Nos últimos cinco anos, a F5 NGINX teve a satisfação de oferecer aos nossos clientes o módulo NGINX ModSecurity WAF para o NGINX Plus, com proteção contra classes comuns de vulnerabilidades por meio do OWASP ModSecurity Core Rule Set (CRS). No entanto, devido a mudanças recentes no suporte de terceiros ao ModSecurity WAF, lamentamos informar que o NGINX ModSecurity WAF entrará em fim de vida útil (EoL) a partir de 31 de março de 2024.
Nossa decisão se deve, em parte, ao recente anúncio da Trustwave, organização responsável pela manutenção do ModSecurity, de que, a partir de 1º de julho de 2024:
- Deixará de oferecer suporte ao código-fonte aberto do ModSecurity e ao WAF
- Devolver à comunidade de código aberto a responsabilidade pela manutenção do código do ModSecurity
- Não fornecer mais Regras Comerciais
Além disso, embora o projeto OWASP ModSecurity Core Rule Set (CRS) planeje continuar oferecendo suporte ao ModSecurity, ele está direcionando seu foco para um novo WAF chamado Coraza, devido a preocupações quanto à viabilidade do projeto ModSecurity diante das medidas tomadas e do anúncio de mudanças no suporte pela Trustwave.
O NGINX ModSecurity WAF é baseado no ModSecurity v3 de código aberto e conta com nosso suporte e testes, que garantem que o módulo NGINX ModSecurity WAF funcione corretamente com o NGINX Plus. No entanto, não mantemos o código do ModSecurity propriamente dito, e a falta de suporte da Trustwave, somada à redução das contribuições para o projeto ModSecurity de código aberto, deixa os clientes do NGINX Plus com um produto que pode não atender aos seus requisitos de segurança e estabilidade.
O NGINX entrou em fim de vendas (EoS) e deixou de vender o NGINX ModSecurity WAF em 1º de abril de 2022. Se você é cliente e possui uma licença ativa, pode renovar sua assinatura e receber suporte completo — incluindo atualizações do pacote NGINX ModSecurity WAF — até a data de fim de vida útil (EoL), em 31 de março de 2024. O NGINX planeja disponibilizar atualizações do pacote NGINX ModSecurity até 31 de março de 2024, com o objetivo de dar aos clientes tempo suficiente para migrar para uma nova solução. Seu gerente de conta entrará em contato diretamente com você para conversar sobre suas futuras necessidades relacionadas a soluções de segurança de aplicações. Se quiser entrar em contato com seu gerente de conta a qualquer momento, fale conosco. A partir de 1º de abril de 2023, não serão aceitas novas renovações.
A dedicação ao código aberto continua sendo parte integrante do DNA do NGINX
Embora o produto NGINX ModSecurity WAF esteja chegando ao fim de sua vida útil (EoL), continuamos comprometidos com nossa participação na comunidade de código aberto e com o apoio a ela. A NGINX valoriza a colaboração e a inovação dos membros da comunidade de código aberto que se dedicam ao avanço e ao aprimoramento da tecnologia. Acreditamos que o código aberto incentiva o uso mais amplo dos principais recursos fundamentais de segurança e beneficia a todos nós ao reduzir a superfície de ataque da infraestrutura global de aplicações.
Em consonância com esses valores, a NGINX continua liderando os projetos NGINX Open Source e NGINX Unit. Temos muito orgulho de nossos esforços de segurança, mas também reconhecemos que é necessária uma equipe mais ampla para proteger a infraestrutura tecnológica da qual todos dependemos cada vez mais em nosso dia a dia. Por isso, temos o prazer de apoiar projetos de software de código aberto que aprimoram diretamente a segurança da Internet, incluindo o patrocínio aos projetos OWASP Core Rule Set (CRS), Let’s Encrypt e Open SSL.
A transformação digital mudou suas necessidades de segurança?
Talvez você tenha escolhido inicialmente o NGINX ModSecurity WAF como uma versão com suporte do ModSecurity WAF de código aberto para proteger seus aplicativos contra categorias gerais de vulnerabilidades com o OWASP CRS ou para atender aos requisitos de conformidade com o PCI DSS em uma implementação padrão de WAF. No entanto, nos últimos dois anos, a pandemia de COVID‑19 obrigou as organizações a acelerar sua transformação digital para acompanhar a demanda, à medida que empresas e consumidores passaram a comprar e consumir produtos e serviços online.
Com o aumento dos ataques cibernéticos contra aplicações web e APIs, este pode ser o momento certo para reavaliar o que você precisa de um WAF e implementar um nível mais abrangente de proteção, confiabilidade e desempenho, necessário para impulsionar o crescimento dos negócios. Oferecemos o F5 NGINX App Protect WAF como uma solução de segurança alternativa capaz de acompanhar o crescimento da sua empresa.
