TL;DR:
Reflectiz heeft een vergelijkingspagina gepubliceerd met de bewering dat cside ineffectief is.
Geen van die beweringen houdt stand bij technische toetsing.
- Reflectiz is een scanner/crawler-oplossing. Ze noemen dit 'agentless', wat in het tijdperk van agentische browsers een verwarrende term is. Ze scannen je site periodiek vanuit cloud-IP's. Deze methode is ineffectief tegen de meeste client-side bedreigingen. Aanvallers serveren simpelweg schone scripts aan beveiligingsscanners en vallen de rest aan. Scanners zien wat aanvallers hen laten zien, omdat aanvallers de scanner herkennen. cside ziet wat aanvallers daadwerkelijk naar je gebruikers sturen, omdat cside in de applicatie draait.
- Vertrouw ons niet op ons woord — dit is een fundamenteel ontwerpgegeven. Onafhankelijk onderzoek van ISACA, beveiligingsonderzoekers bij Google en Oracle, maar ook academisch onderzoek van de Bournemouth University concludeert consistent dat scanners niet kunnen bijhouden wat moderne dynamische client-side bedreigingen vereisen.
- cside heeft geen toegang tot klantgegevens. Zien welke velden een script probeert te benaderen, betekent niet dat de inhoud die in die velden wordt ingevoerd zichtbaar is voor cside.
- Om cside te implementeren plak je 1 script in je code. Reflectiz daarentegen moet bot-detectie omzeilen, heeft gebruikersgegevens nodig en zal regelmatig stukgaan wanneer checkout-flows of productvoorraden veranderen.
- cside heeft geen invloed op je marketingstatistieken, omdat cside nooit interactie heeft met data-exfiltratie. Een scan die zich als een gebruiker gedraagt, heeft wél invloed op analytics, omdat die probeert zich als een gebruiker te gedragen.
- cside is geen pure proxy-oplossing. We hebben een directe modus, Gatekeeper, en ook een scanner voor sites waar codewijzigingen niet mogelijk zijn.
- cside voert diepgaande dynamische en gedragsanalyse uit die scannertools niet kunnen evenaren.
Dit artikel bespreekt een aantal van de beweringen en legt uit waarom ze onjuist zijn.
Inleiding
Webbeveiliging staat voor nieuwe uitdagingen. Supply-chain-aanvallen zijn voortdurend in het nieuws, en een belangrijk onderdeel van de supply-chain zijn afhankelijkheden die worden uitgevoerd in de browser van de gebruiker, waar je geen zichtbaarheid hebt. Die aanvallen zijn de afgelopen jaren aanzienlijk geavanceerder geworden. Naarmate het dreigingslandschap is geëvolueerd, zijn eenvoudig te omzeilen benaderingen irrelevant geworden.
Dit leidt tot een voorspelbare uitkomst: aanvallers serveren geen aanvallen aan beveiligingsscanners.
Onlangs publiceerde Reflectiz vergelijkingen waarin wordt beweerd dat cside op de een of andere manier minder krachtig is dan hun scanner. Deze beweringen weerspiegelen de technologische feiten niet. Ze geven blijk van een onjuist begrip van client-side beveiliging als vakgebied en van hoe cside werkt.
Als belangrijke context: cside beschikt over een SOC2 type 2-attestatie en PCI SAQ-D. Reflectiz heeft geen van beide; er is geen door derden gevalideerd bewijs dat hun bedrijf op een veilige manier opereert.
Nauwkeurigheid is in de context van beveiliging van bijzonder belang. Wanneer een opportunistische beveiligingsoplossing gebruikers in gevaar brengt, zijn we allemaal slechter af.
De onjuiste beweringen van Reflectiz over cside
Valse bewering: cside verzamelt gevoelige klantgegevens
Reflectiz suggereert dat cside gevoelige gebruikersgegevens verzamelt, zoals wachtwoorden en creditcardinformatie. In werkelijkheid monitort cside scriptgedrag en heeft het geen enkele toegang tot gebruikersinvoer. Het concept van het zien van data versus het zien welke scripts proberen toegang te krijgen tot welke invoervelden of API's zijn volledig verschillende dimensies.
- cside monitort geen door gebruikers ingevoerde data. We hebben geen zichtbaarheid in wat een gebruiker typt.
- cside monitort de gebeurtenissen van een script.
Dit klinkt misschien herhaald, maar:
We hebben geen interactie met de data die een gebruiker via een formulier op een website indient. cside monitort wat scripts proberen te benaderen.
Onze oplossing monitort de browser-API's die een script probeert te gebruiken, welke formuliervelden het opzoekt en waar data naartoe wordt gestuurd.
Dit alles gebeurt zonder gebruikersinvoer aan te raken.
Zelfs de Gatekeeper-oplossing fungeert als 'pure conduit', wat betekent dat we een doorgeefluik zijn voor de scriptinhoud van de externe server naar de gebruiker. We maken mogelijk deel uit van de URL waarvan het script afkomstig is, maar niet van de exfil-flow. Waar de data naartoe wordt gestuurd, wordt puur als eindpunt gemonitord.
