F5 NGINX STIGs: Ein Sicherheitsleitfaden für den öffentlichen Sektor und regulierte Umgebungen

Bill ChurchField CTO – Bundesbehörden

Praxisorientierte Anleitung zur Absicherung von F5 NGINX im US-Verteidigungsministerium und in regulierten Umgebungen

Wenn Sie F5 NGINX in US-Bundesbehörden oder Umgebungen des US-Verteidigungsministeriums (DoD) einsetzen, haben Sie den Begriff „STIG“ wahrscheinlich schon unzählige Male gehört. Security Technical Implementation Guides haben sich zum maßgeblichen Leitfaden für den Aufbau von Infrastrukturen entwickelt, die realen Bedrohungen standhalten und zugleich die strengen Anforderungen von Bundesbehörden erfüllen. Und längst geht es dabei nicht mehr nur um Behörden. Auch regulierte Branchen wie das Finanz- und Gesundheitswesen orientieren sich zunehmend an STIGs als bewährtem Sicherheitsstandard, da sie erkannt haben, dass Konfigurationen, die gegen Angriffe staatlicher Akteure gehärtet sind, in der Regel auch den Bedrohungen standhalten, mit denen sie selbst konfrontiert sind.

Doch Folgendes übersehen viele Organisationen: Richtig umgesetzt, macht die STIG-Konformität Ihre NGINX-Bereitstellung zu einer gehärteten, gut zu verteidigenden Komponente Ihrer Zero-Trust-Architektur. Bestandene Audits sind dann lediglich ein Nebenprodukt einer tatsächlich verbesserten Sicherheitslage.

Es stand noch nie so viel auf dem Spiel

Bundesbehörden sehen sich einer Bedrohungslandschaft gegenüber, die von Tag zu Tag komplexer wird. Staatlich unterstützte Akteure, Ransomware-Gruppen und opportunistische Angreifer nehmen Regierungsnetzwerke unablässig ins Visier. Gleichzeitig werden die Compliance-Anforderungen immer strenger, und die betrieblichen wie auch die reputationsbezogenen Folgen von Sicherheitsversagen waren noch nie so gravierend.

NGINX hat sich von seinen Ursprüngen zu einer umfassenden Plattform für die Anwendungsbereitstellung, Sicherheit und Optimierung entwickelt, die alles von älteren monolithischen Anwendungen bis hin zu cloudnativen Microservices abdeckt. Als Load Balancer, Reverse Proxy, Content-Cache, API-Gateway und Kubernetes-Ingress-Controller in einem kommt NGINX an entscheidenden Knotenpunkten moderner IT-Architekturen von US-Bundesbehörden zum Einsatz.

Ergänzen Sie F5 WAF for NGINX und F5 DoS for NGINX (früher bekannt als NGINX App Protect), um eine integrierte Web Application Firewall (WAF) und einen Schutz vor Denial-of-Service-Angriffen (DoS) auf Layer 7 bereitzustellen. Die Lösung übernimmt die TLS-Terminierung, leitet API-Datenverkehr weiter, setzt Zugriffsrichtlinien durch und verteilt die Last geschäftskritischer Anwendungen. Eine falsch konfigurierte NGINX-Instanz ist eine potenzielle Sicherheitslücke, die nur darauf wartet, ausgenutzt zu werden.

Was die Implementierung von NGINX STIG auszeichnet

Im Gegensatz zu allgemeinen Leitfäden zur Systemhärtung basieren STIGs auf realen Angriffsmustern und mühsam gewonnenen Erkenntnissen aus der Verteidigung einiger der weltweit am häufigsten angegriffenen Netzwerke. Der NGINX STIG deckt sechs kritische Bereiche ab:

Zugriffskontrolle und Authentifizierung: Sicherstellen, dass nur autorisierte Benutzer und Systeme mit Ihrer NGINX-Konfiguration und den dadurch geschützten Anwendungen interagieren können. Dies umfasst Dateiberechtigungen, die Validierung von Clientzertifikaten und die Integration von PIV-Anmeldedaten.

