Et si votre équilibreur de charge pouvait bloquer les attaques avant même que votre application web ne les détecte ?
Les extensions de services Google Cloud permettent désormais l’inspection du trafic en temps réel directement dans le pipeline de l’équilibreur de charge. Combinées avec Next-Gen WAF de Fastly, elles permettent aux entreprises d’atteindre un niveau de sécurité professionnel sans sacrifier les performances.
Dans cet article, nous nous intéressons au fonctionnement de cette puissante intégration et pourquoi elle est importante pour les architectures cloud modernes. Nous passerons également en revue un déploiement pratique que vous pouvez mettre en œuvre dès aujourd’hui.
Impact sur le monde réel : que la performance rencontre la protection
Voyons ce que cela signifie concrètement avec un scénario réaliste :
Le contexte : une plateforme de e-commerce fonctionnant sur Google Kubernetes Engine (GKE) traitant 10 000 requêtes par seconde sur plusieurs régions.
Le défi : se protéger contre les attaques de bourrage d’identifiants, les injections SQL et le trafic de bots tout en maintenant des temps de réponse inférieurs à 200 ms.
La solution : déployer la solution Next-Gen WAF comme un appel d’extension de service pour favoriser :
Des décisions de sécurité zéro latence au niveau de l’équilibreur de charge
La mise à l’échelle automatique avec votre infrastructure GKE existante
Le déploiement régional pour des performances optimales
Une configuration en mode fail-open pour maintenir la disponibilité pendant la maintenance des agents
Fonctionnement de Next-Gen WAF de Fastly avec les extensions de services Google Cloud
Les extensions de services Google Cloud proposent deux façons d’insérer une logique personnalisée : les plug-ins et les extensions d’accroche.
Les extensions d’accroche vous permettent d’utiliser l’équilibrage de charge cloud pour passer des appels Envoy gRPC aux services Google Cloud et aux services gérés par les utilisateurs pendant le traitement des données.
Next-Gen WAF de Fastly peut fonctionner en tant que serveur gRPC polyvalent sur des machines virtuelles de calcul gérées par l’utilisateur, sur des pods GKE sur GKE multicloud ou sur des environnements sur site.
Analyse approfondie de la mise en œuvre : du néant à la protection
L’intégration utilise le protocole de traitement externe d’Envoy (ExtProc) via gRPC, permettant au WAF d’inspecter et d’agir sur le trafic à des étapes critiques :
1. REQUEST_HEADERS : analyser les en-têtes de requêtes entrantes par rapport aux renseignements sur les menaces
2. REQUEST_BODY : transmettre et inspecter les données de charges utiles pour détecter des contenus malveillants
3. RESPONSE_HEADERS : surveiller les réponses sortantes pour détecter les fuites de données
Cette capacité d’inspection granulaire signifie que les menaces sont identifiées et bloquées avant même qu’elles n’atteignent le back-end de votre application.
Le déploiement à partir de zéro implique la création et la configuration d’un équilibreur de charge d’application qui prend en charge les extensions.
Pour déployer un service back-end d’extension d’accroche avec l’agent Next-Gen WAF, vous pouvez utiliser notre image Docker prête à l’emploi. Dans les extraits de terminal ci-dessous, nous allons créer une instance de machine virtuelle pour héberger, configurer et déployer l’agent Next-Gen WAF dans le réseau d’équilibrage de charge.
Des informations plus détaillées sont disponibles sur le site de documentation de Fastly.
gcloud compute instances create callouts-vm \
--zone=$ZONE \
--network=lb-network \
--subnet=backend-subnet \
--machine-type=e2-medium \
--image-family=cos-stable \
--image-project=cos-cloud \
--tags=allow-ssh,load-balanced-backend \
--metadata-from-file=startup-script=startup-script-tls.sh#!/bin/bash
# Create certificate directory
mkdir -p /etc/ssl/certs/sigsci
# Generate self-signed certificates for the gRPC service
openssl req -x509 -newkey rsa:4096 \
-keyout /etc/ssl/certs/sigsci/key.pem \
-out /etc/ssl/certs/sigsci/cert.pem \
-days 365 -nodes \
-subj "/C=US/ST=CA/L=SF/O=Fastly/CN=ext11.com"
# Set proper permissions for the sigsci user inside the container
chmod 644 /etc/ssl/certs/sigsci/key.pem
chmod 644 /etc/ssl/certs/sigsci/cert.pem
# Start Signal Sciences agent with TLS configuration
docker run -d \
--name sigsci-agent \
--restart unless-stopped \
-p 443:443 \
-v /etc/ssl/certs/sigsci:/etc/ssl/certs/sigsci:ro \
-e SIGSCI_ACCESSKEYID=<YOUR ACCESS KEY> \
-e SIGSCI_SECRETACCESSKEY=<YOUR SECRET KEY> \
-e SIGSCI_ENVOY_GRPC_ADDRESS=0.0.0.0:443 \
-e SIGSCI_ENVOY_EXTPROC_ENABLED=true \
-e SIGSCI_ENVOY_GRPC_CERT=/etc/ssl/certs/sigsci/cert.pem \
-e SIGSCI_ENVOY_GRPC_KEY=/etc/ssl/certs/sigsci/key.pem \
-e SIGSCI_DEBUG_LOG_VERBOSITY=3 \
signalsciences/sigsci-agent:latest
# Log startup completion
echo "Signal Sciences agent with TLS started at $(date)" >> /var/log/startup.logEnvie de passer au déploiement ?
L’intégration de la solution Next-Gen WAF de Fastly aux extensions de services Google Cloud constitue une voie à suivre convaincante pour les entreprises soucieuses de la sécurité du cloud. La combinaison de la protection contre les menaces en temps réel, du déploiement cloud natif et des performances à l’échelle de l’entreprise rend cette architecture adaptée aux environnements de production les plus exigeants.
L’avenir de la sécurité des applications web est là, et il est profondément intégré à votre infrastructure cloud. Il est temps de passer à l’action.
Vous voulez en savoir plus ? Consultez notre guide de configuration complet pour connaître les étapes de mise en œuvre détaillées et obtenir des conseils de dépannage.