Er is een fundamentele scheiding tussen scriptacties en gebruikersacties in een browser, met name bij het invoeren van data. Dit zijn letterlijk verschillende dimensies. Dit is een essentiële ontwerpkeuze om de privacy van klanten en naleving van regelgeving te ondersteunen.
Houd er rekening mee dat cside een SOC2 type 2-attestatie en PCI SAQ-D heeft. Reflectiz heeft geen van beide. De intentie van een leverancier zonder enige externe beveiligingsverificatie die beweringen doet over de dataverzamelingspraktijken van anderen is op zijn minst twijfelachtig.
Valse bewering: het duurt weken om cside te implementeren
De meeste klanten implementeren cside in minuten door één enkel script aan hun site toe te voegen. Er is niets anders vereist. cside ondersteunt aanvullende configuratie, zoals selectieve Gatekeeping van niet-vertrouwde scripts of scripts die actief zijn in extra gevoelige gebieden. Deze opties worden geboden voor flexibiliteit, niet omdat het platform dit vereist.
Er is geen DNS- of SSL-configuratie en geen infrastructuurmigratie nodig.
De suggestie dat cside lange integratiecycli vereist, heeft geen basis in hoe het product in de praktijk wordt gebruikt.
Aan de andere kant moet de scanner van Reflectiz logica implementeren om captcha's te omzeilen. Soms moet je zelfs hun IP's op de allowlist van je bot-detectieoplossing zetten en zijn gebruikersgegevens nodig om toegang te krijgen tot betaalpagina's. Bovendien veranderen websites. Tijdens het koopseizoen ziet de flow er anders uit dan op een gewone dag. Deze wijzigingen kunnen hun scans verstoren. Hoewel het niet hoeven toevoegen van een script misschien eenvoudiger klinkt, is dat niet het volledige plaatje. Het betrouwbaar onderhouden van wat nodig is om de pagina over tijd te scannen vereist vaak aanzienlijke en voortdurende inspanning.
Valse bewering: cside is een pure proxy-oplossing
Reflectiz presenteert cside als uitsluitend een proxy-architectuur, wat impliceert dat er beperkte ontwerpflexibiliteit is en mogelijke prestatie- of betrouwbaarheidsproblemen.
De 'gatekeeper-modus' van cside is optioneel. Het is een van de verschillende mechanismen die beschikbaar zijn voor organisaties die extra controle willen over de scripts die in hun omgeving worden geladen. Veel klanten gebruiken de Gatekeeping-service helemaal niet. In plaats daarvan vertrouwen ze op runtime-gedragsmonitoring.
cside bestempelen als "een proxy-oplossing" negeert het grootste deel van het platform.
Valse bewering: cside kan downtime veroorzaken of analytics verstoren
cside maakt gebruik van een fail-open-ontwerp. Als de cside-service ooit niet beschikbaar is, laadt de site van de klant normaal. Er is geen blokkering van scriptuitvoering en geen impact op de paginafunctionaliteit. Als cside uitvalt, wordt het script dat verkeer naar of via cside zou laten lopen, niet geserveerd. Dit is een eenvoudige dead-man switch-architectuur. Laagdrempelig, maar zeer efficiënt in storingsscenario's.
We hebben hier een volledig blogbericht over geschreven: hier.
Analyticssystemen worden niet beïnvloed omdat cside geen interactie heeft met de data die ernaartoe wordt gestuurd. Het monitoren van scriptgedrag is niet hetzelfde als het onderscheppen of wijzigen van datastromen.
De suggestie dat analytics verstoord zou worden, weerspiegelt een misverstand over de architectuur van cside. Wat analytics-data uiteraard wél beïnvloedt, is een scanner die probeert zich enigszins als een gebruiker te gedragen. Je zult die verzoeken zien binnenkomen; ze vullen een winkelwagen om bij de betaalpagina te komen, waarna de betaling wordt afgebroken, wat je statistieken scheef trekt. Dit is een van de problemen waarmee je te maken krijgt bij het gebruik van een op scanners gebaseerde oplossing.
Valse bewering: Reflectiz detecteert meer scripts dan cside
Reflectiz beweert 20 tot 50 procent meer scripts te detecteren dan cside. Er is geen methodologie, bronnen of documentatie bij deze bewering gevoegd.
Ze beweren ook dat cside geen zichtbaarheid heeft in iframes, wat onjuist is. We verzamelen iframe-URL's en beoordelen de inhoud binnen de iframe-sessie via een asynchrone controle. Bovendien worden kwaadaardige iframes doorgaans geïnjecteerd via bovenliggende script-tags. De focus op iframes is in de praktijk minder relevant, omdat het iframe-object bij een aanval zelden native aanwezig is. Het is meestal een subrequest van een script.
