Der Ausgangspunkt der Argumentation von Spur Intelligence: Anwendungssicherheit besteht aus mehreren Verteidigungsschichten, von denen jede eine andere Frage an den eingehenden Datenverkehr stellt. CDNs und WAFs prüfen Anfragen, setzen Richtlinien durch und filtern bekannte Bedrohungen – doch der Anfrage selbst sieht man nicht an, ob eine scheinbar gewöhnliche Verbindung über Infrastruktur läuft, die ihren Ursprung verschleiern soll.
Ähnlich verhält es sich bei den übrigen Kontrollen. Bot-Management erkennt Automatisierung und trennt Bots von Menschen, doch nicht jede bösartige Sitzung ist automatisiert, und Angreifer kombinieren Automatisierung zunehmend mit Infrastruktur, die wie normaler Endkundenverkehr aussieht. Identitäts- und Authentifizierungssysteme prüfen, ob Nutzer ihre Identität belegen können – gültige Zugangsdaten bedeuten aber nicht, dass sie vom rechtmäßigen Kontoinhaber vorgelegt werden. Geräte- und Browser-Intelligenz beschreibt den Endpunkt, sagt jedoch nichts über das Netzwerk aus, das diesen Endpunkt mit der Anwendung verbindet.
Genau hier setzt Monocle an. Die Plattform verknüpft laut Spur die eigene Sicht auf Internet-Infrastruktur mit Live-Telemetrie aus der Sitzung und erzeugt daraus eine Session Trust Assessment in Echtzeit. Statt eine IP-Adresse schlicht als gut oder schlecht zu etikettieren, liefert sie Attribute, die die durchsetzende Schicht für ihre Entscheidung heranziehen kann.
Eine solche Bewertung enthält drei Arten von Kontext: Signale zu dem, was Monocle über die Sitzung beobachtet, eine Entscheidung auf Basis der vom Unternehmen konfigurierten Richtlinie sowie Governance-Daten zur Nachvollziehbarkeit. Attribute wie „vpn“, „proxied“, „anon“, „rdp“ und „dch“ beschreiben Infrastruktur- und Verbindungsmerkmale, „service“ benennt den konkret beteiligten Dienst. Signale wie „ai_agentic“ und „ai_crawling“ liefern Kontext zu neu aufkommendem KI-getriebenem Datenverkehr.
Das Feld „allowed“ gibt die daraus folgende Richtlinienempfehlung aus, „reason“ begründet sie – im gezeigten Beispiel wird die Sitzung abgelehnt, weil die konfigurierte Richtlinie anonyme Verbindungen blockiert. Felder wie „decisionId“, „id“, „sid“ und „ts“ enthalten Kennungen und Zeitangaben, mit denen sich eine Entscheidung auf eine bestimmte Bewertung und den Anwendungskontext zurückführen lässt.
Spur illustriert den Nutzen an einem Beispiel: Ein Finanzinstitut sieht eine erfolgreiche Anmeldung von einer US-amerikanischen IP-Adresse – für sich genommen unauffällig. Die Anreicherung der Sitzung könne jedoch offenlegen, dass die Verbindung anonym ist, aus Rechenzentrums-Infrastruktur stammt und einem kommerziellen VPN-Dienst zugeordnet werden kann.
In der Praxis könne ein bekannter Kunde, der sein gewohntes Gerät über ein VPN nutzt, weiterarbeiten; eine Anmeldung mit neuen Zugangsdaten, unbekanntem Gerät und Anonymisierungsinfrastruktur dagegen eine Mehrfaktor-Authentifizierung auslösen. Eine hochwertige Transaktion aus derselben Sitzung könnte zusätzliche Verifizierung erfordern.
Am wirksamsten seien diese Signale dort, wo der Datenverkehr ohnehin kontrolliert wird – am Rand des Netzwerks. Monocle sei als Ergänzung bestehender Edge-Infrastruktur konzipiert; Organisationen, die etwa Cloudflare einsetzen, könnten die Anreicherung in ihre vorhandenen Durchsetzungsabläufe einbinden und festlegen, wie unterschiedliche Signalkombinationen zu behandeln sind: Sitzung zulassen, eine Challenge stellen, stärkere Authentifizierung verlangen, eine sensible Aktion einschränken, zur weiteren Analyse weiterleiten oder ganz blockieren.
Der Beitrag ist von Spur Intelligence gesponsert und verfasst.