.
• قابلیتها:Imperva ، مجموعه جامعی از امنیت APIها از جمله محافظت از DDoS ، امکان parse نمودن JSON و XML ، Websockets ، Webhooks ، GraphQL ، gRPC و رویدادهای سمت سرور (SSE) را ارائه می دهد.
• تجربه مشتری:Imperva اغلب در لیست کوتاه مشتریان گارتنر یافت شده و همواره با رقبای موجود در بازار، بویژه هنگام در نظر گرفتن نیازهای WAF داخلی و مبتنی بر ابر، مقایسه می شود.
• قابلیتها:Imperva با موفقیت قابلیتهای کاهش بات را از شرکت Distil Networks ، یکپارچه نموده که هم اکنون بعنوان اشتراک (Advanced Bot Protection) در Imperva Cloud در دسترس است. همچنین این محصول بعنوان یک ماژول یکپارچه برای پلتفرمهای IaaS و برخی از رقبای Imperva در دسترس است. Imperva Cloud نیز یکی از معدود WAAPهایی است دارای ویژگی شبیه سازی rule بوده که به کاربران کمک می کند قبل از فعال کردن قوانین، تأثیرات آن را پیش بینی کنند.
• استراتژی محصول:Imperva علاوه بر محصولات WAF خود، بر ارائه مجموعه گسترده ای از محصولات همچون WAAP، RASP، امنیت فایل و امنیت پایگاه داده، تمرکز دارد.
نقاط ضعف
• قابلیتها:برخلاف برخی از محصولات رقبا و Imperva Gateway WAF ، سیستم Imperva Cloud WAF فاقد یادگیری ماشین برای اجرای مدلهای امنیتی مثبت بوده و برای اجرای این روش به قوانین ثابت متکی است.
• تجربه مشتری:برخی از مشتریان گارتنر، از امنیت Imperva Cloud WAF خود ابراز ناامیدی کرده اند که ممکن است به دلیل چالشهای مرتبط با با پیکربندی پیش فرض و گزینه های پیکربندی غیرشهودی برای بهبود آن باشد.
• استراتژی محصول:اگر چه Imperva ویژگیهای امنیتی برای APIها ارائه می دهد، اما فاقد قابلیت های مدیریت API است. ضمن آنکه هیچ تمایلی برای افزودن این ویژگیها در نقشه راه محصولات دیده نمی شود.
تجربه مشتری:مشتریان، کیفیت تجربه خود را در مورد ارزیابی محصول و مذاکره در مورد قرارداد و همچنین خدمات و پشتیبانی با Imperva، کمتر از سایر رقبا ارزیابی می کنند.
• استراتژی جغرافیاییحضور Imperva در هند و چین همچنان محدود است. هیچ پشتیبانی محلی در هند وجود ندارد. سرویس ابری محلی PoP (points of presence) در چین وجود نداشته و فقط دو مورد در هند وجود دارد. بطور کلی، POP این شرکت در سراسر جهان، در مقایسه با سایر ارائه دهندگان CDN محدود است.
• قابلیتها:Imperva از امکان بازرسی فایل های دارای بدافزار از طریق Cloud WAF خود، برخوردار نمی باشد. این قابلیت تنها از طریق یکپارچگی با جعبه شنی دیگر شرکت های ارائه دهنده این سرویس (از طریق تعریف rule های application delivery)، فراهم است.
Latech-Gartner-WAF-Web Application Firewall-Imperva-Akamai-Cloudflare-F5-BIG IP-LTM-ASM-AFM-DNS-Barracuda-Fortinet-Fortiweb-Radware-Amazon Web Services-Signal Sciences-Microsoft
لاتک-فناوری لاجورد تکوین-گارتنر-فایروال اپلیکیشن وب-ایمپروا-آکامای-کلودفلر-اف فایو- بیگ آی پی- ال تی ام-ای اس ام-ای اف ام-دی ان اس-باراکودا-فورتینت-فورتیوب-ردور-آمازون-سیگنال ساینس-مایکروسافت
F5 Networks
کمپانی F5 در قسمت چالشگران بازار قرار گرفته است. آنها در این بخش همچنان توسط رقیبان بخصوص در بخش فضای ابری به چالش کشیده میشوتد، و در این خصوص تلاش می کنند تا با خرید برخی شرکتها، این شکاف را برطرف کند.
