F5 NGINX STIG：面向公共部门和受监管环境的安全蓝图

Bill Church联邦业务现场首席技术官

在美国国防部及受监管环境中强化F5 NGINX安全性的实用指南

如果要在美国联邦政府或国防部（DoD）环境中部署F5 NGINX，您可能已经无数次听到“STIG”这个术语。安全技术实施指南（STIG）已成为构建基础设施的重要路线图，帮助基础设施抵御现实威胁，同时满足联邦任务的严格标准。如今，STIG的应用已不再局限于政府领域。金融服务和医疗保健等受监管行业也日益将其视为经过实践检验的基准，因为这些行业认识到，经过加固、能够抵御国家级攻击者的配置，通常也能有效应对自身面临的威胁。

但许多组织忽视了这一点：如果实施得当，遵循STIG可将NGINX部署转变为零信任架构中经过安全加固且具备防御能力的组件。真正改善安全态势后，通过审计也就水到渠成。

风险之高，前所未有

联邦机构面临的威胁形势日益复杂。国家级威胁行为者、勒索软件运营者和伺机而动的攻击者持续不断地试探政府网络。与此同时，合规要求日趋严格，安全失效对运营和声誉造成的后果也愈发严重。

NGINX已从最初的形态发展为涵盖应用交付、安全和优化的综合平台，适用于从传统单体应用到云原生微服务的各种架构。作为集负载均衡器、反向代理、内容缓存、API网关和Kubernetes入口控制器于一体的平台，NGINX部署在现代联邦政府架构的关键节点。

添加F5 WAF for NGINX 和 F5 DoS for NGINX（原名为 NGINX App Protect），在第 7 层提供集成式 Web 应用防火墙（WAF）和拒绝服务（DoS）防护。它可处理 TLS 终止、路由 API 流量、实施访问策略，并为关键任务应用提供负载均衡。NGINX 实例配置不当可能导致安全漏洞。

NGINX STIG实施有何不同

与通用加固指南不同，STIG基于现实攻击模式，以及在防御全球一些频繁遭受攻击的网络过程中积累的宝贵经验制定。NGINX STIG涵盖以下6个关键领域：

访问控制和身份验证：确保只有获得授权的用户和系统才能与NGINX配置及其保护的应用交互。这包括文件权限、客户端证书验证和PIV凭证集成。

加密协议：强制要求至少使用TLS 1.2（首选TLS 1.3）以及经FIPS 140-2验证的密码套件。随着量子计算威胁不断演进，正确实施加密技术是构建安全基础的关键。

全面日志记录： 无法看见，就无法防御。符合STIG要求的日志记录可捕获安全运营中心（SOC）进行威胁检测和事件响应所需的安全相关事件。

安全属性处理：通过代理基础设施正确传递密级和访问控制信息，以实施数据流策略。

请求验证：防范各类Web攻击，包括Slowloris式DDoS攻击和超大请求漏洞利用。

SIEM集成：将NGINX遥测数据接入企业安全监控系统，实现统一可见性。

F5 NGINX Plus：面向联邦任务的企业级功能

运行F5 NGINX Plus的组织可以使用企业级功能，从而更轻松地实现并持续满足STIG合规要求。主动运行状况检查可确保后端可用性。原生JWT验证可保护API流量。可通过客户端证书身份验证锁定动态配置API，以安全管理服务器集群。

对于强制要求通过联邦信息处理标准（FIPS）140-2验证的美国联邦环境，NGINX Plus与经过验证的OpenSSL模块配合使用时，支持以符合FIPS要求的方式运行。这可确保加密操作满足处理政府敏感数据的严格要求。（有关实施详情，请参阅NGINX Plus FIPS合规性文档。）

这些功能均直接对应具体的STIG要求，同时可减轻团队的运维负担。

超越合规：构建可防御的基础设施

成效显著的联邦IT团队将实施STIG视为机遇，而非义务。这不仅能满足审计要求，其真正价值还体现在具备以下特性的NGINX部署中：

• 默认抵御常见攻击模式。
• 提供快速事件响应所需的可见性。
• 与零信任架构顺畅集成。
• 随着任务需求不断变化，安全扩展规模。

了解实施详情

准备好深入了解技术细节了吗？DevCentral团队已发布一份全面的实施指南，其中涵盖各个STIG类别的配置示例、代码片段和最佳实践。

阅读完整技术指南：“实施F5 NGINX STIG：DoD安全合规实用指南”

无论是从头开始，还是加固现有部署，该指南都能提供实现并持续满足STIG合规要求所需的实用细节。

关于作者

Bill Church联邦业务现场首席技术官

Bill Church 的更多博客文章