Originalmente desenvolvido como um padrão de criptografia e segurança da informação para os sistemas do governo dos EUA, o Federal Information Processing Standards (FIPS) tornou-se o selo de excelência em segurança para criptografia e tratamento de dados em muitos outros setores. Tradicionalmente, manter a conformidade com o FIPS em vários componentes tem sido um desafio.
Nossa nova solução em pacote enfrenta esse desafio e facilita a implantação e a manutenção de uma instância do F5 NGINX Plus em conformidade com o FIPS na AWS. Isso oferece uma maneira nova e melhor de garantir a entrega segura de aplicações, APIs e componentes de inteligência artificial executados na nuvem, ao mesmo tempo que atende a rigorosos requisitos de segurança e conformidade para casos de uso regulamentados e sensíveis.
O que é o FIPS e por que ele é importante
Os FIPS são padrões e diretrizes emitidos pelo Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) para sistemas computacionais federais. O principal objetivo dos FIPS, especialmente do FIPS 140-2 e do mais recente FIPS 140-3, é garantir que os módulos criptográficos — os componentes responsáveis pela criptografia e descriptografia — atendam a rigorosos requisitos de segurança. Isso é essencial para proteger informações sensíveis, porém não sigilosas, desde dados de cidadãos até comunicações internas do governo.
Além disso, os órgãos do governo federal dos EUA e as empresas contratadas que trabalham com eles devem usar módulos criptográficos validados pelo FIPS em aplicações e infraestruturas que executam sistemas governamentais. A não conformidade pode acarretar riscos significativos, incluindo a perda de contratos, e o governo dos EUA intensificou a fiscalização da conformidade com o FIPS nos últimos anos.
Os padrões FIPS também promovem a interoperabilidade entre diferentes sistemas, garantindo que eles sigam protocolos de segurança comuns. A interoperabilidade proporcionada pelo FIPS facilita a criação de soluções integradas, como a descrita neste blog. Nossa nova solução Red Hat Enterprise Linux e NGINX aproveita o trabalho de criptografia realizado pela equipe da Red Hat nos módulos OpenSSL e o aplica às imagens do F5 NGINX Plus.
Em essência, a conformidade com o FIPS significa que as funções criptográficas de um produto atendem aos rigorosos padrões de segurança do governo dos EUA, garantindo que os dados sejam devidamente protegidos. Os aplicativos executados em plataformas em conformidade com o FIPS constituem um alvo reforçado, que desestimula invasores e protege usuários e sistemas.
Simplificando a conformidade com o FIPS
Nossa nova oferta no marketplace é um pacote completo que inclui o NGINX Plus no Red Hat Enterprise Linux. Ela simplifica significativamente a conformidade com o FIPS para aplicações, APIs e IA executadas na nuvem por meio dos seguintes recursos:
- Aproveitamento da criptografia validada pelo FIPS. O Red Hat Enterprise Linux já obteve a certificação FIPS 140-2/3 para seus módulos criptográficos, e nosso novo pacote combina isso com o F5 NGINX Plus. Um componente essencial é sua biblioteca OpenSSL, que fornece funções criptográficas fundamentais, como criptografia, descriptografia e hashing.
- Uso direto do OpenSSL validado pelo FIPS. Nesse pacote integrado, o NGINX Plus é configurado especificamente para utilizar as bibliotecas criptográficas OpenSSL validadas pelo FIPS fornecidas pelo sistema operacional Red Hat Enterprise Linux. Isso significa que, quando o NGINX Plus realiza operações criptográficas (como o processamento de tráfego HTTPS), ele utiliza diretamente esses módulos fornecidos pelo Red Hat Enterprise Linux, que já passaram por uma rigorosa validação FIPS. Isso garante que as funções criptográficas processadas pelo NGINX Plus operem em conformidade com os requisitos do FIPS.
- Conformidade pronta para uso. Os clientes recebem um pacote pré-configurado no qual o FIPS já está habilitado na base do Red Hat Enterprise Linux. Isso reduz o processo complexo e demorado de obter, compilar, configurar e validar por conta própria módulos criptográficos em conformidade com o FIPS.