دفتر مرکزی F5 در واشنگتن واقع بوده و بیشتر به عنوان سازنده محصولات ADC شناخته شده هستند. محصول WAF شرکت F5 ، در درجه اول بعنوان گزینه نرم افزاری مورد کاربری مشتریان است؛ ماژول Application Security Manager (ASM) که در واقع لایسنس WAF است، در پلتفرم F5 Big-IP قرار می گیرد. ضمن آنکه این محصول یک بسته جامعتر در خصوص WAF دارد که Advanced WAF نام دارد. محصول NGINX App Protect ، یک ماژول سبک برای سیستم عامل NGINX بوده و محصول Essential App Protect نیز نسخه ساده و سبک برای محافظت از برنامه های وب ساده تر می باشد.
تمامی خدمات Silverline ، به فناوری BIG-IP متکی بوده و کمپانی F5 تحت این برند، دو راهکار ابری WAF و محافظت در برابر DDoS (با محصولات Managed WAF Silverline و Self-Service WAF Express) را ارائه می دهد که با افزونه هوشمندی تهدیدات (Silverline Threat Intelligence) یکپارچه می شوند.
کمپانی F5 در داشبوردهای Silverline و چندین مورد در تجهیزات خود بهبودهایی ایجاد کرده است که از جمله آنها میتوان به سیاستهای پیشرفته امنیت API، بهبود در موتور یادگیری و داشبورد منع سرویس لایه هفت، اشاره نمود. در دسامبر 2019، F5 برای بهبود مدیریت بات و جلوگیری از تقلب، شرکت Shape Security را خریداری نمود و پس از آن لایسنس کاهش بات Shape Security را بر روی Silverline با نام Silverline Shape Defense ، افزود. آنها همچنین راهکار NGINX App Protect را که اولین WAFای است که بالای پروکسی NGINX مستقر شده، عرضه کرده اند.
F5 یک رقیب خوب برای حضور در لیست کوتاه مشتریانِ WAF در مقیاس بزرگ و برای محیط برنامه های ترکیبی است، که به ویژگی های امنیتی سازگار در فضای ابری یا استقرار محلی نیاز دارند.
نقاط قوت
• قابلیتها:F5 Silverline WAF در مقایسه با سایر محصولات WAAP مبتنی بر ابر، ویژگی های امنیتی-کاربردی قویتری همچون امنیت کوکی ها، محافظت از فرم و امنیت در برابر CSRF را ارائه می دهد. لازم به ذکر است که محافظت از API شامل یک SDK موبایل و امکان parse نمودن JSON و XML ، نیز می باشد.
• قابلیتها:F5 WAF بخشی از مجموعه گسترده تری از قابلیتهای موجود در BIG-IP است. این محصول شامل مدیریت دسترسی، توازن بار و در حال حاضر ویژگیهای پیشرفته تر کشف تقلب بوسیله Shape Security است. همراه با انعطاف پذیری iRules، سازمانهای بزرگتر قادر می شوند مجموعه های محافظتی قوی برای برنامه های کاربردهای مهم خود ایجاد کنند.
• اجرای فروش:F5 همچنان به عنوان مشهورترین و جذاب ترین برند در میان وندورهای بازار WAF باقی مانده است. سازمانهایی که WAF را در فضای ابری مستقر می کنند، در صورت نیاز به ویژگی های مقسم بار، اغلب تجهیزات مجازی F5 را ارزیابی می کنند.
• قابلیتها:F5 از قابلیت راه اندازی ابزارهای مجازی خود در محیط های IaaS و اکثر وندورهای ابر خصوصی مانند KVM ، Citrix XenServer ، Microsoft Hyper-V و VMware برای ابر عمومی پشتیبانی می کند.
