Durante los últimos cinco años, en F5 NGINX hemos tenido el placer de ofrecer a nuestros clientes el módulo NGINX ModSecurity WAF para NGINX Plus, con protección frente a las categorías habituales de vulnerabilidades mediante el conjunto de reglas básicas de OWASP ModSecurity (CRS). Sin embargo, debido a los recientes cambios en el soporte de terceros para ModSecurity WAF, lamentamos comunicar que NGINX ModSecurity WAF llegará al final de su vida útil (EoL) el 31 de marzo de 2024.
Nuestra decisión se debe en parte al reciente anuncio de Trustwave, la organización que se ha encargado del mantenimiento de ModSecurity, en el que comunica que, a partir del 1 de julio de 2024:
- Dejará de ofrecer soporte para el código abierto de ModSecurity y el WAF
- Devolver a la comunidad de código abierto la responsabilidad de mantener el código de ModSecurity
- Dejar de proporcionar reglas comerciales
Además, aunque el proyecto OWASP ModSecurity Core Rule Set (CRS) tiene previsto seguir ofreciendo soporte para ModSecurity, está centrando progresivamente su atención en un nuevo WAF llamado Coraza, debido a la preocupación por la viabilidad del proyecto ModSecurity ante las medidas adoptadas por Trustwave y su anuncio de cambios en el soporte.
NGINX ModSecurity WAF se basa en ModSecurity v3 de código abierto y cuenta con nuestro soporte y nuestras pruebas, que garantizan que el módulo NGINX ModSecurity WAF funcione correctamente con NGINX Plus. Sin embargo, no mantenemos el código de ModSecurity propiamente dicho, y la falta de soporte por parte de Trustwave, junto con la reducción de las contribuciones al proyecto de código abierto ModSecurity, hacen que los clientes de NGINX Plus dispongan de un producto que podría no satisfacer sus requisitos de seguridad y estabilidad.
NGINX pasó a la fase de fin de venta (EoS) y dejó de vender NGINX ModSecurity WAF el 1 de abril de 2022. Si es cliente y dispone de una licencia activa, puede renovar su suscripción y recibir asistencia completa —incluidas las actualizaciones del paquete NGINX ModSecurity WAF— hasta la fecha de fin de vida útil (31 de marzo de 2024). NGINX tiene previsto ofrecer actualizaciones del paquete NGINX ModSecurity hasta el 31 de marzo de 2024, con el objetivo de que los clientes dispongan de tiempo suficiente para migrar a una nueva solución. Su gestor de cuenta se pondrá en contacto directamente con usted para analizar sus futuras necesidades en materia de soluciones de seguridad de aplicaciones. Si desea ponerse en contacto con su gestor de cuenta en cualquier momento, póngase en contacto con nosotros. A partir del 1 de abril de 2023, no se aceptarán más renovaciones.
El compromiso con el código abierto sigue formando parte integral del ADN de NGINX
Aunque el producto NGINX ModSecurity WAF está llegando al final de su vida útil (EoL), mantenemos nuestro compromiso de participar en la comunidad de código abierto y prestarle apoyo. NGINX valora la colaboración y la innovación de los miembros de esta comunidad, que trabajan para impulsar y mejorar la tecnología. Creemos que el código abierto fomenta un uso más amplio de los pilares fundamentales de la seguridad y nos beneficia a todos al reducir la superficie de ataque de la infraestructura global de aplicaciones.
En consonancia con esos valores, NGINX sigue liderando los proyectos NGINX Open Source y NGINX Unit. Nos enorgullecen enormemente nuestros esfuerzos en materia de seguridad, aunque también reconocemos que se necesita un equipo más amplio para proteger el tejido tecnológico del que todos dependemos cada vez más en nuestra vida cotidiana. Por ello, nos complace apoyar proyectos de software de código abierto que mejoran directamente la seguridad de Internet, incluido el patrocinio de OWASP Core Rule Set (CRS), Let’s Encrypt y Open SSL.
¿Ha cambiado la transformación digital sus necesidades de seguridad?
Es posible que inicialmente eligiera NGINX ModSecurity WAF como versión con soporte del WAF de código abierto ModSecurity para proteger sus aplicaciones frente a categorías generales de vulnerabilidades mediante OWASP CRS o para cumplir los requisitos de conformidad con PCI DSS en una implementación de WAF estándar. Sin embargo, durante los últimos dos años, la pandemia de COVID‑19 ha obligado a las organizaciones a acelerar su transformación digital para adaptarse a la demanda, ya que tanto las empresas como los consumidores han pasado a comprar y consumir bienes y servicios por Internet.
Ante el aumento de los ciberataques contra aplicaciones web y API, puede que sea el momento adecuado para reevaluar qué necesita de un WAF e implementar un nivel más completo de protección, fiabilidad y rendimiento que permita impulsar el crecimiento de su negocio. Ofrecemos F5 NGINX App Protect WAF como una solución de seguridad alternativa capaz de adaptarse al crecimiento de su negocio.