Belangrijker nog: scriptdetecties in een cloudomgeving staan niet gelijk aan effectieve bescherming in real-world verkeer. Scanners missen inherent precies de soorten bedreigingen die moderne aanvallers gebruiken:
- Op user-agent gerichte aanvallen
- Aanvallen die alleen gericht zijn op web-views
- Conditionele injecties
- Geografisch gerichte aanvallen
- Tijdgebonden aanvallen
cside monitort scriptgedrag in de browser met behulp van realtime actie-analyse. Als een kwaadaardige payload alleen verschijnt voor gebruikers in een bepaalde regio of alleen voor gebruikers die aan specifieke voorwaarden voldoen, zal cside het zien. Een scanner niet.
De scripts waar je je zorgen over moet maken, trappen niet in een scanner.
Er is een onmiskenbare architecturale kloof tussen het kernprobleem en hoe een scanner werkt. Het gaat niet om het vergelijken van "het aantal gedetecteerde scripts". Het gaat erom of een tool by design de omstandigheden kan waarnemen waaronder aanvallen daadwerkelijk plaatsvinden.
Waarom deze onjuiste voorstellingen van zaken ertoe doen
Wanneer leveranciers onjuiste beweringen doen over hoe concurrerende tools werken, misleiden ze organisaties die afhankelijk zijn van accurate informatie om hun gebruikers te beschermen.
Reflectiz heeft gekozen voor de weg van de minste weerstand voor de klant, wat zeker aantrekkelijk is voor sommigen. Deze aanpak heeft voor- en nadelen. Ze kozen voor de minst inspannende aanpak, maar die aanpak is aan de andere kant eenvoudig te omzeilen. Het probleem is dat ze beweren het meest nauwkeurig te zijn, en dat is objectief onjuist.
Beveiligingsbeslissingen moeten worden gebaseerd op architectuur, niet op onjuiste marketinguitspraken.
Scannertools onderscheppen moderne client-side bedreigingen niet
Een crawler maakt periodiek een momentopname van een site en probeert scripts te classificeren op basis van hun URL of bekende handtekeningen. Aanvallers van vandaag:
- Injecteren payloads alleen bij specifieke gebruikersacties
- Serveren verschillende code aan verschillende geografische regio's
- Wijzigen gedrag dynamisch na het fingerprinting van de gebruiker
- Splitsen kwaadaardige logica over meerdere scripts
- Activeren payloads alleen onder checkout- of betalingsomstandigheden waarbij een gebruiker is geauthenticeerd, waarbij inloggegevens die worden gebruikt in automatiseringsscenario's worden vermeden
Dit gedrag is onzichtbaar voor scanners. Lees voor meer diepgang ons artikel over hoe je scannertools kunt omzeilen.
Onafhankelijk onderzoek van ISACA, beveiligingsonderzoekers bij Google en Oracle, maar ook academisch onderzoek van de Bournemouth University concludeert consistent dat op scanners gebaseerde client-side beveiliging niet kan bijhouden wat moderne, dynamische browser-side bedreigingen vereisen.
cside is ontworpen met deze realiteit in gedachten. De aanzienlijke extra inspanning die we leveren om een runtime-gedragsplatform te bouwen is niet voor niets — het is omdat we scanners keer op keer hebben zien falen. We observeren wat scripts daadwerkelijk doen wanneer ze worden uitgevoerd op echte pagina's door echte gebruikers, omdat we weten dat dit de enige manier is om een live aanval daadwerkelijk te detecteren.
Dit is de enige verdedigbare aanpak voor client-side beveiliging op moderne schaal.
Conclusie
De beweringen van Reflectiz zijn overduidelijk door AI gegenereerd, met weinig aandacht voor nauwkeurigheid of legitimiteit.
Reflectiz heeft gekozen voor een oplossing die ze eenvoudig bij hun klanten kunnen implementeren, waardoor adoptie laagdrempeliger wordt. Een scanner bouwen is een stuk goedkoper en eenvoudiger dan het bouwen van een runtime-service. Dit zijn legitieme ontwerpkeuzes. Het probleem is dat ze beweren dat hun oplossing, die is ontworpen om eenvoudig te zijn, nauwkeuriger is. En dat is simpelweg niet waar. De technologische keuze voor een scanner is een momentopname. Voor een statisch probleem kan dat volstaan. Maar client-side beveiliging is een dynamisch probleem.
Het is belangrijk dat accurate informatie wordt gedeeld, ook in concurrentievergelijkingen. Het vereist ook de erkenning dat aanvallers zich snel aanpassen en vertrouwen op de blinde vlekken die worden gecreëerd door verouderd gereedschap. cside is ontworpen om die blinde vlekken te elimineren door realtime zichtbaarheid die aansluit bij hoe moderne aanvallen werken.
Kiezen tussen cside en Reflectiz
We hadden dit artikel liever niet hoeven schrijven, maar de misleidende informatie die Reflectiz over ons heeft gepubliceerd was te flagrant om te negeren. We hebben een uitgebreider artikel over de vergelijking tussen onze oplossingen, dat je hier kunt vinden: cside vs Reflectiz In de loop van de tijd komt elke professional wel een concurrent tegen die liever tijd en energie steekt in het verspreiden van desinformatie en agressieve tactieken om anderen in diskrediet te brengen, in plaats van het verbeteren van hun eigen product. Dit is zo'n situatie.
