Bereitstellung der Next-Gen WAF von Fastly mit Google Cloud Service Extensions zur Sicherung von Traffic in großem Maßstab

Was wäre, wenn Ihr Loadbalancer Angriffe stoppen könnte, bevor sie Ihre Webanwendung überhaupt erreichen?

Google Cloud Service Extensions ermöglichen jetzt eine Echtzeit-Traffic-Inspektion direkt innerhalb der Loadbalancer-Pipeline und bieten Unternehmen im Zusammenspiel mit der Next-Gen WAF von Fastly Sicherheit auf Enterprise-Niveau, ohne die Performance zu beeinträchtigen.

In diesem Beitrag werden wir untersuchen, wie diese leistungsstarke Integration funktioniert und warum sie für moderne Cloud-Architekturen wichtig ist. Außerdem stellen wir ein praktisches Deployment vor, das Sie noch heute implementieren können.

Praxisbewährt: Performance trifft auf Schutz

Schauen wir uns anhand eines realistischen Szenarios an, was das in der Praxis bedeutet:

Das Setup: Eine E-Commerce-Plattform, die auf der Google Kubernetes Engine (GKE) läuft und über mehrere Regionen hinweg 10.000 Anfragen pro Sekunde verarbeitet.

Die Herausforderung: Schutz vor Credential-Stuffing-Angriffen, SQL Injection und Bot-Traffic bei gleichzeitiger Einhaltung von Antwortzeiten unter 200 ms.

Die Lösung: Deployment der Next-Gen WAF als Service-Erweiterung, die Folgendes ermöglicht:

• Sicherheitsentscheidungen ohne Latenz auf Loadbalancer-Ebene

• Automatische Skalierung mit Ihrer bestehenden GKE-Infrastruktur 

• Regionales Deployment für optimale Performance

• Ausfallsichere Konfiguration zur Gewährleistung der Verfügbarkeit bei Agenten-Wartungen

So funktioniert Fastlys Next-Gen WAF mit Google Cloud Service Extensions

Google Cloud Service Extensions bietet zwei Möglichkeiten, nutzerdefinierte Programmlogik einzubinden: Plug-ins und Callouts.

Callouts ermöglichen es, über Cloud Loadbalancing während der Datenverarbeitung Envoy-gRPC-Aufrufe an Google-Dienste und nutzerverwaltete Dienste zu senden.

Die Next-Gen WAF von Fastly kann als allgemeiner gRPC-Server auf nutzerverwalteten Compute-VMs, auf GKE-Pods in GKE Multi-Cloud- oder in On-Premise-Umgebungen ausgeführt werden.

Die Implementierung im Detail: Von Null zum Schutz

Die Integration nutzt das externe Verarbeitungsprotokoll (ExtProc) von Envoy über gRPC, sodass die WAF den Traffic in kritischen Phasen überprüfen und darauf reagieren kann:

1. REQUEST_HEADERS: Analyse der Header eingehender Anfragen anhand von Bedrohungsdaten

2. REQUEST_BODY: Streamen und Überprüfen von Payload-Daten auf schädliche Inhalte 

3. RESPONSE_HEADERS: Überwachen ausgehender Antworten auf Datenlecks

Dank dieser granularen Inspektionsmöglichkeiten werden Bedrohungen erkannt und blockiert, noch bevor sie Ihr Anwendungs-Backend erreichen können.

Das Deployment von Grund auf umfasst die Erstellung und das Konfigurieren eines App-Loadbalancers, der Erweiterungen unterstützt.

Für das Deployment eines Callout-Backend-Dienstes mit dem Next-Gen WAF-Agenten kann unser fertiges Docker-Image verwendet werden.  Die nachfolgenden Terminal-Snippets zeigen, wie Sie eine VM-Instanz erstellen, um den Agenten im Netzwerk des Loadbalancers zu hosten, zu konfigurieren und bereitzustellen.

Detailliertere Informationen finden Sie auf der Dokumentationsseite von Fastly.

gcloud compute instances create callouts-vm \
 --zone=$ZONE \
 --network=lb-network \
 --subnet=backend-subnet \
 --machine-type=e2-medium \
 --image-family=cos-stable \
 --image-project=cos-cloud \
 --tags=allow-ssh,load-balanced-backend \
 --metadata-from-file=startup-script=startup-script-tls.sh

#!/bin/bash

# Create certificate directory
mkdir -p /etc/ssl/certs/sigsci

# Generate self-signed certificates for the gRPC service
openssl req -x509 -newkey rsa:4096 \
 -keyout /etc/ssl/certs/sigsci/key.pem \
 -out /etc/ssl/certs/sigsci/cert.pem \
 -days 365 -nodes \
 -subj "/C=US/ST=CA/L=SF/O=Fastly/CN=ext11.com"

# Set proper permissions for the sigsci user inside the container
chmod 644 /etc/ssl/certs/sigsci/key.pem
chmod 644 /etc/ssl/certs/sigsci/cert.pem

# Start Signal Sciences agent with TLS configuration
docker run -d \
 --name sigsci-agent \
 --restart unless-stopped \
 -p 443:443 \
 -v /etc/ssl/certs/sigsci:/etc/ssl/certs/sigsci:ro \
 -e SIGSCI_ACCESSKEYID=<YOUR ACCESS KEY> \
 -e SIGSCI_SECRETACCESSKEY=<YOUR SECRET KEY> \
 -e SIGSCI_ENVOY_GRPC_ADDRESS=0.0.0.0:443 \
 -e SIGSCI_ENVOY_EXTPROC_ENABLED=true \
 -e SIGSCI_ENVOY_GRPC_CERT=/etc/ssl/certs/sigsci/cert.pem \
 -e SIGSCI_ENVOY_GRPC_KEY=/etc/ssl/certs/sigsci/key.pem \
 -e SIGSCI_DEBUG_LOG_VERBOSITY=3 \
  signalsciences/sigsci-agent:latest

# Log startup completion
echo "Signal Sciences agent with TLS started at $(date)" >> /var/log/startup.log

Bereit zum Deployen?

Die Integration der Next-Gen WAF von Fastly mit Google Cloud Service Extensions bietet Unternehmen, die Cloud-Sicherheit ernst nehmen, eine vielversprechende Zukunftsperspektive. Dank der Kombination aus Echtzeit-Bedrohungsschutz, cloud-nativem Deployment und Enterprise-Performance ist diese Architektur auch für die anspruchsvollsten Produktivumgebungen geeignet.

Die Zukunft der Webanwendungssicherheit hat begonnen und sie ist fest in Ihre Cloud-Infrastruktur integriert. Es ist Zeit, den Schritt zu wagen.

Neugierig geworden? Sehen Sie sich unseren umfassenden Einrichtungsleitfaden mit detaillierten Implementierungsschritten und Tipps zur Fehlerbehebung an.