- Implantação e gerenciamento simplificados na AWS. Ao oferecer este pacote integrado como uma experiência semelhante à de um dispositivo, disponível no AWS Marketplace, simplificamos a implantação e o gerenciamento contínuo do NGINX Plus em ambientes sujeitos aos requisitos do FIPS. É uma solução pronta para uso em ambientes FIPS, que pode estar em funcionamento em minutos, não em dias ou semanas.
- Conformidade e suporte contínuos. Um único pacote conjunto abrange o sistema operacional, os módulos criptográficos e o NGINX Plus. A Red Hat e a F5 fornecem patches coordenados que mantêm toda a pilha dentro dos limites validados, simplificando as renovações e reduzindo o risco operacional.
Desbloqueando recursos avançados com o NGINX Plus
NGINX Plus é a versão de nível empresarial da solução de gerenciamento de tráfego NGINX, amplamente adotada e desenvolvida para oferecer recursos avançados a aplicações modernas. Ela combina desempenho e escalabilidade comprovados com funcionalidades voltadas para empresas. Ao utilizar o NGINX Plus, as organizações podem garantir alta disponibilidade, segurança robusta e observabilidade aprofundada em seus ambientes de aplicações. Veja mais detalhes sobre alguns dos recursos avançados agora disponíveis por meio da nova solução em pacote no AWS Marketplace.
O NGINX Plus oferece segurança robusta por meio de recursos avançados, como autenticação JWT, integração com o OpenID Connect para logon único e suporte ao F5 NGINX App Protect (proteção contra WAF e DoS). O assistente de IA do F5 NGINX One amplia o conhecimento de desenvolvedores e equipes de DevOps com sugestões de configuração e segurança sensíveis ao contexto.
Os usuários obtêm observabilidade abrangente, com visibilidade em tempo real de aplicações, APIs e IA, além de mais de 240 métricas de status estendidas por meio de uma API JSON. Eles também contam com recursos simples de integração e exportação para ferramentas de terceiros de painéis e monitoramento ou para o console de gerenciamento SaaS do NGINX One.
F5. O NGINX Plus oferece desempenho, alta disponibilidade e resiliência por meio de uma ampla variedade de algoritmos de balanceamento de carga, um ambiente de execução leve, um plano de dados eficiente e verificações ativas de integridade para garantir a confiabilidade. Os recursos de alta disponibilidade incluem clustering ativo-ativo e compartilhamento de estado.
A solução também otimiza a eficiência operacional ao simplificar o gerenciamento e reduzir a sobrecarga administrativa com a API do NGINX Plus para a configuração dinâmica de servidores upstream e armazenamentos de chave-valor sem interrupções de serviço. Ela se integra automaticamente ao console de gerenciamento SaaS do NGINX One, oferecendo um único plano de observabilidade, segurança e gerenciamento para todas as instâncias do NGINX.
Benefícios da nova solução FIPS da F5 e da Red Hat por setor
| Setor | Fator de conformidade |
Por que a criptografia validada pelo FIPS é importante |
Como a nova imagem ajuda |
|---|---|---|---|
| Governo e Defesa | O FedRAMP exige módulos validados pelo FIPS 140 para todos os níveis de referência moderados e altos. | O uso de um front-end TLS já validado reduz drasticamente os prazos para obtenção da autorização para operar (ATO), evita dispensas relacionadas à criptografia e mantém os órgãos em conformidade quando os módulos passam à condição de “históricos”. | Implante a imagem de máquina da Amazon (AMI) no GovCloud ou em uma região classificada; as correções coordenadas da Red Hat e da F5 mantêm toda a pilha dentro do limite validado durante toda a vida útil do sistema. |
| Saúde e Ciências da Vida | As orientações do HHS sobre notificação de violações consideram a criptografia testada pelo NIST (FIPS) uma “salvaguarda” para informações de saúde protegidas (PHI). | A criptografia de ePHI com módulos validados pelo FIPS reduz a exposição à obrigação de notificar violações e o escopo das auditorias. | Uma única imagem abrange as camadas de web, API e inferência de IA; as evidências de conformidade remetem a um único certificado de validação. |
