Esta semana, las brillantes luces de Las Vegas iluminarán el futuro de la entrega y la seguridad de aplicaciones mientras celebramos AppWorld, nuestro evento anual para clientes y partners. Los asistentes podrán conocer numerosas novedades relacionadas con nuestra F5 Application Delivery and Security Platform (ADSP), nuestros productos y nuestro ecosistema de partners, todas ellas destinadas a abordar los retos más acuciantes en materia de entrega y seguridad de aplicaciones.
En el centro de esos anuncios se encuentra, por supuesto, F5 BIG-IP, un componente esencial de F5 ADSP, y hoy me complace ofrecer un adelanto de la próxima versión de software de BIG-IP, la v21.1. Su lanzamiento está previsto para los próximos meses y BIG-IP v21.1 seguirá avanzando en la modernización de BIG-IP TMOS, incorporará nuevas funcionalidades para proteger y distribuir cargas de trabajo de IA, mejorará la preparación para la criptografía poscuántica (PQC), ofrecerá protecciones avanzadas para protocolos y API modernos, y mucho más. Así que, sin más preámbulos, veamos los cambios más importantes que llegarán con BIG-IP v21.1.
Modernización del software BIG-IP TMOS
Cuando dejamos de ofrecer BIG-IP Next el año pasado, nos comprometimos a modernizar nuestro software BIG-IP TMOS mediante la integración de muchas de las mejoras concebidas originalmente para BIG-IP Next. La versión 21.0 de BIG-IP fue el primer paso hacia este objetivo, ya que aportó importantes avances en la escalabilidad y el rendimiento del plano de control. Con la versión 21.1, continuamos este proceso de modernización con otras dos actualizaciones:
Presentamos la nueva API declarativa de BIG-IP: BIG-IP lleva mucho tiempo ofreciendo automatización declarativa mediante Application Services 3 Extension (AS3), lo que permite a los equipos simplificar y agilizar los cambios en la configuración de las aplicaciones. Aunque AS3 revolucionó la automatización de BIG-IP y sigue satisfaciendo eficazmente las necesidades de la mayoría de las implementaciones, los entornos modernos evolucionan a un ritmo extraordinario. La creciente demanda de cambios de configuración casi instantáneos a una escala sin precedentes ha puesto de manifiesto la necesidad de una API de nueva generación.
Me complace anunciar que BIG-IP v21.1 incorporará —aunque inicialmente en fase alfa— la nueva API declarativa de BIG-IP. A diferencia de AS3, la API estará totalmente integrada en el código base de BIG-IP, por lo que no será necesario gestionar su ciclo de vida por separado. Además, adoptará un modelo por aplicación más escalable, en lugar del diseño por inquilino de AS3, lo que permitirá dividir esas configuraciones de AS3 grandes y complejas en módulos más pequeños y reutilizables, más fáciles de gestionar y que ayudarán a reducir los riesgos. Asimismo, la nueva API ofrece una cobertura de automatización mucho más amplia que AS3, lo que permitirá automatizar la mayoría de los flujos de trabajo y casos de uso de BIG-IP. Y es rápida: las importantes mejoras de rendimiento permitirán implementar configuraciones casi en tiempo real, adaptando BIG-IP a las condiciones operativas de las aplicaciones modernas. En los próximos meses compartiremos más información sobre la API declarativa de BIG-IP, así que permanezca atento.
Mejoras continuas del plano de control: Comenzamos a modernizar el plano de control de BIG-IP en la versión 21.0 (más información disponible aquí), una labor que seguirá siendo recurrente en la versión 21.1 y en las versiones posteriores. Esta última actualización aporta mejoras significativas en tres áreas clave —MCPd, iControl REST y el demonio BigD— destinadas a aumentar la fiabilidad y el rendimiento del plano de control, al tiempo que se optimiza el uso de los recursos.
