Sicurezza unificata delle app web e delle API per qualsiasi ambiente
Fastly offre il WAF più flessibile sul mercato in termini di distribuzione e può proteggere le tue app e API ovunque si trovino – in container, on-premise, nel cloud o ai bordi della rete – con un’unica soluzione integrata. Ottieni una protezione completa senza sacrificare le prestazioni o richiedere personale dedicato: il Fastly Next-Gen WAF (supportato da Signal Sciences) funziona semplicemente fin da subito ed è così efficace che quasi il 90% dei nostri clienti lo utilizza in full modalità di blocco.
Il WAF Next-Gen di Fastly offre la protezione proattiva richiesta dalle app moderne, integrandosi nelle tue toolchain DevOps e di sicurezza per una visibilità senza pari. La nostra architettura flessibile può far progredire la tua strategia di sicurezza delle applicazioni fornendo a sviluppatori, Operazioni e team di sicurezza approfondimenti su dove e come le tue applicazioni web e API vengono attaccate.
Panoramica dell'architettura
Il WAF Next-Gen di Fastly è una soluzione ibrida Software as a Service (SaaS) con tre componenti principali. Questo approccio brevettato, sviluppato da Signal Sciences, ci consente di scalare e proteggere facilmente anche le applicazioni e le API con il volume più elevato senza influire sulle prestazioni.
<br>
Agenti
Agenti leggeri che distribuisci sulla tua infrastruttura esistente per eseguire rapidamente e accuratamente il rilevamento e il processo decisionale sulle richieste.
Gli agenti sono costituiti da un piccolo processo daemon e sono progettati per gestire carichi estremamente elevati, effettuando al contempo rilevamenti e decisioni locali altamente performanti e accurati. L'agente raccoglie anche metadati sulle richieste dannose che ha elaborato e condivide tali metadati con il cloud engine. Proteggiamo alcuni dei siti con il volume di traffico più elevato su Internet, dove decine di migliaia di agenti elaborano collettivamente migliaia di miliardi di richieste di produzione senza influire sulle prestazioni di app o performance API. Gli agenti bloccano gli attacchi prima che raggiungano applicazioni o API e forniscono visibilità non solo sulle richieste in arrivo, ma anche sulle risposte del server e sulle anomalie che mostrano il comportamento dell'applicazione.
modulo
Componente opzionale ma potente che si abbina ai nostri agenti per garantire prestazioni elevate e affidabilità.
I moduli vengono eseguiti su praticamente qualsiasi server web (NGINX, Apache, IIS e altri) o linguaggio applicativo (.NET, Java, Python, PHP, .nodeJS, e altri). Il modulo è composto da poche centinaia di righe di codice per garantire sia affidabilità sia prestazioni estreme. Il suo unico compito è inoltrare le richieste all’agente e ricevere e applicare le decisioni dell’agente per consentire il passaggio della richiesta all’applicazione o Log/bloccarla (a seconda della modalità impostata nella console).
cloud engine
Il backend analytics ospitato nel cloud arricchisce l’agente in modo asincrono con intelligence raccolta da fonti esterne e proprietarie per effettuare rilevamenti dinamici specifici per l’applicazione.
Il cloud engine raccoglie e analizza dati di attacco anonimizzati e telemetria provenienti dalle molte migliaia di agenti software presenti nella nostra base clienti. L'output del cloud engine viene utilizzato localmente dall'agente per eseguire un rilevamento migliore e prendere decisioni di blocco più aggressive. Il processo decisionale dell'agente è potenziato dal nostro Network Learning Exchange (NLX), che condivide fonti IP dannose confermate all'interno della console di gestione, avvisandoti di attori sospetti prima che rappresentino una minaccia per le tue applicazioni e API. Altri feed includono elenchi esterni di IP dannosi e gli elenchi IP personalizzati dei clienti, che forniscono tutti un contesto aggiuntivo sulle richieste che arricchisce il processo decisionale dell'agente. Questa visibilità e questo contesto vengono condivisi tramite la nostra API e integrazioni native con gli strumenti DevOps che il team già utilizza, tra cui Slack, PagerDuty, Jira e altri, nonché strumenti di sicurezza come Elastic e Palo Alto Networks Cortex XSOAR. Metriche e report degli eventi per l'intero parco applicativo sono inoltre facilmente disponibili tramite dashboard in una console di gestione unificata.
opzione di distribuzione
Opzioni di distribuzione native per data center, cloud, container e serverless.
