Moderne Workloads auf Dell EMC VxRail

Verfügbarkeits- und Sicherheitsdienste in einer Infrastructure-as-a-Service-Umgebung bereitstellen

Dell EMC VxRail bietet eine bewährte virtualisierte Umgebung für Unternehmen, die Workloads auf einer Hochleistungsplattform konsolidieren möchten. Da immer mehr Workloads, einschließlich webbasierter Microservice-Anwendungen, auf die Plattform migriert werden, müssen Infrastrukturmanager über Infrastructure-as-a-Service hinausblicken. Um die wachsende Liste an Workloads zu unterstützen, müssen sie sich nach Diensten umsehen, die Leistung, Sicherheit und Verfügbarkeit für einen unterbrechungsfreien Geschäftsbetrieb gewährleisten. Aus der Perspektive des Ökosystems konzentriert sich unser Whitepaper auf Netzwerkanwendungsdienste von F5, die Verfügbarkeit und Sicherheit für webbasierte Workloads auf VxRail bieten. Diese Anwendungsdienste verwenden F5-Software, die sich nahtlos in die VxRail VMware-Umgebung integrieren lässt, sodass die Bereitstellung, Konfiguration und Unterstützung von F5-Diensten über VxRail vCenter vereinfacht wird.

In der VxRail-Umgebung können Infrastrukturmanager Anwendungen von Legacy- und Cloud-Plattformen konsolidieren, um eine einzige, integrierte Umgebung zu erstellen, die für einen optimalen Betrieb über der Infrastruktur platziert wird. Diese Funktionen könnten internen Stakeholdern als integrierte „As-a-Service“-Umgebung angeboten werden, um Leistung und Kosteneffizienz sicherzustellen und eine nahtlose Erweiterung auf die öffentliche Cloud über VMware Cloud zu ermöglichen.

Wichtige Themen des Whitepapers:

• Abschnitt 1: Bereitstellen von F5® Advanced Web Application Firewall™-Diensten innerhalb von VxRail
• Abschnitt 2: Anpassen der Sicherheitsrichtlinie
• Abschnitt 3: Konfigurieren der Hochverfügbarkeitsunterstützung für Workloads und Anwendungen
• Abschnitt 4: Sichere und geschützte Aufbewahrung von webbasierten Assets
• Abschnitt 5: Zukunftssicher: Nutzung von vCenter für Anwendungsservicetransparenz und Kapazitätsplanung
• Abschnitt 6: Zusammenfassung

In diesem Abschnitt geht es um die Verwendung der vCenter-Verwaltungsschnittstelle zum Bereitstellen und Ausrollen der Software F5 Advanced Web Application Firewall (Advanced WAF) auf VxRail. Für dieses Beispiel haben wir zwei Webserver erstellt, die eine Beispiel-Workload hosten, und Advanced WAF vor den Servern bereitgestellt. Das Beispiel wurde mit dem Ziel entwickelt, die webbasierte Arbeitslast auf den Webservern zu optimieren und zu schützen.

Beginnen Sie mit der Erstellung einer erweiterten WAF-Vorlage in VxRail vCenter, wie in Abbildung 1 dargestellt. Die Advanced WAF-Vorlage sollte im Vorlagenordner im VxRail-Datacenter aufgeführt sein. In der Vorlage wird das Image des Advanced WAF gespeichert. Die Vorlage kann verwendet werden, um den Anwendungsdienste später zu starten, was eine einfache Diensterstellung ermöglicht.

Klicken Sie auf die Vorlage „Advanced WAF“, wie in Abbildung 2 dargestellt. Von diesem Menü aus können Sie eine neue VM starten und dann die zu verwendenden Dienste vorbereiten. Befolgen Sie dabei bei Bedarf die in den Screenshots unten beschriebenen Schritte. Um den Bereitstellungsprozess zu vereinfachen, haben wir von jedem Schritt einzelne Screenshots beigefügt.

Um eine reibungslose Bereitstellung zu gewährleisten, befolgen Sie unbedingt die folgenden Richtlinien:

• Erstellen Sie einen eindeutigen Namen für die VM Ihres Advanced WAF (wir haben sie hier F5-AWAF-A genannt).
• Wählen Sie den Standort der VM aus (wir wählen VxRail Datacenter als Standardstandort aus).
• Wählen Sie den Ziel-Rechnercluster aus (innerhalb des Clusters nennen wir ihn F5-Ressourcenpool).
• Wählen Sie den Speicher aus (wir wählen VxRail-Virtual-SAN-DataStore).

Wenn Sie den Konfigurationsprozess abgeschlossen haben, sollten Sie Advanced WAF auf dem VxRail-Cluster mit der auf der Übersichtsseite angegebenen IP-Adresse bereitgestellt sehen, einschließlich vorab zugewiesener Rechenressourcen und Speicher. Ein Beispiel für eine erfolgreich konfigurierte Bereitstellung finden Sie in Abbildung 3.

