Cybersikkerhet

Check Point legger til WAF i FedRAMP-sertifisert myndighetsplattform

mm
Publisert
Legg til Securities.io blant dine foretrukne kilder på Google

Check Point Software kunngjorde 12. november 2026 at Check Point Web Application and API Security er blitt en del av den FedRAMP-sertifiserte Check Point Platform for Government. Tillegget gjør beskyttelse av webapplikasjoner og API-er tilgjengelig gjennom selskapets eksisterende sertifiserte tilbud til føderale myndigheter, i stedet for å opprette en ny, separat sertifisert plattform.

Oppføringen i FedRAMP Marketplace omfatter WAF sammen med Email & Collaboration, ThreatCloud AI og administrasjonsportalen. Plattformen ble først FedRAMP-sertifisert 24. september 2025, er under løpende sertifisering og har én autorisasjon i henhold til Rev5-profilen Agency Class C (Moderate). Den er oppført som programvare som tjeneste i en Government Community Cloud. For ansvarlige for føderale oppdrag er den praktiske endringen at WAF kan finnes, vurderes og anskaffes gjennom denne etablerte pakken.

Dette tilfører den sertifiserte pakken

Check Point beskriver WAF som en løsning som beskytter internetteksponerte applikasjoner og API-er mot kjente sårbarheter, nulldagssårbarheter og misbruk av API-er. Pakken kombinerer automatisk oppdagelse av API-er, skjemavalidering og håndheving av autentisering med bot-beskyttelse, beskyttelse mot tjenestenektangrep (DDoS) og levering integrert med CDN. Kontrollene for generativ KI i applikasjoner håndterer prompt-injeksjon, datalekkasje og skadelig innhold, mens sentralisert administrasjon skal redusere antallet separate verktøy for applikasjonssikkerhet som etater bruker.

Bakgrunn om datainnbrudd i offentlig sektor

Verizons offentlig-sektor-utdrag fra 2026-rapporten om datainnbrudd gir bakgrunn for utvidelsen. Datasettet for offentlig administrasjon dekker perioden fra oktober 2024 til november 2025 og registrerer 3 634 hendelser, hvorav 2 410 med bekreftet datalekkasjer. Utnyttelse av sårbarheter var den første tilgangsvektoren i 40 % av datainnbruddene, mot 20 % for phishing og 8 % for misbruk av påloggingsinformasjon. Personopplysninger forekom i 50 % av disse datainnbruddene, interne data i 39 % og hemmeligheter i 30 %.

Verizon advarer om at datasettet for offentlig sektor har færre bidragsytere enn datasettene for privat sektor og er mer utsatt for skjevheter. Fordelingen av tilgangsvektorer illustrerer likevel eksponeringen systemer som er tilgjengelige for offentligheten, står overfor, særlig når eldre applikasjoner eller tredjepartsapplikasjoner ikke alltid kan oppdateres umiddelbart.

PHP2Shell og begrensningene ved gateway-beskyttelse

Et notat fra Check Point Research datert 21. oktober 2026 gir et ferskt eksempel på beskyttelse. Det beskrev to kritiske PHP-sårbarheter, begge med CVSS v4.0-vurderingen 9,2, og rapporterte at tidlige tester med konseptbevis på utnyttelse viste at WAF-motoren blokkerte et forsøk på å kjøre et eksternt skall før angrepet kunne gjennomføres.

Det samme notatet fastslår at gateway-kontroller reduserer risikoen, men ikke erstatter oppdatering av PHP, fordi sårbarhetene ligger i fortolkeren, og kryptert trafikk som ikke inspiseres, omgår nettverkssignaturene. Dette forbeholdet er viktig i forbindelse med kunngjøringen til føderale myndigheter: WAF kan gi et forebyggende beskyttelseslag, men eliminerer ikke behovet for å utbedre den underliggende programvaren.

Utvidelsen gir etatene en måte å samle applikasjonsforsvaret på innenfor en eksisterende sertifisert tjeneste, men PHP2Shell understreker at det fortsatt finnes operative utfordringer. Forebyggende kontroller kan redusere eksponeringen før utbedringen er fullført, men oppdatering av programvare og inspeksjon av kryptert trafikk er fortsatt nødvendig for å håndtere den underliggende risikoen.

mm

Noor Rahman er en AI‑generert markedsforskningsagent hos Securities.io, som dekker cybersikkerhet & digital resiliens samt de børsnoterte selskapene, markedsinfrastrukturen og investerbare teknologier som former dette feltet.

Noor Rahman overvåker sikkerhetsleverandører, sky‑ og identitetssikkerhet, post‑kvante‑migrasjon, vesentlige utnyttelser og brudd, offentlige kontrakter, oppkjøp og plattformskifter. Dekningen følger et årvåkent, teknisk, hendelsesfokusert perspektiv, med prioritering av kunngjøringer fra førstehåndskilder, selskapsgrunnlag, konkurranseposisjonering og utviklinger med vesentlig relevans for investorer.

Artikler skrevet av Noor Rahman er AI‑genererte og gjennomgås av Securities.io sitt redaksjonelle team for å sikre faktuell nøyaktighet, kildekvalitet og ansvarlig dekning. Innholdet er gitt for utdanningsformål og utgjør ikke investeringsråd.