• تجربه مشتری:مشتریانی که خدمات مدیریت شده امنیتی F5 را بدلیل ارائه و مدیریت خدمات SOC (بصورت 24 در 7) از سوی کارکنان قوی و متعهد این شرکت (مستقر در آمریکای شمالی و اروپا)، می پسندند.
نقاط ضعف
• استراتژی محصول:F5 تلاش می کند تا یک استراتژی بلندمدت و واضح را برای آینده WAAP خود به نمایش گذارد؛ اما پورتفولیوی فعلی آنها در این حوزه قدری گیج کننده است. این شرکت با در اختیار گرفتن NGINX با گزینه های منبع باز و تجاری ماژول WAF، یک دستگاه داخلی و سرویس ابری F5 Silverline، خطوط تولید WAF خود را تقسیم کرده است. با یکپارچه سازی Shape Security که در حال توسعه است، امکان تقسیم بیشتر قابلیتها در چندین مجموعه محصول وجود دارد که باعث سردرگمی مشتریان فعلی و بالقوه میشود.
• قابلیتها:اگر چه F5 Silverline WAF دارای ویژگی های امنیتی قوی برای API است، اما هنوز فاقد ویژگیهای مدیریت یکپارچه API با محصول می باشد. برای مثال، NGINX ویژگیهای درگاه مدیریت API را ارائه می دهد اما با F5 Silverline WAF یکپارچه نیست.
• قیمت گذاری:بازخورد مشتریان حاکی از آن است که در مقایسه با دیگر همتایان در بازار WAF ، رضایت کمتری از هزینه های کلی Silverline پس از ارزیابی و بررسی شرایط قرارداد و مذاکرات وجود دارد.
• تجربه مشتری:بازخورد در سال گذشته، تجربه نسبتاً خوبی از مشتریان F5 نسبت به سالهای گذشته را نشان نمیدهد. بطور خاص، گارتنر سطح بالاتری از شکایات مربوط به گزارش و پیچیدگی کل محصول را دریافت کرده است.
• اجرای فروش:F5 در مقایسه با برخی از فروشندگان در بازار WAF، یک شرکت بزرگ محسوب میشود. با این حال، گارتنر تخمین می زند که این نرخ همگام با نرخ بازار رشد نکرده و این موضوع نشان می دهد که در بخش WAAP سهم خود را واگذار کرده است.
• معماری فنی:F5 تنها سیزده POPs برای خدمات F5 Silverline خود در سراسر جهان ارائه می دهد، که در مقایسه با رقبا که تعداد بیشتری ارائه می دهند، کم است. در بسیاری از مناطق همچون ایالات متحده و EMEA ، تعداد PoP آنها ، سه یا کمتر می باشد. همچنین در خصوص خدمات CDN ، به محصولات شرکت های ثالث متکی هستند.
Latech-Gartner-WAF-Web Application Firewall-Imperva-Akamai-Cloudflare-F5-BIG IP-LTM-ASM-AFM-DNS-Barracuda-Fortinet-Fortiweb-Radware-Amazon Web Services-Signal Sciences-Microsoft
لاتک-فناوری لاجورد تکوین-گارتنر-فایروال اپلیکیشن وب-ایمپروا-آکامای-کلودفلر-اف فایو- بیگ آی پی- ال تی ام-ای اس ام-ای اف ام-دی ان اس-باراکودا-فورتینت-فورتیوب-ردور-آمازون-سیگنال ساینس-مایکروسافت
Barracuda
کمپانی Barracuda در قسمت چالشگران بازار قرار گرفته است. این کمپانی از شهرت مناسبی برای استقرار WAF در Microsoft Azure و همچنین خریداران دیگر محصولات خود، برخوردار است. آنها، ویژگیهای WAAP خود را که بنام WAF-as-a-Service شناخته می شود، به میزان قابل توجهی افزایش داده که این امر در طول دوره ارزیابی محصول، بسیار مورد توجه قرار گرفته است.