Opzione di distribuzione n. 1: cloud e nativa per container
La coppia agente-modulo si installa sul server web, sull'API gateway o a livello di app in pochi minuti. Il nostro agente è indipendente dall'infrastruttura, offrendoti la flessibilità di distribuire dove ne hai bisogno, senza preoccuparti delle dipendenze da linguaggi o framework sottostanti.
Distribuzione in Kubernetes e service mesh
Nuovi strumenti e framework applicativi, come Kubernetes, stanno rapidamente portando le aziende in un mondo incentrato su DevOps. Le aziende ora rilasciano codice più velocemente che mai e Fastly offre opzioni di distribuzione flessibili per adattarsi alla tua strategia container con tre “livelli” in cui puoi installare il nostro web application firewall in Kubernetes e quattro metodi per distribuire. Inoltre, le nostre integrazioni native con le service mesh Envoy Proxy e Istio consentono a Fastly di fornire visibilità sia sulle richieste north-south (client-server) sia su quelle east-west (service-to-service).
Metodo di installazione | Livello 1: controller di ingresso | Livello 2: Mid-Tier Service | Livello 3: livello dell’app |
|---|---|---|---|
Agente + modulo nella stessa app container | "check" | "check" | "check" |
Agente + modulo in contenitori diversi | "check" | "check" | "check" |
Agent in modalità reverse proxy nello stesso container dell'app | "check" | "check" | "check" |
Agent in reverse proxy in container sidecar | "check" | "check" | "check" |
Fastly supporta pienamente le distribuzioni per:
<br>
Opzione di distribuzione n. 2: data center e applicazione legacy
I clienti che necessitano di protezione per applicazioni legacy o per quelle distribuite nei data center in genere scelgono una delle due opzioni di distribuzione: installare il WAF Next-Gen di Fastly per ispezionare il traffico prima che le richieste web raggiungano l'app o l'endpoint API, oppure installare il nostro agente in modalità reverse proxy. Ad esempio, il nostro modulo può essere installato sul bilanciatore del carico (A10 Networks, HAProxy, NGINX) o sull'API gateway (Ambassador, Kong, Cloudentity). Il nostro agente può essere distribuito in modalità reverse proxy per i clienti con requisiti che impediscono l'installazione sul bilanciatore del carico o sull'API gateway.
<br>
A10 Next-Gen WAF, basato su Fastly
Per una protezione on-premise superiore, A10 Networks e Fastly hanno collaborato per offrire ai clienti A10 Next-Gen WAF, basato su Fastly. A10 Thunder controller di distribuzione delle applicazioni offre una distribuzione delle applicazioni di altissimo livello e protezione contro una vasta gamma di attacchi avanzati con un'accuratezza eccezionale, garantendo la disponibilità del servizio e riducendo al contempo la complessità e il costo totale di proprietà.
Opzione di distribuzione n. 3: ai bordi della rete
Il Next-Gen WAF di Fastly è disponibile sulla rete edge cloud di Fastly, consentendo ai clienti di applicare controlli di sicurezza come parte dei servizi di distribuzione di Fastly. L'opzione di distribuzione edge cloud è perfettamente integrata con il livello di caching di Fastly, Varnish.
Ciò fornisce protezione e accelerazione più vicino agli utenti e protegge i sistemi di origine dal traffico di attacco abusivo, offrendo al contempo prestazioni di livello mondiale. La nostra distribuzione edge è ideale per i clienti che non sono in grado di installare software sull'infrastruttura esistente e per coloro che desiderano sfruttare i vantaggi in termini di prestazioni della rete di distribuzione dei contenuti (CDN) globale di Fastly. Questa opzione di distribuzione offre anche funzionalità aggiuntive, tra cui DDoS Protection sempre attiva di livello 3 e 4 e gestione di TLS.
