Como o WAF da F5 conquistou a competência de segurança da AWS

Tom AtkinsGerente Principal de Marketing de Produto | F5

A segurança de aplicações é um componente fundamental da plataforma ADC da F5, com o BIG-IP oferecendo proteção de firewall de aplicações web líder do setor, além de acesso seguro e unificado a aplicações localizadas em qualquer ambiente de uma arquitetura multinuvem. Embora possamos afirmar que oferecemos a solução de segurança mais abrangente disponível, não pretendemos ser a única empresa atuante no mercado, o que torna a decisão do comprador mais complexa diante da infinidade de alternativas consideradas. No entanto, para quem busca mitigar ataques a aplicações implantadas na nuvem pública, a AWS deu um passo para simplificar a fase de avaliação da jornada do comprador com o lançamento de seu programa AWS Security Competency, no qual a F5 anunciou recentemente a inclusão de seu firewall de aplicações web, o BIG-IP Application Security Manager (ASM). Neste artigo, vamos analisar mais a fundo como a solução WAF da F5 — que oferece proteção avançada contra ataques DDoS e a aplicações na camada L7 — passou a fazer parte desse seleto grupo…

Figura 1 – Modelo de responsabilidade compartilhada da AWS

A AWS continua enfatizando a importância de seu modelo de responsabilidade compartilhada (Figura 1, acima), segundo o qual os proprietários de aplicações são responsáveis pela segurança na nuvem (máquinas virtuais, sistema operacional, aplicações e dados), enquanto a AWS é responsável pela segurança da nuvem (hardware, software, redes e instalações). É nesse ponto que entra o programa de Competência em Segurança, que apresenta aos usuários da AWS uma lista concisa de fornecedores terceirizados que demonstraram sucesso e proficiência técnica no fornecimento de soluções de segurança para aplicações hospedadas na AWS na nuvem, eliminando, em essência, diversos fornecedores inadequados da lista de possíveis opções.

As 3 categorias de requisitos para obter a competência em segurança da AWS

Conquistar a Competência em Segurança da AWS não foi nada fácil, pois os parceiros precisavam atender a uma série de requisitos em três áreas distintas:

O primeiro deles se concentra em referências de clientes e, essencialmente, em comprovar o valor da solução. Para atender a esse requisito, a F5 forneceu à AWS diversos relatórios de projetos de segurança concluídos, descrevendo detalhadamente os problemas enfrentados pelos clientes e como o WAF da F5 ofereceu a solução. Desses casos de clientes, dois foram divulgados publicamente para ilustrar melhor alguns casos de uso e benefícios em ambientes de produção.

A segunda categoria se concentrou em funcionalidades do produto e da implantação, bem como em quaisquer funcionalidades gerais específicas da infraestrutura da AWS. Para ser aprovada nesse quesito, a F5 precisou apresentar uma documentação completa sobre a configuração, o uso e os recursos do BIG-IP ASM Virtual Edition, além de diretrizes específicas para a implantação do WAF em uma topologia de alta disponibilidade (HA). Como parte da documentação, a AWS exige explicitamente que a F5 forneça uma lista de todas as normas de conformidade com as quais a solução contribui, facilitando para os clientes descartar outros fornecedores que talvez não atendam às expectativas. Por fim, a capacidade da solução WAF de criptografar dados foi verificada, antes de ser demonstrada sua profunda integração com o serviço de gerenciamento baseado em funções do IAM da AWS, garantindo que os usuários possam controlar com segurança o acesso ao dispositivo.

Figura 2 – Solução de escalabilidade automática do F5 WAF para AWS

O terceiro e último conjunto de requisitos se concentra na integração com os serviços da AWS para aumentar a segurança e a disponibilidade da solução. Como a solução de WAF da F5 oferece suporte ao dimensionamento automático por meio de um modelo do CloudFormation — conforme descrito neste post anterior e mostrado na Figura 2 —, ela atendeu aos requisitos de ‘segurança da infraestrutura’ ao se integrar ao AWS Auto Scaling e ao AWS ELB, além de demonstrar a capacidade de operar em várias zonas de disponibilidade. Em seguida, ‘registro e monitoramento’ — outro requisito facilmente atendido, já que a solução de dimensionamento automático depende fortemente do AWS CloudWatch para monitorar instâncias em tempo real, emitir alarmes e acionar eventos de dimensionamento. Como etapa final, a equipe de Segurança da AWS realizou uma avaliação de vulnerabilidades do WAF e, em seguida, verificou se ele atendia a todos os requisitos de proteção de dados e oferecia suporte às obrigações necessárias de identidade e acesso.

Após cumprir todos os requisitos com excelência, a AWS publicou a solução de WAF da F5 em sua página de Soluções de Parceiros de Segurança para que todos possam vê-la, além de conceder à F5 este novo e prestigioso reconhecimento pela conquista:

Para conhecer os detalhes da solução de WAF da F5, consulte a ficha técnica do BIG-IP ASM ou, se preferir, confira-a no AWS Marketplace aqui.

Sobre o autor

Tom AtkinsGerente Principal de Marketing de Produto | F5

Mais publicações de Tom Atkins