El mundo de los contenedores sigue madurando a un ritmo asombroso. La adopción de servicios de aplicaciones relacionados con los contenedores, tanto en las instalaciones como en la nube, es un buen indicador de que esta tecnología ha pasado en poco tiempo de ser una tecnología incipiente a convertirse en un ecosistema en proceso de maduración.
A medida que madura, también lo hace la integración de la tecnología de nivel empresarial necesaria para respaldarla. Observamos una maduración y un perfeccionamiento continuos de la otra economía de las API; la que permite la rápida integración y expansión del ecosistema de contenedores.
Uno de los aspectos más interesantes de esta maduración es que anima a las soluciones tradicionalmente orientadas al ámbito empresarial a acercarse a entornos de orquestación de contenedores como Kubernetes. Con «acercarse» me refiero a adoptar rápidamente ideas como los modelos de API declarativos que abstraen los conocimientos especializados del dominio. En otras palabras, simplificar la integración e incorporación de sistemas y servicios como BIG-IP para que un conjunto más amplio de perfiles pueda configurar, implementar y operar la tecnología.
Esto es importante porque algunos servicios de aplicaciones, como un firewall de aplicaciones web, son más eficientes y eficaces a la hora de hacer frente a los ataques y sus consecuencias indeseadas cuando se implementan antes de los contenedores, en el tráfico de entrada norte-sur. Sin embargo, esto suele requerir amplios conocimientos especializados tanto de BIG-IP como de la terminología y los conceptos de WAF. Superar este obstáculo es uno de los principales objetivos de nuestros esfuerzos de automatización y orquestación, como puede apreciarse en la rápida evolución de nuestro conjunto de herramientas de automatización de F5.
Dentro de este conjunto de herramientas se encuentra AS3, la extensión F5 Application Services 3. AS3 proporciona una interfaz moderna (node.js) para BIG-IP que permite utilizar configuraciones declarativas para aprovisionar y operar servicios de aplicaciones proporcionados por BIG-IP. Al combinarla con la última versión de nuestros servicios de entrada de contenedores (CIS), los operadores de entornos de contenedores pueden utilizar los servicios de aplicaciones proporcionados por BIG-IP para proteger y acelerar las API y las aplicaciones.
Container Ingress Services, por si no los conoce, son un servicio nativo de Kubernetes que actúa como nexo entre los servicios de contenedores y BIG-IP. Supervisa los cambios y los comunica a los servicios de aplicaciones proporcionados por BIG-IP. Estos, a su vez, se mantienen al día con los rápidos cambios de los entornos de contenedores y permiten aplicar políticas de seguridad.
Esta última revisión (Container Ingress Services 1.9) resulta especialmente interesante porque incorpora compatibilidad nativa con Kubernetes para la integración, sustituyendo el uso de anotaciones por ConfigMaps. Esto significa que puede utilizar el lenguaje habitual de Kubernetes para integrar los servicios de aplicaciones de F5 insertando una declaración AS3 en el campo de datos del ConfigMap. Esto incluye la incorporación de certificados y la selección de algoritmos de equilibrio de carga, así como la implementación de las protecciones mínimas de OWASP Top 10 para una API o aplicación.
La declaración moderna y adaptada a Kubernetes también permite recuperar la declaración de políticas desde un repositorio. Esto permite a SecDevOps (o DevSecOps, o simplemente SecOps, según prefiera) desplazar la seguridad hacia las primeras fases sin sobrecargar a DevOps exigiéndole conocimientos especializados en seguridad o WAF.
kind: ConfigMap apiVersion: v1 metadata: name: f5-waf namespace: default labels: f5type: virtual-server as3: "true" data: template: | {
# declaraciones de servicio, pool y registro aquí
"policyWAF": { "use: "owaspautotune" }
# declaraciones de monitores y miembros del pool aquí
"owaspautotune": { "class": "WAF Policy", "url": "https://repository/pathToConfig/f5-as3-declarations/master/Common_WAF_Policy.xml", "ignoreChanges": true }
Esta compatibilidad nativa permite a los equipos de DevOps y DevSecOps implementar de forma fácil y rápida un firewall de aplicaciones web para las API, aplicaciones y servicios que gestionan. Actualmente, Kubernetes no dispone de un lenguaje similar para los controladores de entrada o los balanceadores de carga que permita habilitar específicamente servicios relacionados con la seguridad. Al admitir el uso de ConfigMaps, Container Ingress Services ofrece una forma simplificada de integrar la seguridad de las aplicaciones con Kubernetes mediante un mecanismo más natural y conocido.