<br>
Opzione di distribuzione n. 4: Cloud WAF
Cloud WAF ti consente di proteggere in modo rapido e semplice applicazioni web, API, microservizi e applicazioni serverless, senza installare software sulla tua infrastruttura. Una volta distribuito, è sufficiente una semplice modifica DNS per indirizzare il traffico dell'applicazione a Cloud WAF e abilitare la visibilità e la protezione del WAF Next-Gen di Fastly per le tue applicazioni. Tutte le richieste web vengono reindirizzate al nostro livello di enforcement cloud, dove le richieste dannose vengono rilevate e bloccate. Tutto il traffico valido e legittimo viene quindi inoltrato al server di origine della tua applicazione. Cloud WAF è ideale per i clienti che desiderano aggiungere un web application firewall facile da gestire senza apportare modifiche upstream al proprio livello CDN.
Protezione impegnata nella privacy dei dati
Molte aziende leader nei servizi finanziari, aziende sanitarie e altre realtà con rigorosi requisiti di privacy dei dati utilizzano il Next-Gen WAF di Fastly grazie alla nostra solida architettura progettata per la privacy dei dati. Tutti i dati sensibili vengono gestiti interamente nell'ambiente del cliente e solo le parti sanificate e oscurate delle richieste contrassegnate come attacchi o anomalie vengono poi inviate al cloud engine di Fastly.
Una volta che l’agente identifica un potenziale attacco o un’anomalia in una richiesta, viene applicato localmente un insieme di redazioni completamente personalizzabili e quindi l’agente invia solo il singolo parametro redatto della richiesta che contiene il payload dell’attacco, nonché alcune altre parti non sensibili o innocue della richiesta, come IP client, user agent, URI, ecc. Il nostro backend raccoglie solo i metadati della risposta, ad es. codici di risposta, dimensioni e tempi. Offriamo ai clienti la possibilità di personalizzare completamente le policy e i campi di redazione secondo necessità. Per una protezione aggiuntiva, Fastly applica automaticamente la redazione dei tipi comuni di dati sensibili, come password, chiavi, GUID e qualsiasi tipo di informazioni di identificazione personale o PHI, prima che la richiesta venga inviata al nostro backend.
“Funziona da subito, aumenta la scalabilità in modo automatico e svolge un ottimo lavoro nel garantire la visibilità e la sicurezza dell'applicazione.”
Integrazioni con toolchain DevOps e sicurezza
Il percorso migliore verso il successo per una protezione efficace di applicazioni e API consiste nel fornire gli stessi dati di base sulla sicurezza ai team di sviluppo, Operazioni e sicurezza negli strumenti che già utilizzano. Fastly collabora con i migliori strumenti e piattaforma del settore per fornire avvisi in tempo reale nelle tue toolchain DevOps e di sicurezza e per garantire che i tuoi team possano sfruttare facilmente la nostra telemetria di sicurezza di produzione negli strumenti e nei processi attuali della tua organizzazione per ulteriori indagini e analisi.
Le integrazioni tecnologiche pronte all’uso aiutano i team a effettuare o continuare la transizione verso modelli e architetture di sviluppo moderni. Le nostre integrazioni con un solo clic includono i più comuni motori di avviso per sviluppo e operazioni, chat-ops, gestione dei progetti e sistemi di monitoraggio degli incidenti.
Integrazioni tecnologiche e della piattaforma
Esegui il WAF Next-Gen di Fastly ovunque
Load Balancer
server web
IAAS
PaaS
Contenitori
Gestione della configurazione
<br>
Integrazioni e partner
Invia e ricevi dati dal WAF Next-Gen di Fastly
Toolchain DevOps
gestione delle informazioni e degli eventi di sicurezza/SOAR