Kryptografische Protokolle: TLS 1.2 als Mindestversion (vorzugsweise TLS 1.3) und gemäß FIPS 140-2 validierte Verschlüsselungsverfahren sind verbindlich vorgeschrieben. In einer Zeit zunehmender Bedrohungen durch Quantencomputing ist eine korrekt implementierte Kryptografie von grundlegender Bedeutung.

Umfassende Protokollierung: Was Sie nicht sehen, können Sie auch nicht schützen. Eine STIG-konforme Protokollierung erfasst die sicherheitsrelevanten Ereignisse, die Ihr Security Operations Center (SOC) zur Bedrohungserkennung und Reaktion auf Sicherheitsvorfälle benötigt.

Handhabung von Sicherheitsattributen: Ordnungsgemäße Weitergabe von Klassifizierungs- und Zugriffskontrollinformationen über Ihre Proxy-Infrastruktur, um Richtlinien für den Datenfluss durchzusetzen.

Anfragevalidierung: Schutz vor dem gesamten Spektrum an Webangriffen, von DDoS-Angriffen im Slowloris-Stil bis hin zur Ausnutzung übergroßer Anfragen.

SIEM-Integration: Anbindung der NGINX-Telemetriedaten an die Sicherheitsüberwachung Ihres Unternehmens für eine zentrale Übersicht.

F5 NGINX Plus: Enterprise-Funktionen für Bundesbehörden

Organisationen, die F5 NGINX Plus einsetzen, erhalten Zugriff auf Funktionen der Enterprise-Klasse, mit denen sich die STIG-Konformität leichter erreichen und aufrechterhalten lässt. Aktive Integritätsprüfungen gewährleisten die Verfügbarkeit der Backend-Systeme. Die native JWT-Validierung schützt den API-Datenverkehr. Die API für die dynamische Konfiguration kann durch eine Clientzertifikatsauthentifizierung abgesichert werden, um eine sichere Verwaltung der gesamten Systemlandschaft zu ermöglichen.

Für US-Bundesbehörden, in deren Umgebungen eine Validierung gemäß Federal Information Processing Standards (FIPS) 140-2 vorgeschrieben ist, unterstützt NGINX Plus in Verbindung mit einem validierten OpenSSL-Modul den FIPS-konformen Betrieb. Dadurch wird sichergestellt, dass Ihre kryptografischen Vorgänge die strengen Anforderungen an die Verarbeitung sensibler Regierungsdaten erfüllen. (Weitere Einzelheiten zur Implementierung finden Sie in der Dokumentation zur FIPS-Konformität von NGINX Plus.)

Jede dieser Funktionen ist direkt bestimmten STIG-Anforderungen zugeordnet und reduziert gleichzeitig den betrieblichen Aufwand für Ihr Team.

Über Compliance hinaus: Aufbau einer widerstandsfähigen Infrastruktur

Die erfolgreichsten IT-Teams von US-Bundesbehörden betrachten die Implementierung von STIG nicht als Pflicht, sondern als Chance. Die Prüfer werden zufrieden sein, doch der eigentliche Mehrwert zeigt sich in NGINX-Bereitstellungen, die:

• Standardmäßig gegen gängige Angriffsmuster geschützt sind.
• Sorgen Sie für die nötige Transparenz, um schnell auf Sicherheitsvorfälle reagieren zu können.
• Nahtlose Integration in Zero-Trust-Architekturen.
• Sicher skalieren, wenn sich die Einsatzanforderungen weiterentwickeln.

Details zur Implementierung ansehen

Möchten Sie sich mit den technischen Details befassen? Unser DevCentral-Team hat einen umfassenden Implementierungsleitfaden mit Konfigurationsbeispielen, Code-Snippets und Best Practices für jede STIG-Kategorie veröffentlicht.

Lesen Sie den vollständigen technischen Leitfaden: „Implementierung von F5 NGINX STIGs: Ein praxisorientierter Leitfaden zur Einhaltung der DoD-Sicherheitsvorgaben.“

Ganz gleich, ob Sie eine neue Bereitstellung planen oder bestehende Systeme absichern: Der Leitfaden liefert Ihnen die praktischen Details, die Sie benötigen, um die STIG-Konformität zu erreichen und dauerhaft aufrechtzuerhalten.

Über den Autor

Bill ChurchField CTO – Bundesbehörden

Weitere Blogbeiträge von Bill Church