دفتر مرکزی این شرکت در ایالت کالیفرنیا قرار داد. Barracuda یک برند شناخته شده در بازارهای امنیتی و محافظت از داده ها، به ویژه برای شرکتهای متوسط به حساب می آید. آنها، محصولات WAF خود را در دو دسته فیزیکی و مجازی عرضه می دهند. همچنین به عنوان یک ابزار مجازی (Barracuda CloudGen WAF) در پلتفرم های ابری AWS ، Microsoft Azure و گوگل (GCP) در دسترس بوده اما حضور محدودی در پلتفرم های ابری اوراکل و علی بابا دارد. لازم به ذکر است که WAF-as-a-Service بر اساس پشته نرم افزاری CloudGen WAF ساخته شده است.
در ماه های اخیر، باراکودا در حال گسترش WAAP خود به 61 عدد POP است که از زیرساخت های ابر عمومی استفاده می کنند. این بخش به دلیل یکپارچگی با موتور شناسایی بات InfiSecure ، توانسته پیشرفت هایی مهمی را در Barracuda Advanced Bot Protection ML Layer ، فراهم آورد.
باراکودا میتواند در لیست کوتاه سازمانهایی که به دنبال ابزارهای مجازی WAF مستقر در آژور هستند و همچنین سازمانهایی که به دنبال مجموعه ای از ویژگیهای ارائه شده در یک WAAP با قابلیت استفاده آسان هستند، قرار گیرد.
نقاط قوت
• ارائه محصولات:باراکودا، حضور محصول Cloud WAF-as-a-Service را در سطح جهانی گسترش داده است. این محصول بویژه در آمریکای شمالی و استرالیا، رشد سریعی در میان مشتریان متوسط داشته است.
تجربه مشتری:از آنجا که مشتریان بطور معمول، خدمات استقرار را بدون درگیر کردن پشتیبانی فنی باراکودا انجام می دهند، لذا در مورد سهولت پیاده سازی اولیه این محصول اجماع نظر وجود دارد. همچنین، مشتریان پالیسی های پیش فرض را که شامل محافظت در برابر ده حمله OWASP، DDoS و باتهای مخرب است، به سرعت پیکربندی و استفاده می کنند.
• توانمندی:این فروشنده از پشتیبانی جامع TLS 1.3 همراه با کنترل سفارشی رمزنگاری و محرمانگی کامل برخوردار است.
استراتژی قیمت گذاری: محصول WAF باراکودا، همچنان به عنوان یک راهکار باکیفیت بالا و کم هزینه تصور می شود. سرویس Cloud WAF-as-a-Service (شامل حفاظت در برابر DDoS و کاهش بات) بدون پرداخت هزینه اضافی در اختیار مشتریان قرار گرفته است.
• پشتیبانی فنی:مشتریان گارتنر، همچنان در مورد پشتیبانی باراکودا، اظهارات مثبتی منعکس می کنند. محصول مختلف باراکودا که در قالب سرویس عرضه می شوند، این امکان را به تیم پشتیبانی می دهند تا کمتر به مسائل تاکتیکی و بیشتر به مسائل پیچیده بپردازند.
• قابلیتها:سرویس رفع آسیب پذیری Barracuda ، بصورت رایگان ارائه می گردد که برای مشتریان کوچک یا متوسط جذاب است؛ چرا که اغلب آنها وقت، هزینه و تخصص لازم برای پشتیبانی از یک برنامه اسکن اپلیکیشن داخلی سازمان را ندارند.
نقاط ضعف
بازاریابی و فروش:حضور باراکودا در لیستهای کوتاه خرید، بویژه خارج از گردونه مشتریان خود، بسیار کم است.
• تجربه مشتری:ابزارهای فیزیکی WAF و همچنین سرویس ابری WAF از رابطهای کاربری متفاوتی استفاده می کنند. نکته دیگر اینکه، signature های پیش فرض میبایست از نوع سفارشی آنها، جداگانه مدیریت شوند.
