F5 NGINX ModSecurity WAF erreicht das Ende seines Lebenszyklus

NGINX | 10. Mai 2022

Thelen BlumSenior Product Marketing Manager, NGINX App Protect | F5

In den vergangenen fünf Jahren hat F5 NGINX seinen Kunden das NGINX ModSecurity WAF-Modul für NGINX Plus bereitgestellt, das mithilfe des OWASP ModSecurity Core Rule Set (CRS) Schutz vor gängigen Schwachstellenklassen bietet. Aufgrund jüngster Änderungen beim Support von Drittanbietern für ModSecurity WAF müssen wir jedoch leider mitteilen, dass NGINX ModSecurity WAF mit Wirkung zum 31. März 2024 das Ende seines Lebenszyklus (End-of-Life, EoL) erreicht.

Unsere Entscheidung ist zum Teil auf die kürzlich veröffentlichte Ankündigung von Trustwave zurückzuführen. Die Organisation, die ModSecurity bisher betreut hat, wird demnach zum 1. Juli 2024:

Die Unterstützung für den Open-Source-Code von ModSecurity und die WAF einstellen
Die Verantwortung für die Pflege des ModSecurity-Codes wieder an die Open-Source-Community übertragen
Keine kommerziellen Regeln mehr bereitstellen

Darüber hinaus plant das OWASP-Projekt ModSecurity Core Rule Set (CRS) zwar, ModSecurity weiterhin zu unterstützen, richtet seinen Fokus jedoch zunehmend auf eine neue WAF namens Coraza aus, da angesichts der Maßnahmen von Trustwave und der angekündigten Änderungen beim Support Bedenken hinsichtlich der Zukunftsfähigkeit des ModSecurity-Projekts bestehen.

NGINX ModSecurity WAF basiert auf der Open-Source-Software ModSecurity v3. Durch unseren Support und unsere Tests stellen wir sicher, dass das NGINX ModSecurity WAF-Modul ordnungsgemäß mit NGINX Plus funktioniert. Den ModSecurity-Code selbst pflegen wir jedoch nicht. Aufgrund der fehlenden Unterstützung durch Trustwave und der rückläufigen Beiträge zum Open-Source-Projekt ModSecurity steht NGINX Plus-Kunden daher möglicherweise ein Produkt zur Verfügung, das ihre Anforderungen an Sicherheit und Stabilität nicht erfüllt.

NGINX hat den Verkauf von NGINX ModSecurity WAF zum 1. April 2022 eingestellt (End of Sale, EoS). Wenn Sie Kunde mit einer aktiven Lizenz sind, können Sie Ihr Abonnement verlängern und bis zum EoL-Datum (31. März 2024) umfassenden Support erhalten – einschließlich Updates für das NGINX ModSecurity WAF-Paket. NGINX plant, bis zum 31. März 2024 Updates für das NGINX ModSecurity-Paket bereitzustellen, damit Kunden genügend Zeit für die Migration zu einer neuen Lösung haben. Ihr Account Manager wird sich direkt mit Ihnen in Verbindung setzen, um Ihren künftigen Bedarf an Lösungen für die Anwendungssicherheit zu besprechen. Wenn Sie Ihren Account Manager jederzeit kontaktieren möchten, wenden Sie sich bitte an uns. Ab dem 1. April 2023 werden keine weiteren Verlängerungen mehr angenommen.

Das Engagement für Open Source bleibt ein wesentlicher Bestandteil der NGINX-DNA

Obwohl das Produkt NGINX ModSecurity WAF das Ende seines Lebenszyklus (EoL) erreicht, engagieren wir uns weiterhin aktiv in der Open-Source-Community und unterstützen sie. NGINX schätzt die Zusammenarbeit und Innovationskraft der Mitglieder der Open-Source-Community, die sich dafür einsetzen, Technologien weiterzuentwickeln und zu verbessern. Wir sind überzeugt, dass Open Source den breiteren Einsatz grundlegender Sicherheitstechnologien fördert und uns allen zugutekommt, indem es die Angriffsfläche der globalen Anwendungsinfrastruktur reduziert.

Im Einklang mit diesen Werten übernimmt NGINX weiterhin die Leitung der Projekte NGINX Open Source und NGINX Unit. Wir sind sehr stolz auf unsere Sicherheitsmaßnahmen, sind uns aber zugleich bewusst, dass es eines größeren Teams bedarf, um die technologische Infrastruktur zu schützen, auf die wir uns alle in unserem täglichen Leben zunehmend verlassen. Daher freuen wir uns, OSS-Projekte zu unterstützen, die unmittelbar zur Sicherheit des Internets beitragen. Dazu gehört auch das Sponsoring der Projekte OWASP Core Rule Set (CRS), Let’s Encrypt und Open SSL.

Hat die digitale Transformation Ihre Sicherheitsanforderungen verändert?