NGINX App Protect WAF – Segurança avançada para seus aplicativos e APIs modernos
NGINX App Protect WAF oferece várias vantagens:
- O NGINX App Protect WAF é baseado no mecanismo Advanced WAF da F5, que foi amplamente testado em situações reais por milhares de clientes empresariais ao longo de décadas. Se você implantar outros produtos da F5, terá um único ponto de suporte para todo o nosso conjunto de soluções de segurança, incluindo correções rápidas de bugs e atualizações de regras, além de poder influenciar nosso roteiro de longo prazo. Além disso, você pode transferir facilmente as regras de WAF entre as soluções da F5 para garantir uma proteção consistente em toda a sua infraestrutura.
- As regras padrão do ModSecurity são escritas e mantidas por membros da comunidade de código aberto e foram desenvolvidas para abranger vulnerabilidades gerais. As regras do NGINX App Protect WAF se baseiam na ampla variedade de vulnerabilidades e relatórios de ameaças monitorados pelo F5 Labs. O resultado é um conjunto mais completo de regras, que oferece maior proteção à segurança das aplicações para acompanhar a evolução das ameaças.
- As regras do ModSecurity envolvem a avaliação de expressões regulares, portanto, cada controle adicional habilitado reduz diretamente o desempenho – obrigando você a escolher entre um bom desempenho e uma proteção abrangente. As regras do NGINX App Protect WAF são pré-compiladas em bytecode para oferecer alto desempenho, independentemente da quantidade de regras habilitadas.
- NGINX App Protect WAF é independente de plataforma, ocupa pouco espaço e demanda poucos recursos, o que o torna ideal para implantações na nuvem.
- O NGINX App Protect WAF atende às necessidades das equipes de DevOps, com políticas declarativas para implementar a “segurança como código” e fácil integração à sua cadeia de ferramentas de CI/CD.
- O NGINX App Protect WAF oferece controles de segurança consistentes para aplicações web, microsserviços, contêineres e APIs.
Saiba por que a revendedora de pneus automotivos Reifen.com escolheu o NGINX App Protect WAF em vez do NGINX ModSecurity WAF quando precisou melhorar seu desempenho on-line e atender aos padrões internos e externos de segurança e conformidade. Como explica Sascha Petranka, consultor de comércio eletrônico da Reifen.com: “Decidimos optar pelo NGINX App Protect WAF porque ele nos ofereceu o melhor desempenho, a melhor solução de longo prazo e a experiência combinada da NGINX e da F5.”
Potencialize seus negócios com segurança ideal para aplicações
O NGINX App Protect WAF pode ajudar sua organização a melhorar a segurança e o desempenho de seus aplicativos e APIs, ao mesmo tempo que aproxima as equipes de DevOps e SecOps. É uma solução de segurança leve que permite às empresas se proteger contra ataques que afetam a receita, roubo de dados, danos à reputação e não conformidade regulatória. Para experimentar o NGINX App Protect WAF, inicie uma avaliação gratuita de 30 dias ou entre em contato conosco para conversar sobre seus casos de uso.
Sobre o autor
Publicações relacionadas no blog
Como o F5 NGINX One aprimora o gerenciamento e a observabilidade
Descubra como o F5 NGINX One aprimora o gerenciamento e a observabilidade de ambientes híbridos e multicloud ao oferecer um console web centralizado baseado em SaaS, com insights em tempo real, conformidade automatizada e gerenciamento simplificado de configurações.
Do OpenAPI ao NGINX como gateway de API usando uma API declarativa
Descubra como transformar uma definição de esquema OpenAPI em uma configuração NGINX totalmente funcional, operando como um API Gateway com a segurança de um Web Application Firewall e um Portal do Desenvolvedor, usando uma abordagem declarativa de API.
Como gerenciar picos repentinos de tráfego e sobrecarga do servidor
Picos de tráfego e sobrecarga de servidores são preocupações sérias para varejistas online em qualquer época, mas especialmente durante a “Cyber Season” de compras de fim de ano. Detalhamos como você pode aproveitar as soluções de entrega de aplicações de nível de produção da NGINX para se preparar para aumentos repentinos de tráfego.
Distribuição segura de chaves privadas SSL com o NGINX
Descrevemos três maneiras progressivamente mais seguras de proteger chaves privadas SSL ao configurar o NGINX para processar tráfego HTTPS: permitir acesso de leitura apenas ao usuário root, criptografar as chaves com senhas armazenadas separadamente e distribuir as senhas a partir de um repositório central.
Agrupando solicitações de API em lotes com NGINX Plus e o módulo JavaScript do NGINX
O módulo JavaScript do NGINX lançado com o NGINX Plus R15 oferece suporte a subsolicitações, possibilitando uma classe totalmente nova de casos de uso para o NGINX Plus. Este exemplo completo também usa a API do NGINX Plus e os módulos de chave-valor para converter solicitações de API dos clientes em solicitações separadas para as APIs dos microsserviços que compõem um aplicativo.
Como superar o esgotamento de portas efêmeras no NGINX e no NGINX Plus
Confira dicas para evitar o esgotamento de portas efêmeras com ajustes no kernel do Linux, conexões keepalive e conexões vinculadas dinamicamente a endereços IP locais.