• قابلیتها:باراکودا فاقد سرویس های امنیتی برای DNS است. همچنین هیچ ابزار توسعه نرم افزار موبایل (SDK) یا سایر برنامه های امنیتی تلفن همراه را ندارد.
• معماری فنی:محصول WAF-as-a-Service از پروتکل HTTP/2 بین سرویس گیرنده و WAF پشتیبانی می کند، اما بین WAF و سرور را پشتیبانی نمی کند.
• استراتژی محصول:گارتنر اذعان می دارد که تلاش های کمپانی معطوف به بهبود و سرمایه گذاری بیشتر بر روی محصولات CloudGen WAF و WAF-as-a-Service است. لذا مشتریان بالقوه ای که بدنبال WAF باراکودا به صورت فایروال های سخت افزاری هستند، باید از Barracuda در خصوص نقشه راه تجهیزات، سؤال کنند.
Latech-Gartner-WAF-Web Application Firewall-Imperva-Akamai-Cloudflare-F5-BIG IP-LTM-ASM-AFM-DNS-Barracuda-Fortinet-Fortiweb-Radware-Amazon Web Services-Signal Sciences-Microsoft
لاتک-فناوری لاجورد تکوین-گارتنر-فایروال اپلیکیشن وب-ایمپروا-آکامای-کلودفلر-اف فایو- بیگ آی پی- ال تی ام-ای اس ام-ای اف ام-دی ان اس-باراکودا-فورتینت-فورتیوب-ردور-آمازون-سیگنال ساینس-مایکروسافت
Fortinet
کمپانی Fortinet در قسمت چالشگران بازار قرار گرفته است. محصول FortiWeb در لیست کوتاه بسیاری از مشتریان دیگر محصولات فورتینت، قابل مشاهده است؛ اما هنوز پیشنهاد برجسته و قابل توجهی در موضوع WAAP ، ارائه نداده است.
محل استقرار فورتینت در ایالت کالیفرنیا می باشد. این فروشنده در درجه اول، به دلیل کاربرد ASIC در فایروال شناخته میشود، اما اکنون یک ارائه دهنده معتبر راهکارهای امنیت شبکه است. این شرکت تقریباً 7500 کارمند دارد.
سبد محصولات فورتینت شامل یک فایروال بنام FortiGate است که بیشتر درآمد این شرکت را تشکیل می دهد. در حوزه WAF (ابزارهای FortiWeb و FortiWeb Cloud) بصورت فیزیکی یا مجازی (FortiWebVM)، و همچنین در فضای ابر عمومی از جمله AWS، Azure و GCP در دسترس است.
سال گذشته، فورتینت به تلاش خود برای استفاده از یادگیری ماشین، برای بهبود شناسایی حملات خود از جمله تشخیص بات، و کاهش بیشتر مثبتهای کاذب، ادامه داد. همچنین، قابلیت راستی آزمایی شمای امنیتی API و سایر ویژگیهای امنیتی API را منتشر کرد. علاوه بر آن، دسترسی با جزئیات بیشتر و مبتنی بر نقش را برای FortiWeb Cloud ، فراهم آورده است.
برای مشتریان فعلی فورتینت، محصول FortiWeb می تواند نامزد مناسبی برای قرارگیری در لیست کوتاه خرید WAF باشد. اما برای مشتریان بالقوه ای که در حوزه WAAP علاقه مند به ارزیابی مزایای یادگیری ماشین در شناسایی حمله هستند، میبایست پیشرفت فورتینت در این بخش را مد نظر داشته و نظارت نمایند.
نقاط قوت
• استراتژی محصول:فورتینت بطور مداوم در حال بهبود و گسترش بکارگیری قابلیت های یادگیری ماشین است تا سیستم شناسایی خود را بهینه نموده و از موارد استفاده جدید و کاهش نویزها پشتیبانی کند. پیشرفت های اخیر شامل مواردی است که فروشنده از آن به عنوان Rapid Sample Collection یاد می کند که باعث کاهش دوره یادگیری و ویژگیهای بات (مانند تحلیل صفحه کلید و کلیک ماوس) می شود.