Sobald die Advanced WAF-Software bereitgestellt wurde, können wir die Sicherheitsrichtlinie definieren, die zum Überprüfen des eingehenden Datenverkehrs verwendet werden soll, bevor er an die Webserver weitergeleitet wird. Advanced WAF ermöglicht Benutzern die Erstellung eigener, detaillierter Sicherheitsrichtlinien und umfasst außerdem umfangreiche Bibliotheken mit Bedrohungsinformationen und Signaturen. Diese Bibliotheken werden regelmäßig aktualisiert, um die aktuellsten Sicherheitsinformationen aufzunehmen. Auf diese Weise können Benutzer arbeitslastzentrierte Sicherheitsprofile erstellen, die durch die neuste Bedrohungsinformation unterstützt werden. Benutzer können auch den „Zuhörmodus“ aktivieren. Dieser Modus nutzt maschinelles Lernen, um eine umgebungsspezifische grundlegende Sicherheitsrichtlinie zu etablieren und dadurch unnötige Alarme durch Fehlalarme zu reduzieren.

Die hohe Verfügbarkeit von BIG-IP wird durch TMOS unterstützt, sodass eine einheitliche Ausfallsicherheitsmethodik und -unterstützung in allen Produktmodulen gewährleistet ist.

Die folgenden Abbildungen führen Sie durch die notwendigen Schritte zur Konfiguration Ihres Systems für hohe Verfügbarkeit. Diese Schritte umfassen:

• Festlegen interner Netzwerkkonfigurationen (z. B. VLAN-Informationen)
• Festlegen externer Netzwerkkonfigurationen
• Auswählen der Konfiguration Ihres Hochverfügbarkeitsnetzwerks
• Überprüfen und Bestätigen der Konfigurationsdetails

In diesem Abschnitt verwenden wir zwei Sicherheitsfunktionen – die Projektion von Benutzeranmeldeinformationen und die Blockierung von SQL-Injection –, um zu veranschaulichen, wie Schutz für webbasierte Workloads implementiert wird. Anstelle einer Schritt-für-Schritt-Anleitung haben wir eine Anleitung erstellt, die zeigt, wie diese Sicherheitsfunktionen funktionieren, Eindringlinge und Bedrohungen automatisch blockieren und so die Arbeitslasten und die Back-End-Infrastruktur schützen.

Data Safe ermöglicht die Verschlüsselung und Verschleierung von Benutzeranmeldeinformationen und Parameternamen (z. B. ID und Kennwort) in Echtzeit auf der Anwendungsebene. Zur Implementierung dieses Sicherheitsdienstes sind keine Codeänderungen oder Anpassungen am Quellcode der Anwendung erforderlich.

Bei webbasierten Assets oder Anwendungen mit HTTP/HTTPS-Verkehr ist die Datenverschlüsselung mit SSL der erste Schritt zum Schutz der Daten vor einer möglichen Offenlegung durch unrechtmäßige Dritte. Um die Datensicherheit zu gewährleisten reicht eine SSL-Verschlüsselung während der Übertragung nicht aus. Der Diebstahl von Anmeldeinformationen kann auch auf Clientebene erfolgen. Beispielsweise können Endbenutzer ihren Webbrowser kompromittiert haben, indem sie auf schädliche Dateien geklickt oder auf mit Malware verseuchte Websites zugegriffen haben.

Die Data Safe-Funktion kann im Abschnitt „Sicherheit“ der Advanced WAF-Konsole aktiviert werden.  Wählen Sie „Datenschutz“ und fahren Sie dann mit den Data Safe-Profilen fort:

• Neues Profil erstellen
• Legen Sie den Profilnamen auf „Betrugsschutz“ fest.
• Aktivieren Sie die Verschlüsselung auf Anwendungsebene im Anti-Fraud-Profil
• Aktivieren Sie andere Kriterien zum Schutz der Benutzeranmeldeinformationen

Wenn Data Safe aktiviert ist, können Sie die Kriterien zum Verschlüsseln von ID und Kennwort auf Clientebene für webbasierte Assets oder Dienste festlegen. Dadurch wird das Risiko einer Sicherheitsverletzung durch mit Malware infizierte Browser verringert. Durch Data Safe geschützte Anwendungen präsentieren Webseiten über Advanced WAF. Die Zeichen von ID und Passwort werden bei der Eingabe durch den Benutzer verschlüsselt. Selbst wenn ein Browser kompromittiert ist, kann die Malware lediglich die verschlüsselten Daten extrahieren, die ohne den privaten Schlüssel und nicht das eigentliche Passwort nicht entschlüsselt werden können (weitere Einzelheiten finden Sie in der Abbildung unten). Zusätzlich zum clientseitigen Anmeldeinformationsschutz auf Webebene kann Advanced WAF um einen Schutz auf mobiler Ebene für Workloads von mobilen Anwendungen erweitert werden.

