As aplicações modernas raramente vivem num único local. Funcionam em nuvens públicas, centros de dados privados, em dispositivos de ponta – muitas vezes em todos estes locais ao mesmo tempo. Para as equipas de segurança, isto é um verdadeiro pesadelo: cada ambiente tem as suas próprias ferramentas, as suas próprias políticas, as suas próprias vulnerabilidades. A F5 Distributed Cloud é uma plataforma que altera este cenário, centralizando a proteção das aplicações onde quer que estejam a ser executadas. Neste artigo, explicamos como funciona e o que traz de realista para a segurança dos ambientes edge e multi-cloud.
Índice
- O que é o F5 Distributed Cloud e quais são as suas diferenças em relação às soluções F5 clássicas?
- Desafios de segurança em ambientes multi-cloud e edge
- Como é que o F5 Distributed Cloud protege as aplicações ao nível do edge?
- Segurança WAF, DDoS e API numa única plataforma
- Gestão de políticas de segurança em ambientes distribuídos
- A quem se destina o F5 Distributed Cloud?
- Principais conclusões
- FAQ
- Resumo
O que é o F5 Distributed Cloud e quais são as suas diferenças em relação às soluções F5 clássicas?
O F5 Distributed Cloud (anteriormente Volterra) é uma plataforma SaaS para entrega e proteção de aplicações, construída sobre uma rede global de ponto de presença (PoP). Ao contrário dos produtos clássicos da F5 – como o BIG-IP ou o NGINX – o Distributed Cloud não é hardware ou software instalado localmente, mas um serviço gerido pela F5 ao qual uma organização liga os seus ambientes através de nós ligeiros (Customer Edge).
A principal diferença é que o Distributed Cloud opera em um modelo de malha – a rede F5 se torna uma fábrica que conecta todos os ambientes do cliente em uma infraestrutura de segurança coesa. Políticas de segurança, regras WAF, configurações de balanceador de carga – tudo é definido uma vez e aplicado de forma consistente em todos os lugares. Esta é uma mudança fundamental em relação à abordagem em que cada ambiente de nuvem tem sua própria pilha de segurança gerenciada separadamente.
O portefólio da F5 Networks da Ramsdata inclui o portefólio completo de produtos da empresa, desde as soluções ADC clássicas até às plataformas na nuvem.
Desafios de segurança em ambientes multi-cloud e edge
As organizações que utilizam várias nuvens em simultâneo (AWS, Azure, GCP) e infra-estruturas de ponta enfrentam vários problemas de segurança específicos. A falta de consistência das políticas é o primeiro – cada nuvem tem as suas próprias ferramentas WAF, os seus próprios mecanismos de equilíbrio de carga e as suas próprias formas de definir regras. O resultado é uma situação em que a mesma aplicação é protegida de forma diferente no AWS e de forma diferente no Azure.
A visibilidade do tráfego é outro problema – num ambiente multi-cloud é difícil obter uma visão uniforme do tráfego de aplicações, anomalias e ataques. Cada plataforma regista de forma diferente, para sistemas diferentes, em formatos diferentes. Depois, há a questão da latência com o edge computing – as soluções de segurança tradicionais forçam o backhauling do tráfego para um ponto de inspeção central, o que destrói a sensação de trabalhar no limite da rede. O F5 Distributed Cloud resolve todos estes problemas, deslocando a inspeção de segurança para nós PoP tão próximos do utilizador quanto possível.
Como é que o F5 Distributed Cloud protege as aplicações ao nível do edge?
No nível da borda, o F5 Distributed Cloud opera através da rede Customer Edge (CE) – nós leves instalados em ambientes de clientes (no local, colocação, nuvem). Os CEs ligam-se à rede Regional Edge global da F5, onde a inspeção de segurança tem lugar. O tráfego de aplicações é analisado o mais próximo possível da fonte, sem a necessidade de fazer backhaul para o centro.
Cada nó CE actua como um ponto local de aplicação de políticas (PEP) – verificando o tráfego de acordo com regras definidas centralmente e reportando ao painel de controlo global. Os administradores podem ver todo o tráfego de aplicações de todos os ambientes num único painel de controlo, reduzindo drasticamente a deteção de incidentes e os tempos de resposta. Isto é particularmente importante em ambientes IoT e industriais, onde milhares de dispositivos de ponta geram tráfego que requer inspeção.