RECURSOS
Obtén la última versión de F5 AS3 en Github
La versión más reciente (v1.9) de Container Ingress Services de Docker Hub
Sobre el autor
Lori MacVittie es ingeniera distinguida y evangelista jefe en la Oficina del CTO de F5, y cuenta con una amplia experiencia en entrega de aplicaciones, estrategia de automatización e infraestructura. Es conocida por convertir la complejidad en claridad, ya sea definiendo mecanismos de protección para agentes de IA, analizando arquitecturas multinube frágiles o explorando los límites de los sistemas escalables. Aporta más de treinta años de experiencia en el sector en desarrollo de aplicaciones, arquitectura de TI y operaciones de redes y sistemas. Antes de incorporarse a F5, fue una galardonada editora de tecnología. MacVittie posee un máster en Informática y es una autora prolífica cuyas publicaciones abarcan la seguridad, la nube y la arquitectura empresarial. También es una apasionada de los juegos de mesa y los videojuegos, y expresa sin complejos sus firmes opiniones sobre el queso.
Más artículos de Lori Mac VittieArtículos relacionados del blog
Proteger los endpoints de las API dificulta la seguridad de las API
Descubre las complejidades de la seguridad de las API, los retos a los que se enfrentan las organizaciones, la evolución de los ataques contra endpoints de API y la necesidad de políticas de seguridad adaptadas.
¿Qué es el sesgo de la IA y por qué es importante para TI?
Descubre los fundamentos del aprendizaje de la IA. Aprende cómo pueden surgir sesgos en la IA y qué riesgos plantean para las TI y la transformación digital.
Redefiniendo la ciberseguridad en el extremo de la nube distribuida con IA y telemetría en tiempo real
La transformación digital y la adopción de tecnologías en la nube están provocando cambios en las arquitecturas de las aplicaciones. Estos cambios introducen nuevas superficies de ataque, que son el objetivo de métodos de ataque avanzados, altamente organizados y con motivaciones económicas. Mediante el uso del framework Morpheus de NVIDIA, F5 está investigando técnicas para detectar estas amenazas avanzadas con telemetría en tiempo real y análisis basados en IA.
El papel de la nube en las aplicaciones nativas del edge
No debería sorprender que, al igual que la aparición de la nube dio lugar a las aplicaciones nativas de la nube, el edge esté impulsando un conjunto de aplicaciones nativas del edge. Sin embargo, estas aplicaciones no residirán únicamente en el edge. Al mismo tiempo, están surgiendo nuevos patrones arquitectónicos que aprovechan las aplicaciones alojadas en la nube y en el centro de datos.
La creciente diversidad de ubicaciones y usuarios está impulsando a las empresas hacia el edge
En el contexto del ámbito de las aplicaciones, el término «usuario» siempre se ha referido a la entidad que interactúa con una aplicación. Del mismo modo que los cambios en las arquitecturas de las aplicaciones impulsan cambios en las tecnologías que permiten ofrecerlas y protegerlas, los cambios en la definición de usuario han provocado cambios en los lugares donde se despliegan las aplicaciones.
El edge está impulsando un renacimiento de las infraestructuras
A medida que las organizaciones aumentan la generación de datos y tratan de extraer valor empresarial de ellos, sin duda recurrirán a la analítica y la automatización basadas en la IA y el aprendizaje automático. Precisamente este tipo de cargas de trabajo son las que más se beneficiarían de una infraestructura optimizada y, sin embargo, hoy en día son las que menos probabilidades tienen de poder aprovecharla.