NGINX App Protect WAF – Seguridad avanzada para sus aplicaciones y API modernas
NGINX App Protect WAF ofrece varias ventajas:
- NGINX App Protect WAF se basa en el motor Advanced WAF de F5, que ha sido probado exhaustivamente durante décadas por miles de clientes empresariales. Si implementa otros productos de F5, dispondrá de un único punto de soporte para todo nuestro conjunto de soluciones de seguridad, lo que incluye correcciones rápidas de errores y actualizaciones de reglas, además de la posibilidad de influir en nuestra hoja de ruta a largo plazo. Asimismo, puede transferir fácilmente las reglas de WAF entre las soluciones de F5 para obtener una protección uniforme en toda su infraestructura.
- Las reglas predeterminadas de ModSecurity las crean y mantienen miembros de la comunidad de código abierto y están diseñadas para abordar vulnerabilidades generales. Las reglas de NGINX App Protect WAF se basan en la amplia variedad de vulnerabilidades e informes de amenazas que supervisa F5 Labs. El resultado es un conjunto de reglas más completo que ofrece una mayor protección de la seguridad de las aplicaciones para hacer frente a unas amenazas en constante evolución.
- Las reglas de ModSecurity implican la evaluación de expresiones regulares, por lo que cada control adicional que se habilita reduce directamente el rendimiento, lo que obliga a elegir entre un buen rendimiento y una protección integral. Las reglas de NGINX App Protect WAF están precompiladas en código de bytes para ofrecer un alto rendimiento, independientemente del número de reglas que se habiliten.
- NGINX App Protect WAF es independiente de la plataforma, ocupa poco espacio y requiere pocos recursos, por lo que resulta ideal para implementaciones en la nube.
- NGINX App Protect WAF satisface las necesidades de los equipos de DevOps, con políticas declarativas para la «seguridad como código» y una integración sencilla en su cadena de herramientas de CI/CD.
- NGINX App Protect WAF ofrece controles de seguridad coherentes para aplicaciones web, microservicios, contenedores y API.
Descubra por qué el proveedor de neumáticos para automóviles Reifen.com eligió NGINX App Protect WAF en lugar de NGINX ModSecurity WAF cuando necesitó mejorar su rendimiento online y cumplir las normas internas y externas de seguridad y conformidad. Como explica Sascha Petranka, consultor de comercio electrónico de Reifen.com: «Decidimos optar por NGINX App Protect WAF porque nos ofrecía el mejor rendimiento, la mejor solución a largo plazo y la experiencia conjunta de NGINX y F5».
Impulse su negocio con una seguridad óptima para sus aplicaciones
NGINX App Protect WAF puede ayudar a su organización a mejorar la seguridad y el rendimiento de sus aplicaciones y API, al tiempo que fomenta una colaboración más estrecha entre los equipos de DevOps y SecOps. Es una solución de seguridad ligera que permite a las empresas protegerse frente a ataques que afectan a los ingresos, el robo de datos, los daños a la reputación y el incumplimiento normativo. Para probar NGINX App Protect WAF, inicie una prueba gratuita de 30 días o póngase en contacto con nosotros para hablar sobre sus casos de uso.
Sobre el autor
Artículos relacionados del blog
Únete a F5 NGINX en AppWorld 2024
Descubre las numerosas razones para asistir al evento insignia de F5, que incluirá un emocionante anuncio sobre la cartera de productos NGINX.
Rotación de certificados SSL/TLS sin reinicios en NGINX Open Source
La función de diccionario compartido permite configurar NGINX sin necesidad de reiniciarlo al renovar los certificados SSL/TLS.
Exposición de APIs en Kubernetes
La unidad 2 de Microservices March 2022 se centra en cómo exponer tus API en Kubernetes. Aquí tienes enlaces a los recursos que necesitas: la retransmisión en directo del 14 de marzo, artículos de blog y otros recursos de preparación, y el laboratorio práctico «Protege las API de Kubernetes mediante la limitación de solicitudes».
NGINX Sprint 2.0: visión clara, código renovado y nuevos compromisos con el código abierto
Hoy, en NGINX Sprint 2.0, anunciamos cómo respaldaremos nuestra visión del futuro de las aplicaciones modernas con una mayor presencia en la comunidad de código abierto, incluida la participación en el proyecto comunitario Kubernetes, nuevos proyectos de software de código abierto y la arquitectura de referencia para aplicaciones modernas.
Presentamos NGINX Plus R22
NGINX Plus R22 incorpora nuevas funcionalidades, como la compatibilidad con OCSP para verificar la revocación de certificados en TLS mutuo, el uso de varios proveedores de identidad OIDC en una configuración, el seguimiento en tiempo real de la limitación de solicitudes y conexiones en el panel de NGINX Plus y mejoras en NGINX JavaScript.
Presentamos NGINX Plus R17
NGINX Plus R17 incorpora compatibilidad con la limitación de velocidad en dos fases y con TLS 1.3, la versión más reciente del protocolo Transport Layer Security. La configuración de OpenID Connect es más sencilla y NGINX ModSecurity WAF es el doble de rápido que antes. También se ha actualizado el módulo JavaScript de NGINX.