Nova solução de WAF com Auto Scaling e independente para a Amazon AWS

Tom AtkinsGerente Principal de Marketing de Produto | F5

Vamos começar fugindo um pouco do assunto para falar sobre o serviço de vídeo sob demanda favorito do mundo, a Netflix. Entre 2009 e 2016, a Netflix registrou um aumento impressionante no número de assinantes, passando de 12 milhões para pouco mais de 48 milhões e conquistando 1,43 milhão de novos clientes somente nos últimos três meses de 2016. Se você teve a sorte de ser um dos principais acionistas da Netflix nesse período, provavelmente estava rindo à toa; mas, se fazia parte da equipe de TI encarregada de fornecer a infraestrutura necessária para sustentar esse crescimento explosivo, talvez estivesse quebrando a cabeça.

Dimensionar o próprio data center para atender ao aumento da demanda simplesmente não era viável devido aos investimentos e custos operacionais envolvidos, sem falar nas dificuldades de gerenciamento que surgiriam. Assim, por volta dessa mesma época, a empresa deu um passo rumo ao desconhecido e iniciou um projeto de sete anos para migrar todas as suas operações para a nuvem da AWS, o que lhe permitiria aproveitar a escalabilidade aparentemente ilimitada oferecida pelo provedor de nuvem. E, como você talvez saiba, a empresa concluiu recentemente essa façanha.

“Trabalho concluído” alguns podem pensar… mas estariam errados. Afinal, ter a capacidade de aumentar a escala para atender ao crescimento da demanda no longo prazo é uma coisa, mas o que acontece quando essa demanda oscila muito no curto prazo? Uma pesquisa recente mostrou que, durante os horários de pico da internet (das 19h às 23h), a Netflix era responsável por 35,2% de todo o tráfego de download nos EUA — mas, como era de se esperar, fora desses horários, respondia por uma parcela muito menor desse tráfego, causando oscilações cíclicas na demanda, conforme mostrado abaixo na Figura 1, extraída desta publicação.

[Figura 1 – Um exemplo do tráfego da Netflix ao longo de 5 dias]

Para lidar com essa enorme variação na demanda, a Netflix implementou seu próprio algoritmo de escalonamento automático, Scryer, que permitiu provisionar instâncias do AWS EC2 suficientes para atender à demanda nos horários de pico e, ao mesmo tempo, desativar as instâncias consideradas excedentes. Isso garantiu aos usuários uma qualidade de serviço superior durante os horários de pico, além de minimizar a sobrecarga computacional nos períodos de menor demanda.

Embora este seja apenas um exemplo e não tenha nenhuma relação específica com as soluções da F5, ele ajuda a compreender a necessidade de soluções de escalabilidade automática nos dias de hoje e nos leva ao tema central deste artigo: a nova solução de firewall de aplicações Web (WAF) com escalabilidade automática da F5.

A propósito, você sabia que aproximadamente 40% das violações de dados em 2016 foram causadas por ataques à camada de aplicação? Embora a demanda por uma aplicação possa variar de um dia para o outro e de uma hora para outra, uma coisa permanece constante: a necessidade de garantir sua proteção. De que adianta uma solução que se dimensiona para comportar diferentes volumes de tráfego se a segurança da aplicação e de seus dados fica comprometida nesse processo? A nova solução WAF com escalabilidade automática da F5 para AWS oferece a segurança de nível empresarial de que as aplicações precisam, independentemente dos níveis de tráfego, e garante que você provisione e pague apenas pelos recursos de nuvem pública necessários.

Em sua essência, a solução de WAF é baseada no BIG-IP ASM, comprovado pelo setor e certificado pela ICSA, e no BIG-IP LTM, que, quando combinados, oferecem proteção abrangente contra vetores de ataque sofisticados, incluindo ataques DDoS de camada 7, as 10 principais ameaças da OWASP e ataques de bots mal-intencionados. Usando recursos de aprendizado automatizado, criação dinâmica de perfis e políticas baseadas em riscos, o BIG-IP ASM também é capaz de aplicar precauções de segurança adicionais para impedir que até mesmo os ataques mais complexos cheguem aos servidores de aplicações.

Mas e quanto ao componente de escalabilidade automática? Tudo o que é necessário para executar a solução foi reunido em um modelo do AWS CloudFormation, desde as Edições Virtuais do BIG-IP e os buckets do S3 até os grupos de escalabilidade automática e os alarmes do CloudWatch, de modo que esses serviços interajam automaticamente entre si para oferecer uma solução totalmente autônoma. Antes da implantação, o modelo exige que o usuário informe alguns parâmetros, como o número mínimo de instâncias de VE que devem estar operacionais a qualquer momento ou os limites de taxa de transferência que, quando ultrapassados, instruem o grupo de escalabilidade automática a iniciar ou encerrar instâncias (geralmente 80% e 20% da taxa de transferência máxima da instância). As instâncias de VE iniciadas são distribuídas entre as zonas de disponibilidade da AWS, conforme mostrado na Figura 2, para aumentar ainda mais a disponibilidade.

[Figura 2 – Topologia da solução WAF com escalabilidade automática da F5 para AWS]

A solução foi projetada e totalmente testada por especialistas da F5, seguindo as práticas recomendadas do BIG-IP e da AWS, para simplificar a experiência de implantação e permitir que os usuários implantem suas plataformas F5 com confiança. As instâncias do BIG-IP ASM na solução são implantadas com políticas de segurança pré-configuradas, elaboradas pela F5, ou com políticas personalizadas específicas para cada aplicação.

E é basicamente isso: uma solução WAF completa que se adapta à demanda das aplicações para garantir proteção contínua contra os mais complexos ataques de camada 7. Disponível para implantação direta pelo AWS Marketplace com apenas alguns cliques, toda essa configuração pode ser implementada e colocada em operação em uma VPC da AWS em menos de uma hora.

Neste ponto, acrescento que, embora nosso foco principal aqui seja a solução WAF com escalabilidade automática, a mesma oferta do AWS Marketplace também permite implantar imagens WAF independentes para proteger aplicações com fluxos de tráfego mais previsíveis e constantes. Tanto a solução com escalabilidade automática quanto a independente utilizam instâncias VE no modelo PAYG (pagamento conforme o uso), com opções flexíveis de taxa de transferência de 25 Mbps, 200 Mbps ou 1 Gbps por instância.

Para obter mais informações, você pode consultar o repositório do WAF com escalabilidade automática no GitHub, que oferece informações técnicas mais detalhadas sobre o funcionamento do modelo do CloudFormation, ou acessar a página do marketplace aqui.

Recursos relacionados

Ficha técnica do BIG-IP ASM

F5 na nuvem pública

AWS Marketplace – Solução F5 WAF

Azure Marketplace – Solução F5 WAF

Modelos de soluções em nuvem – artigo do DevCentral

Atualização de um CFT de WAF com escalabilidade automática para AWS – Artigo do DevCentral

Sobre o autor

Tom AtkinsGerente Principal de Marketing de Produto | F5

Mais publicações de Tom Atkins