NGINX Plus cu App protect
NGINX plus cu App Protect asigură proxy load balancing și Web Application Firewall (WAF) într-un mod sigur, agil și performant. Poate fi implementat în cloud, on-premise și într-un mediu de micro-servicii. Funcția WAF a NGINX utilizează același motor WAF ca și F5 Advanced WAF.
Scenariu de utilizare:
1. Prezentare generală
Un important sistem IT național slovac furnizează informații vitale pentru cea mai mare parte a populației țării, permițându-le să-și gestioneze online situațiile de zi cu zi.
Principala aplicație monolitică a sistemului a fost concepută în urmă cu aproximativ 10 ani și are o arhitectură tipică orientată pe servicii cu WAF. Aceasta este implementată pe un server hardware standard, într-un data center local.
În timpul pandemiei, a devenit necesară dezvoltarea unei noi aplicații web. Principalele cerințe pentru această dezvoltarea acestei aplicații au fost:
- Scalarea dinamică și implementarea rapidă
- Orientarea către API
- Securitatea
2. Provocarea
• Scalare dinamică și implementare rapidă
Pentru a rula noua aplicație web, ar fi necesară o scalare dinamică a infrastructurii hardware și de rețea. În plus, existau previziuni că vor fi adăugate noi caracteristici și că traficul va crește ia data centerul propriu (bazat pe hardware) nu fusese conceput pentru a face față nevoilor de infrastructură ale unei aplicații moderne, cu un trafic imprevizibil.
• Orientarea către API
Utilizatorii pot accesa aplicația prin intermediul a două interfețe. Una este pentru utilizatorii de business verificați, care accesează aplicația prin VPN, iar cea de-a doua este pentru accesul public prin HTTPS. Aplicația ar trebui să comunice prin intermediul API.
• Securitatea
Principala cerință de securitate a aplicației a fost de a avea activat WAF în enforcing mode pentru apelurile API. Soluțiile WAF tradiționale necesită timp pentru a configura politica WAF manual sau prin învățare. În timpul fazei de învățare, inițial politica WAF nu blochează traficul pentru a „înțelege” și interpreta care este traficul valid. În același timp, configurarea manuală consumă mult timp pentru a optimiza politicile de filtrare. Aceste etape trebuie repetate după fiecare actualizare a aplicației.
Compania dorea să aibă o politică WAF care să protejeze imediat interfața API și aplicația, luând în considerare și actualizările.
3. Soluția
Compania a ales Google Cloud Platform (GCP) pentru a găzdui noua aplicație. Aplicația a fost dezvoltată în Kubernetes și are două interfețe API separate pentru clienții verificați și cei publici, fiind o aplicație modernă, care prin fluxurile CI/CD oferă o mai bună scalabilitate și o implementare mai flexibilă în comparație cu implementările tradiționale. În plus, Google Cloud asigură o integrare ușoară cu NGINX plus cu App protect, astfel încât s-a obținut îmbunătățirea timpului de livrare pentru noile caracteristici ale aplicației web. NGINX Plus with App protect a fost ales ca un balansor securizat de trafic, cu WAF inclus, într-un scenariu Kubernetes Ingress Controller, după cum se poate vedea mai jos:
Pe lângă opțiunile avansate de balansare și loguri din NGINX Plus, NGINX App Protect permite protejarea noii aplicații cu WAF. Politica NGINX App protect WAF API poate fi bazată pe fișierul swagger sau chiar pe un link către fișierul swagger. Prin urmare, la fiecare nouă versiune a aplicației, dezvoltatorii actualizează doar fișierul swagger (descrierea apelurilor aplicației), iar NGINX App protect securizează și consolidează obiectele pe baza acestuia.
4. Rezultatul
Compania a decis să ruleze aplicația în Google Cloud atât pentru a putea acomoda un trafic preconizat mai mare față de implementarea inițială, cât și pentru a beneficia de un mediul bazat pe microservicii.
NGINX plus suportă gestionarea și configurarea instanțelor prin intermediul API. Noile caracteristici care sunt încapsulate ca microservicii pot fi lansate în timp real și fără nici o întrerupere a funcționării serverului, printr-un fișier de configurare dinamic și prin fișierul swagger al aplicației, care este actualizat automat prin API. Acest lucru înseamnă că funcțiile pot fi lansate rapid, fiind securizate din start.
NGINX App protect este o soluție WAF, bazată pe același motor pe care F5 îl folosește în modulul său Advanced WAF, cu actualizări regulate ale semnăturilor de atac și caracteristici de securitate suplimentare, cum ar fi Threat Campaigns, BOT Defense și Layer 7 DoS protection.