La API iControl REST procesará las solicitudes con mayor rapidez, lo que reducirá hasta en un 10 % los tiempos de configuración de extremo a extremo. Su mayor eficiencia reduce el consumo de CPU y memoria, liberando recursos para otras funciones esenciales del plano de control. MCPd, el proceso central responsable de gestionar las configuraciones de BIG-IP, se ha mejorado para ofrecer una mayor resiliencia en condiciones de poca memoria y acelerar las tareas de arranque del sistema y carga de configuraciones. Por último, BigD, el demonio de supervisión del estado de las aplicaciones de BIG-IP, ahora utiliza varios subprocesos para mejorar la escalabilidad de la supervisión y reducir su consumo total de recursos.
La actualización del plano de control sigue siendo una de nuestras principales prioridades, por lo que cabe esperar nuevas mejoras en BIG-IP v22.x y versiones posteriores.
Preparación para la PQC
Según a quién se pregunte, el «Día Q» está a la vuelta de la esquina o aún faltan varios años para que llegue. En cualquier caso, la amenaza de «recopilar ahora y descifrar después» —que consiste en almacenar hoy datos cifrados con la intención de descifrarlos cuando los ordenadores cuánticos tengan la capacidad necesaria en el futuro— hace que la criptografía poscuántica (PQC) sea ya una necesidad crítica.
BIG-IP dio sus primeros pasos hacia la preparación para la PQC en la versión 17.5.0, con compatibilidad con el intercambio de claves híbrido X25519_ML-KEM-768 en TLS 1.3. Pero eso fue solo el principio. Con cada versión, BIG-IP sigue ampliando sus capacidades de PQC, y BIG-IP v21.1 incorpora dos actualizaciones importantes:
Compatibilidad con cifrados PQC adicionales conformes con el NIST: A medida que los ordenadores cuánticos se acercan a su viabilidad generalizada, los algoritmos criptográficos actuales, como RSA y ECC, corren el riesgo de quedar obsoletos. Ante esta situación, el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) lideró una iniciativa mundial para estandarizar algoritmos PQC capaces de resistir ataques basados en computación cuántica. ¿El resultado? Se eligieron los grupos de cifrado SecP+ML-KEM, conformes con los estándares FIPS 203, por su capacidad para ofrecer criptografía híbrida. Estos cifrados combinan métodos criptográficos tradicionales (SecP) con algoritmos resistentes a la computación cuántica (ML-KEM), lo que contribuye a garantizar la seguridad tanto hoy como en el futuro.
Para los clientes que deben cumplir las directrices del NIST y los estándares FIPS, especialmente los pertenecientes a la Administración pública y otros sectores regulados, la adopción de los cifrados SecP + ML-KEM es fundamental para proteger su infraestructura. Para satisfacer estos requisitos, BIG-IP admitirá dos nuevos grupos de cifrado PQC conformes con el NIST en la versión 21.1:
- SecP256r1ML-KEM-768
- SecP384r1ML-KEM-1024
En el momento del lanzamiento, los cifrados serán compatibles tanto con las conexiones del lado del cliente como con las del lado del servidor, y también permitirán casos de uso de proxy SSL de reenvío. (Puede encontrar más información sobre las mejoras de PQC de BIG-IP v21.1s en este artículo de Rachael Shah, de F5.)
Tunelización VPN TLS/SSL resistente a la computación cuántica: La tunelización VPN se introdujo por primera vez a finales de la década de 1990 como una forma de proteger la transmisión de datos a través de redes públicas o privadas mediante la creación de un túnel cifrado entre un cliente y un servidor. Durante casi tres décadas, los túneles VPN han impedido eficazmente que la información confidencial caiga en manos equivocadas; sin embargo, el auge de la computación cuántica proporcionará a los adversarios la potencia de cálculo necesaria para vulnerar los métodos de cifrado tradicionales y acceder a esos datos.