Segurança WAF, DDoS e API numa única plataforma
O F5 Distributed Cloud combina vários componentes críticos de segurança de aplicações numa única plataforma. O Web Application Firewall (WAF) baseado no motor F5 Advanced WAF protege contra o OWASP Top 10, ataques de injeção, XSS e outras ameaças da Camada 7. As regras são criadas centralmente e distribuídas para todos os nós – sem sincronização manual.
A proteção DDoS funciona ao nível da rede global F5 – o tráfego é absorvido e filtrado antes de chegar à infraestrutura do cliente. O API Gateway e o API Security permitem o mapeamento de todos os pontos de extremidade da API, impondo padrões e detectando anomalias no tráfego da API. Isto é crucial na era dos microsserviços, em que a exposição da API é a maior superfície de ataque. Todos estes componentes são geridos a partir de uma única localização, eliminando problemas de sincronização de políticas entre ambientes.
Gestão de políticas de segurança em ambientes distribuídos
O painel de gerenciamento central do F5 Distributed Cloud (Console) permite que as políticas de segurança sejam definidas como código – o que se encaixa perfeitamente na abordagem DevSecOps. As políticas são versionadas, testadas e implementadas pelo pipeline CI/CD, eliminando a gestão manual da configuração. A integração com os operadores Terraform e Kubernetes permite que as políticas de segurança sejam aplicadas automaticamente ao implantar novos aplicativos.
A visibilidade é fornecida por um sistema central de registo e análise – todos os eventos de segurança de todos os ambientes vão para um único local. A integração com sistemas SIEM (Splunk, Elastic, QRadar) através de uma API padrão permite que os dados da F5 sejam integrados nos processos SOC existentes. Para mais informações sobre soluções de segurança de rede completas, consulta a oferta tecnológica da Ramsdata.
A quem se destina o F5 Distributed Cloud?
O F5 Distributed Cloud é uma solução para organizações com ambientes de TI complexos e distribuídos – empresas que utilizam vários fornecedores de cloud simultaneamente, organizações com infra-estruturas de ponta (retalho, fabrico, telecomunicações), grandes empresas com vários centros de dados e empresas que fornecem serviços SaaS a nível global. Este não é um produto para pequenas organizações com infra-estruturas simples – o seu valor revela-se precisamente na complexidade e na escala.
Principais conclusões
- O F5 Distributed Cloud centraliza a proteção de aplicações em ambientes multi-cloud e edge através de uma rede global de nós.
- WAF, proteção DDoS e API Security são geridos a partir de um único painel e aplicados de forma consistente em todos os ambientes.
- O modelo Customer Edge elimina a necessidade de tráfego de backhaul – a inspeção ocorre perto da fonte.
- As políticas de segurança podem ser definidas como código e implementadas através do pipeline CI/CD.
- A visibilidade do tráfego de todos os ambientes num único painel de controlo reduz drasticamente os tempos de resposta a incidentes.
- Uma solução concebida para ambientes complexos e distribuídos – não para uma simples infraestrutura.
FAQ
O F5 Distributed Cloud é um substituto para o BIG-IP clássico? Não – são soluções complementares. O BIG-IP ainda funciona bem para ambientes locais que requerem controlo total do hardware. O Distributed Cloud é ideal para ambientes multi-nuvem e de borda.
Quanto tempo leva para implementar o F5 Distributed Cloud? A implementação básica dos nós CE e a configuração do WAF podem demorar vários dias. A integração completa com o pipeline CI/CD e os sistemas SIEM demora normalmente várias semanas, dependendo da complexidade do ambiente.
O F5 Distributed Cloud suporta Kubernetes? Sim – a plataforma tem integração nativa com Kubernetes via Operator e permite a aplicação automática de políticas de segurança para a implementação de contentores.
Como é que é o modelo de licenciamento? O F5 Distributed Cloud opera num modelo de subscrição, com preços baseados na largura de banda ou no número de aplicações. O modelo exato depende da configuração e da escala.
Resumo
O F5 Distributed Cloud é a resposta aos desafios reais das organizações que operam em ambientes distribuídos e multi-cloud. Centralizar as políticas de segurança, inspecionar o tráfego no limite da rede e ter uma visibilidade consistente de todos os ambientes – estes são os três principais valores que a plataforma traz para a arquitetura de segurança. Se geres aplicações em várias nuvens e procuras uma abordagem consistente para as proteger, contacta a Ramsdata – um parceiro autorizado da F5 Networks.