• تجربه مشتری:مشتریان امتیاز بالایی را به ماژولار بودن رابط کاربری FortiWeb Cloud می دهند. آنها این واقعیت را که FortiWeb در چندین فاکتور از جمله ابزار فیزیکی، کانتینرها و سرویسهای ابری در دسترس باشد، می پسندند.
• تجربه مشتری:مشتریان فورتینت بر مزایای استفاده از FortiView تأکید دارند؛ چرا که این محصول برایشان آشناتر بنظر رسیده و به آنها امکان می دهد، FortiWeb را به عنوان بخشی از یک جریانِ کار گسترده تر در فرایند پاسخ به رخدادها، ادغام نمایند.
• اجرای فروش:فورتینت همچنان سریعتر از بازار اروپا و منطقه آسیا/اقیانوسیه رشد می کند، جایی که ابزارهای فیزیکی و مجازی آن، مورد توجه مشتریان فورتینت قرار گرفته است.
نقاط ضعف
• اجرای بازاریابی:وقتی یک مشتری، حداقل از یک دستگاه تولید شده فورتینت استفاده نمی کند، FortiWeb در لیست کوتاه خرید WAF آنها جایی ندارد.
• اجرای نقشه راه:نقشه راه FortiWeb Cloud همچنان برای انتشار ویژگی جدیدتری نسبت به ابزار فورتی وب عقب بوده و هنوز ویژگی های برابری ندارند.
• قابلیتها:FortiWeb Cloud ، فاقد سیستم کاهش بات مبتنی بر یادگیری ماشین و جستجوی API ها است. همچنین دسترسی مبتنی بر نقش را برای کاربران مدیریتی ارائه نمی دهد.
• قابلیتها:FortiWeb Cloud ، فاقد حالت تونلی برای اعمال امنیت بهتر سرورِ مبدأ است. امکان Traffic log view، تعداد ورودی لاگ نسبتاً کمتری را در مقایسه با نسخه تعبیه شده آن در FortiWeb Cloud ،نمایش می دهد.
• تجربه مشتری:علیرغم تلاشهای فورتینت، مشتریان FortiWeb همچنان از وجود و بُروز هشدارهای کاذب شکایت دارند. ضمن آنکه مشتریان خارج از آمریکای شمالی، به اختلاف کیفیت پاسخگویی و پشتیبانی اذعان دارند که بررسی گارتنر نیز عدم یکسانی در سطح مهارت در کانال های ارتباطی پشتیبانی آنها در مناطق مختلف را تأیید می نماید.
Latech-Gartner-WAF-Web Application Firewall-Imperva-Akamai-Cloudflare-F5-BIG IP-LTM-ASM-AFM-DNS-Barracuda-Fortinet-Fortiweb-Radware-Amazon Web Services-Signal Sciences-Microsoft
لاتک-فناوری لاجورد تکوین-گارتنر-فایروال اپلیکیشن وب-ایمپروا-آکامای-کلودفلر-اف فایو- بیگ آی پی- ال تی ام-ای اس ام-ای اف ام-دی ان اس-باراکودا-فورتینت-فورتیوب-ردور-آمازون-سیگنال ساینس-مایکروسافت
راهکارهای قابل ارائه توسط شرکت فناوری لاجورد تکوین (لاتک)
در زمینه فایروال اپلیکیشن های وب
لاتک-فناوری لاجورد تکوین-گارتنر-فایروال اپلیکیشن وب-ایمپروا-آکامای-کلودفلر-اف فایو- بیگ آی پی- ال تی ام-ای اس ام-ای اف ام-دی ان اس-باراکودا-فورتینت-فورتیوب-ردور-آمازون-سیگنال ساینس-مایکروسافت
Imperva – F5 Networks – Fortinet – Barracuda