Para contrarrestar esta amenaza, BIG-IP Zero Trust Access (anteriormente BIG-IP APM) v21.1 incorporará túneles VPN TLS/SSL resistentes a la computación cuántica compatibles con el cifrado X25519 + ML-KEM-768. Como se ha indicado anteriormente, este cifrado admitirá conexiones de extremo a extremo tanto del lado del cliente como del servidor, lo que proporcionará una protección integral para los túneles VPN modernos y, al mismo tiempo, garantizará el cumplimiento de las directrices del NIST y del estándar FIPS 203. Para las organizaciones que prefieran utilizar VPN IPSec en lugar de VPN TLS/SSL, está previsto que BIG-IP Zero Trust Access incorpore en un futuro no muy lejano una compatibilidad similar con túneles IPSec seguros frente a la computación cuántica.
Mejoras en la entrega, la seguridad y el acceso de las cargas de trabajo de IA
En esencia, los requisitos de las cargas de trabajo de IA son muy similares a los de otras aplicaciones: deben ser rápidas, estar disponibles y, ante todo, ser seguras. Sin embargo, a medida que estas cargas de trabajo aumentan en escala y sofisticación, la infraestructura que las sustenta, incluidos los controladores de entrega de aplicaciones (ADC), también debe evolucionar para satisfacer las nuevas exigencias. Con v21.0, BIG-IP dio un primer paso importante al proporcionar un conjunto inicial de funcionalidades compatibles con el Protocolo de Contexto de Modelo (MCP). Ahora, con v21.1, ampliamos ese trabajo con funcionalidades adicionales de MCP y dotamos a los sistemas de IA agéntica de un acceso rápido y seguro a los recursos.
Capacidades ampliadas de seguridad y entrega para el Protocolo de Contexto de Modelo: A medida que las aplicaciones de IA recurren cada vez más a MCP como una forma rápida y estandarizada de que los agentes interactúen con las aplicaciones, es fundamental disponer de flujos de tráfico coherentes y seguros. BIG-IP v21.1 incorpora dos mejoras importantes para el tráfico MCP:
- Protección del protocolo MCP con F5 BIG-IP Advanced WAF: las aplicaciones de IA que utilizan tráfico MCP suelen ser vulnerables a nuevos tipos de ataques, como el envenenamiento de herramientas, la exposición de secretos, los ataques de inyección y otras amenazas descritas en el Top 10 de OWASP para MCP. BIG-IP v21.1 incorpora la inspección del tráfico MCP mediante WAF, lo que permite detectar y mitigar estas amenazas de forma proactiva y mantener seguro el tráfico de IA sin afectar al rendimiento ni a la latencia.
- Persistencia de sesión de MCP con F5 BIG-IP Local Traffic Manager (LTM): los flujos de trabajo de MCP suelen requerir que las solicitudes se dirijan sistemáticamente al mismo servidor para garantizar un procesamiento adecuado, algo que antes no era posible. Con BIG-IP v21.1, incorporamos la persistencia de sesión para MCP, que funciona en muchos aspectos como la persistencia de cookies. En última instancia, esto significa que, cuando un servidor MCP proporciona un ID de sesión a un cliente, el tráfico posterior que incluya dicho ID de sesión se dirigirá al mismo miembro del pool, lo que ayudará a garantizar una conexión más fluida y fiable.
Acceso seguro y fluido para agentes de IA: Los sistemas de IA agéntica —compuestos por agentes autónomos que operan en tiempo real— requieren un acceso dinámico y fluido a recursos de backend, como bases de datos, servicios en la nube y sistemas internos. Sin embargo, los métodos tradicionales para gestionar credenciales y autenticar nuevos agentes pueden resultar engorrosos, lo que a menudo obliga a los desarrolladores a depender de los administradores del equipo de acceso para autorizar y configurar manualmente nuevos clientes, un proceso que no siempre es eficiente. Afortunadamente, aquí es donde entra en juego la nueva funcionalidad de registro dinámico de clientes (DCR) de BIG-IP Zero Trust Access en la versión 21.1.