Möglicherweise haben Sie sich ursprünglich für NGINX ModSecurity WAF als unterstützte Version der Open-Source-Lösung ModSecurity WAF entschieden, um Ihre Anwendungen mithilfe des OWASP CRS vor allgemeinen Schwachstellenklassen zu schützen oder die PCI-DSS-Compliance-Anforderungen im Rahmen einer standardmäßigen WAF-Implementierung zu erfüllen. In den vergangenen zwei Jahren hat die COVID‑19-Pandemie Unternehmen jedoch dazu gezwungen, ihre digitale Transformation zu beschleunigen, um mit der Nachfrage Schritt zu halten, da sowohl Unternehmen als auch Verbraucher zunehmend Waren und Dienstleistungen online kaufen und nutzen.

Angesichts der zunehmenden Cyberangriffe auf Webanwendungen und APIs ist jetzt möglicherweise der richtige Zeitpunkt, Ihre Anforderungen an eine WAF neu zu bewerten und ein umfassenderes Maß an Schutz, Zuverlässigkeit und Leistung zu implementieren, das für das Unternehmenswachstum erforderlich ist. Wir bieten F5 NGINX App Protect WAF als alternative Sicherheitslösung an, die mit Ihrem Unternehmen skalieren kann.

NGINX App Protect WAF – Fortschrittliche Sicherheit für Ihre modernen Apps und APIs

NGINX App Protect WAF bietet mehrere Vorteile:

NGINX App Protect WAF basiert auf der Advanced-WAF-Engine von F5, die sich seit Jahrzehnten bei Tausenden von Unternehmenskunden in der Praxis bewährt hat. Wenn Sie weitere Produkte von F5 einsetzen, steht Ihnen für unser gesamtes Portfolio an Sicherheitslösungen eine zentrale Support-Anlaufstelle zur Verfügung. Dies umfasst schnelle Fehlerbehebungen und Regelaktualisierungen sowie die Möglichkeit, Einfluss auf unsere langfristige Roadmap zu nehmen. Darüber hinaus können Sie WAF-Regeln problemlos zwischen F5-Lösungen übertragen, um einen einheitlichen Schutz für Ihre gesamte Infrastruktur zu gewährleisten.
Die standardmäßigen ModSecurity-Regeln werden von Mitgliedern der Open-Source-Community erstellt und gepflegt und sind darauf ausgelegt, allgemeine Schwachstellen abzudecken. Die Regeln von NGINX App Protect WAF basieren auf dem breiten Spektrum an Schwachstellen und Bedrohungsberichten, die von F5 Labs verfolgt werden. Das Ergebnis ist ein umfangreicherer Regelsatz, der einen besseren Schutz für Anwendungen bietet und mit den sich ständig weiterentwickelnden Bedrohungen Schritt hält.
ModSecurity-Regeln umfassen die Auswertung regulärer Ausdrücke, sodass jede zusätzlich aktivierte Kontrolle die Leistung unmittelbar beeinträchtigt. Dadurch müssen Sie sich zwischen guter Leistung und umfassendem Schutz entscheiden. NGINX App Protect WAF-Regeln werden für eine hohe Leistung in Bytecode vorkompiliert – unabhängig davon, wie viele Regeln Sie aktivieren.
NGINX App Protect WAF ist plattformunabhängig, benötigt nur wenig Speicherplatz und Ressourcen und eignet sich daher ideal für Cloud-Bereitstellungen.
NGINX App Protect WAF erfüllt die Anforderungen von DevOps-Teams mit deklarativen Richtlinien für „Security as Code“ und lässt sich einfach in Ihre CI/CD-Toolchain integrieren.
NGINX App Protect WAF bietet einheitliche Sicherheitskontrollen für Webanwendungen, Microservices, Container und APIs.

Erfahren Sie, warum der Autoreifenhändler Reifen.com sich für NGINX App Protect WAF und gegen NGINX ModSecurity WAF entschied, als er seine Online-Performance verbessern und interne sowie externe Sicherheits- und Compliance-Standards erfüllen musste. Sascha Petranka, E-Commerce-Berater von Reifen.com, erklärt: „Wir haben uns für NGINX App Protect WAF entschieden, weil es uns die beste Performance, die beste langfristige Lösung und die gebündelte Expertise von NGINX und F5 bietet.“

Stärken Sie Ihr Unternehmen mit optimaler Anwendungssicherheit

NGINX App Protect WAF kann Ihr Unternehmen dabei unterstützen, die Sicherheit und Performance seiner Anwendungen und APIs zu verbessern und gleichzeitig DevOps- und SecOps-Teams enger zusammenzubringen. Diese schlanke Sicherheitslösung ermöglicht es Unternehmen, sich vor umsatzschädigenden Angriffen, Datendiebstahl, Reputationsschäden und Verstößen gegen gesetzliche Vorschriften zu schützen. Wenn Sie NGINX App Protect WAF selbst testen möchten, starten Sie eine kostenlose 30-Tage-Testversion oder kontaktieren Sie uns, um Ihre Anwendungsfälle zu besprechen.