Teil A: Schutz der Benutzeranmeldeinformationen

Teil B: Bei SQL-Injection

SQL-Injection steht in der OWASP-Liste der zehn größten Bedrohungen immer weit oben. Hacker suchen im Anwendungscode nach Schwachstellen, um wichtige Daten aus der Back-End-Datenbank zu extrahieren. Der erste Schritt zur Reduzierung des Risikos einer Gefährdung durch SQL-Injection besteht in der Förderung bewährter Codierungsmethoden, um eine „sichere“ Codierung zu gewährleisten. Sie können innerhalb Ihrer Infrastruktur auch eine zusätzliche Schutzebene anwenden. Advanced WAF beinhaltet umfassende Bedrohungsinformationen und eine Bibliothek mit Bedrohungssignaturen, die eingesetzt werden können, um die webbasierten Workloads vor SQL-Injection zu schützen.

Um den Schutz vor SQL-Injection zu aktivieren, rufen Sie im Menü „Anwendungssicherheit“ den Abschnitt „Angriffssignaturen“ auf und verwenden Sie SQL als Filterschlüsselwort. In der Bedrohungssignaturdatenbank wird eine Liste mit Signaturen im Zusammenhang mit SQL-Injection angezeigt. Als diese Demo abgeschlossen war, waren 563 zugehörige Signaturen zum Schutz vor SQL-bezogenen Angriffen verfügbar. Wählen Sie alle relevanten Bedrohungssignaturen aus und fügen Sie sie Ihrer Anwendungssicherheitsrichtlinie hinzu.

Um den Unterschied zu veranschaulichen, zeigen die folgenden Abbildungen die Ergebnisse mit und ohne SQL-Injection-Blockierung.

Mit dem Schutz wird die Abfrage blockiert und stattdessen eine Fehlermeldung wie diese zurückgegeben.

Bei aktivierter SQL-Injection werden SQL-Anfragen blockiert, bevor sie die Datenbank erreichen. Der potenzielle Hacker erhält stattdessen eine Fehlermeldung.

VxRail bietet eine skalierbare, einfach zu verwaltende Umgebung, die es Benutzern ermöglicht, F5-Dienste problemlos bereitzustellen, zu testen und zu integrieren. In diesem Abschnitt konzentrieren wir uns auf die Nutzungsdetails von Advanced WAF und demonstrieren, wie man auf einen vollständigen Bericht seines aktuellen Status zugreift (beispielsweise CPU- und Speicherauslastung) und wie diese Informationen zur Planung zukünftiger Erweiterungen verwendet werden können. Unser Ziel ist es, sicherzustellen, dass die F5-Software das „As-a-Service“-Modell von VxRail unterstützt.

Die folgenden Abbildungen zeigen die unseren Diensten zugewiesenen Ressourcen und geben den Lesern einen Einblick in die für die Demo verwendeten Ressourcen. Auf diese Weise können Infrastrukturmanager die Kapazität abschätzen, die zum Hochskalieren dieser Dienste für eine Produktionsumgebung erforderlich ist. Diese Informationen können besonders nützlich sein, wenn diese Tools in einer skalierbaren As-a-Service-Umgebung verwendet werden.

In diesem Whitepaper haben wir gezeigt, wie die F5 Advanced Web Application Firewall (Advanced WAF) innerhalb der VxRail-Umgebung eingerichtet wird. Wir haben eine Schritt-für-Schritt-Bereitstellungsanleitung durchgearbeitet und die erweiterten WAF-Sicherheitsfunktionen anhand von Vorher-Nachher-Vergleichen veranschaulicht.

Dieses Dokument zeigt, wie Sie Software von Drittanbietern in der VxRail-Umgebung bereitstellen, indem Sie sie als Dienst einrichten, den Infrastrukturmanager in einer servicereichen Umgebung integrieren und anbieten können. Wir haben gezeigt, wie Advanced WAF in der VxRail-Umgebung konfiguriert wird, um Anwendungssicherheitsdienste für webbasierte, auf Microservices basierende Anwendungen bereitzustellen.  

VxRail ist eine leistungsstarke, skalierbare und einfach zu verwaltende Plattform, die von Infrastrukturmanagern zur Steuerung des Geschäftsbetriebs verwendet werden kann. Der Einsatz von Diensten Dritter, die eine gute Benutzererfahrung gewährleisten, ist für den Geschäftserfolg von entscheidender Bedeutung. F5 Advanced WAF bietet nahtlose Unterstützung innerhalb der VxRail-Umgebung, die auf die VMware Cloud erweitert werden kann.