Con DCR, los sistemas de IA agéntica (o cualquier otra aplicación) pueden registrarse de forma segura y sencilla en BIG-IP Zero Trust Access, que actúa como servidor de autorización central, cuando se crean nuevas tareas o agentes. En lugar de esperar a que se realice una configuración manual, un agente puede enviar una solicitud de API al endpoint de DCR de BIG-IP Zero Trust Access e incluir datos básicos, como el nombre del agente y los permisos de acceso necesarios. BIG-IP Zero Trust Access valida automáticamente la solicitud, registra al agente y emite credenciales seguras al instante, lo que agiliza y simplifica considerablemente el proceso. A continuación se muestra una representación visual de este proceso.
Como se ha indicado anteriormente, el endpoint de DCR se puede utilizar para registrar y aprobar cualquier tipo de aplicación —no solo sistemas de IA— para acceder de forma segura a los recursos. Los equipos de DevOps pueden utilizar sus pipelines de CI/CD existentes para enviar automáticamente una solicitud de acceso al endpoint de DCR, lo que ayuda a reducir los tiempos de despliegue de las aplicaciones y la carga de trabajo diaria de los administradores de BIG-IP. (Puede obtener más información sobre BIG-IP Zero Trust Access en este blog de Jay Kelley.)
Protección moderna de API y protocolos
A medida que las aplicaciones evolucionan con el tiempo, también lo hacen los protocolos y las API en las que se sustentan, lo que aporta un mayor rendimiento, escalabilidad y flexibilidad. Sin embargo, estos avances también plantean nuevos retos, ya que los atacantes centran sus esfuerzos en aprovechar las debilidades y vulnerabilidades de estas tecnologías emergentes. Para ayudar a nuestros clientes a mantenerse a la vanguardia en este ciclo incesante, BIG-IP Advanced WAF incorpora protección tanto para el tráfico del protocolo HTTP/3 como para las API definidas por la especificación OpenAPI 3.1 en la versión 21.1. Veámoslo más de cerca:
Seguridad avanzada para el tráfico del protocolo HTTP/3: La adopción de HTTP/3 se ha acelerado rápidamente desde su introducción en 2022, y se estima que el 38 % de los sitios web utilizan actualmente este protocolo. Aunque HTTP/2 sigue siendo el protocolo dominante, se espera que el rendimiento, la fiabilidad y la eficiencia superiores de HTTP/3 impulsen su adopción hasta superar a HTTP/2 en los próximos años. A medida que las organizaciones migran gradualmente a HTTP/3, la necesidad de proteger ese tráfico frente a las amenazas web no disminuye, lo que pone de relieve la importancia de seguir contando con una protección WAF sólida.
A partir de BIG-IP v21.1, BIG-IP Advanced WAF protege el tráfico independientemente de la variante del protocolo HTTP que utilice. Ahora, las políticas de WAF pueden inspeccionar el tráfico HTTP/3 con el mismo nivel de precisión y seguridad que el tráfico HTTP/2 o HTTP1/1, identificando y bloqueando ataques sofisticados como el scripting entre sitios (XSS) o la inyección de SQL. Inicialmente, en BIG-IP v21.1 esta compatibilidad solo se aplica al tráfico del lado del cliente. Sin embargo, se espera que la protección del lado del servidor se incorpore poco después en futuras versiones.
Protección WAF para API creadas conforme a las especificaciones de OpenAPI 3.1: Las API son la columna vertebral de las aplicaciones modernas, ya que permiten una conectividad fluida y la compatibilidad entre sistemas, por lo que es fundamental mantenerlas protegidas. El estándar OpenAPI desempeña un papel esencial en este ecosistema al proporcionar un marco estructurado para definir y documentar las API, lo que garantiza la coherencia y la interoperabilidad entre distintas plataformas. Puede considerar la especificación OpenAPI como un reglamento que define exactamente cómo debe funcionar una API: qué puntos de conexión expone, qué datos espera y cómo debe comportarse. BIG-IP Advanced WAF utiliza este reglamento para proteger sus API mediante la identificación de cualquier comportamiento inusual y la aplicación de políticas de seguridad estrictas basadas en el diseño de sus API.