| Segurança Pública e Justiça | A política de segurança do FBI exige criptografia validada pelo FIPS para os Serviços de Informações da Justiça Criminal (CJIS). | Fornecedores de câmeras corporais, serviços de emergência 911 e sistemas de autuação eletrônica herdam a prontidão para o CJIS, em vez de recompilar o OpenSSL a cada versão. | A pilha empacotada mantém a criptografia no nível do firmware, as configurações de referência e a criptografia do tráfego em um único fluxo de suporte. |
| Proteção de Infraestrutura Crítica da North American Electric Reliability Corporation (NERC CIP) | As orientações de implementação da NERC CIP incluem o FIPS 140-2 como controle aceito para integridade e criptografia de software. | As concessionárias documentam os controles da CIP-010 sem precisar adicionar HSMs a cada gateway de subestação. | A pilha empacotada mantém a criptografia no nível do firmware, as configurações de referência e a criptografia do tráfego em um único fluxo de suporte. |
| Provedores de nuvem e SaaS | A AWS disponibiliza endpoints TLS exclusivos para FIPS, permitindo que os locatários atendam ao FedRAMP e a requisitos semelhantes. | Clientes corporativos e do setor público exigem cada vez mais uma opção de serviço em “modo FIPS”. | Inicialize a AMI em qualquer região, aproveite a validação do Red Hat Enterprise Linux e responda aos questionários dos clientes com um único certificado. |
Pronto para modernizar e simplificar a conformidade com o FIPS?
Seja no setor público, financeiro, de saúde ou em qualquer outro segmento, a solução integrada da F5 com o Red Hat Enterprise Linux ajuda a preparar infraestruturas críticas para o futuro com a única pilha de entrega de aplicações validada pelo FIPS, que oferece alto desempenho, observabilidade aprofundada, implantação simplificada e escalabilidade em uma imagem fácil de instalar.
Implante a AMI do NGINX Plus pronta para FIPS pelo AWS Marketplace e entre em produção antes do próximo prazo de conformidade.
Sobre o autor
Publicações relacionadas no blog
Como o F5 NGINX One aprimora o gerenciamento e a observabilidade
Descubra como o F5 NGINX One aprimora o gerenciamento e a observabilidade de ambientes híbridos e multicloud ao oferecer um console web centralizado baseado em SaaS, com insights em tempo real, conformidade automatizada e gerenciamento simplificado de configurações.
Do OpenAPI ao NGINX como gateway de API usando uma API declarativa
Descubra como transformar uma definição de esquema OpenAPI em uma configuração NGINX totalmente funcional, operando como um API Gateway com a segurança de um Web Application Firewall e um Portal do Desenvolvedor, usando uma abordagem declarativa de API.
Como gerenciar picos repentinos de tráfego e sobrecarga do servidor
Picos de tráfego e sobrecarga de servidores são preocupações sérias para varejistas online em qualquer época, mas especialmente durante a “Cyber Season” de compras de fim de ano. Detalhamos como você pode aproveitar as soluções de entrega de aplicações de nível de produção da NGINX para se preparar para aumentos repentinos de tráfego.
Distribuição segura de chaves privadas SSL com o NGINX
Descrevemos três maneiras progressivamente mais seguras de proteger chaves privadas SSL ao configurar o NGINX para processar tráfego HTTPS: permitir acesso de leitura apenas ao usuário root, criptografar as chaves com senhas armazenadas separadamente e distribuir as senhas a partir de um repositório central.
Agrupando solicitações de API em lotes com NGINX Plus e o módulo JavaScript do NGINX
O módulo JavaScript do NGINX lançado com o NGINX Plus R15 oferece suporte a subsolicitações, possibilitando uma classe totalmente nova de casos de uso para o NGINX Plus. Este exemplo completo também usa a API do NGINX Plus e os módulos de chave-valor para converter solicitações de API dos clientes em solicitações separadas para as APIs dos microsserviços que compõem um aplicativo.
Como superar o esgotamento de portas efêmeras no NGINX e no NGINX Plus
Confira dicas para evitar o esgotamento de portas efêmeras com ajustes no kernel do Linux, conexões keepalive e conexões vinculadas dinamicamente a endereços IP locais.