Cómo el WAF de F5 obtuvo su competencia en seguridad de AWS
La seguridad de las aplicação es un componente fundamental de la plataforma ADC de F5, y BIG-IP ofrece protección de firewall aplicação web líder en la industria, así como acceso seguro y unificado para aplicações ubicadas en cualquier lugar dentro de una arquitectura de múltiples nubes. Y si bien podemos afirmar que ofrecemos la solución de seguridad más completa disponible, no pretendemos ser el único jugador en el mercado, lo que complica la decisión del comprador debido a la gran cantidad de alternativas que se consideran. Sin embargo, para aquellos que buscan mitigar los ataques a las aplicações implementadas en la nube pública, AWS ha dado un paso para simplificar la fase de consideración del recorrido del comprador con el lanzamiento de su programa AWS Security Competency, dentro del cual F5 anunció recientemente la inclusión de su firewall de aplicação web, BIG-IP Aplicação Security Manager (ASM). En esta publicación, analizaremos en profundidad cómo la solución WAF de F5 (que ofrece protección avanzada aplicação L7 y DDoS) se convirtió en miembro de este club exclusivo…
AWS continúa enfatizando la importancia de su modelo de responsabilidad compartida (Figura 1, arriba), mediante el cual los propietarios de aplicação son responsables de la seguridad en la nube (máquinas virtuales, sistema operativo, aplicações y datos), mientras que AWS es responsable de la seguridad de la nube (hardware, software, redes e instalaciones). Aquí es donde entra en juego el programa de Competencia en Seguridad, al presentar a los usuarios de AWS una lista concisa de proveedores externos que han demostrado éxito y competencia técnica en la entrega de soluciones de seguridad para aplicações alojadas en AWS en la nube, eliminando esencialmente una serie de proveedores inadecuados de la lista de consideración .
Las 3 categorías de requisitos para lograr la competencia de seguridad de AWS
Obtener la competencia en seguridad de AWS no fue tarea fácil, ya que los socios debían cumplir con una multitud de requisitos en tres áreas distintas:
El primero de ellos se centra en las referencias de los clientes y, esencialmente, en demostrar el valor de la solución. Para marcar esta casilla, F5 suministró a AWS una serie de informes de proyectos de seguridad completados, que describían detalladamente los problemas de los clientes y cómo el WAF de F5 proporcionaba la solución. De estas historias de clientes, dos fueron respaldadas públicamente para ilustrar aún más una selección de casos de uso y beneficios en entornos de producción.
La segunda categoría se centró en la funcionalidad del producto y la implementación, así como en cualquier funcionalidad general específica de la infraestructura de AWS. Para aprobar aquí, F5 tuvo que presentar documentación completa sobre la configuración, el uso y las competencias de BIG-IP ASM Virtual Edition, así como pautas específicas para la implementación del WAF en una topología de alta disponibilidad (HA). Como parte de la documentación, AWS requiere explícitamente que F5 proporcione una lista de todas las regulaciones de cumplimiento con las que ayuda la solución, lo que hace que sea más fácil para los clientes ignorar a otros proveedores que puedan no cumplir con las expectativas. Finalmente, se verificó la capacidad de la solución WAF para cifrar datos, antes de mostrar su profunda integración con el servicio de gestión basado en roles IAM de AWS, lo que garantiza que los usuarios puedan regular de forma segura el acceso al dispositivo.
El tercer y último conjunto de requisitos se centra en la integración de WAF con los servicios de AWS para mejorar la seguridad y la disponibilidad de la solución. Como la solución WAF de F5 admite el escalamiento automático a través de una plantilla de CloudFormation (como se describe en esta publicación anterior y se muestra en la Figura 2), cumplió con los requisitos de " seguridad de infraestructura" al integrarse con AWS Auto Scale y AWS ELB, al mismo tiempo que exhibió la capacidad de operar en múltiples zonas de disponibilidad. A continuación, " registro y monitoreo" : otra marca de verificación fácil aquí con la solución de escalamiento automático que depende en gran medida de AWS CloudWatch para monitorear instancias en tiempo real para proporcionar alarmas y activar eventos de escalamiento. Para el último obstáculo, el equipo de seguridad de AWS realizó una evaluación de vulnerabilidad del WAF, antes de asegurarse de que cumplía con todos los requisitos de protección de datos y respaldaba las obligaciones de identidad y acceso necesarias.
Después de pasar todos los requisitos con gran éxito, AWS publicó posteriormente la solución WAF de F5 en su página de Soluciones de socios de seguridad para que todos la vean, al mismo tiempo que le proporcionó a F5 este nuevo y brillante galardón en reconocimiento por este logro:
Para obtener información sobre la solución WAF de F5, puede consultar la hoja de datos de BIG-IP ASM o, alternativamente, puede consultarla en AWS Marketplace aquí .