Con la versión 21.1, BIG-IP Advanced WAF ahora protege las API basándose en la especificación OpenAPI 3.1. Aprende los endpoints, métodos, parámetros, tipos de datos y requisitos de seguridad permitidos que se definen en la especificación OpenAPI 3.1 y, a continuación, bloquea cualquier solicitud que no cumpla esas reglas. Esto detiene las solicitudes con formato incorrecto, el uso indebido de endpoints no documentados y los ataques habituales contra las API antes de que lleguen a su aplicación, lo que garantiza que solo se permita el tráfico de API esperado y correctamente estructurado. Por supuesto, las versiones anteriores de la especificación OpenAPI, incluidas la 2.0 y la 3.0, seguirán siendo compatibles y estando protegidas.
Y eso no es todo…
Las mejoras que se describen en este blog son solo la punta del iceberg de las nuevas funcionalidades previstas para BIG-IP v21.1. Además de todo lo expuesto aquí, puede esperar un mejor rendimiento de HTTP/2, tunelización VPN IPSec nativa, enrutamiento de salida basado en políticas, autenticación multifactor para el plano de gestión de BIG-IP y mucho más.
Una vez publicada, consulta las notas de la versión BIG-IP v21.1 en MyF5 para obtener más información. Mientras tanto, no olvides inscribirte en nuestro próximo seminario web para conocer en profundidad la versión BIG-IP v21.1.
Sobre el autor
Artículos relacionados del blog
El imperativo empresarial de la IA en un mundo de nube híbrida y multinube
Cómo la IA redefine los patrones de tráfico, el riesgo de las API y el cumplimiento normativo, y por qué el paquete Distributed Cloud Services Enterprise ofrece la profundidad necesaria en entornos híbridos multicloud.
STIG de F5 NGINX: un plan de seguridad para el sector público y los entornos regulados
Descubra cómo las STIG de F5 NGINX proporcionan un modelo de seguridad para el Departamento de Defensa de EE. UU. y los entornos regulados, ayudándole a cumplir la normativa mientras crea una infraestructura sólida de confianza cero con mayor visibilidad y resiliencia.
Cómo el marco AEGIS de Forrester valida un enfoque centrado en la inferencia
El auge de la IA agéntica está transformando el panorama de la seguridad empresarial. Estos agentes de IA autodirigidos funcionan de forma autónoma, toman decisiones en tiempo real y pueden interactuar entre distintos sistemas de maneras para las que las arquitecturas tradicionales de ciberseguridad no fueron diseñadas. Aunque esto abre nuevas posibilidades, también introduce riesgos sistémicos: fallos en cascada, secuestro de objetivos y superficies de ataque hasta ahora invisibles. El reciente […] de Forrester
La nueva superficie de riesgo de la IA: invisible, autónoma y ya está dentro
James White, vicepresidente de Ingeniería de F5 A mediados de 2025, es un buen momento para hacer balance de la adopción de la IA en las empresas y del estado de la seguridad de la IA. El uso de la IA generativa ya es habitual en las empresas En general, las empresas cuentan al menos con unos conocimientos básicos sobre la IA generativa. Entienden qué es y dónde puede […]
Protegiendo el futuro: cómo CalypsoAI se alinea con el Top 10 de OWASP para los LLM
Cuando OWASP publicó su Top 10 de 2025 para grandes modelos de lenguaje (LLM), proporcionó al sector un referente de seguridad muy necesario. Pero los referentes no sirven de nada si no se actúa. CalypsoAI aborda el 80 % del Top 10 de OWASP, dando prioridad a los riesgos reales más urgentes. La plataforma combina protección en tiempo real durante la ejecución y pruebas adversariales exhaustivas, ofreciendo una cobertura inigualable frente a las […]
Implementación de LLM en la empresa: mediante una API local
Por sí solos, sin medidas de protección ni protocolos adicionales de seguridad para la IA, el despliegue de modelos de IA generativa —en particular, modelos de lenguaje de gran tamaño (LLM)— en toda la empresa supone una oportunidad de alto riesgo y grandes beneficios para cualquier organización. Sin embargo, determinar exactamente cómo debe dar su organización este gran paso hacia el ámbito de la IA generativa requiere una planificación minuciosa. Quizá […]