F5 NGINX ModSecurity WAF即将停止支持

NGINX | 2022年5月10日

Thelen Blum高级产品营销经理，NGINX App Protect | F5

过去5年来，F5 NGINX一直为客户提供适用于NGINX Plus的NGINX ModSecurity WAF模块，并通过OWASP ModSecurity核心规则集（CRS）支持防范常见类别的漏洞。但由于第三方对ModSecurity WAF的支持近期发生变化，我们很遗憾地宣布，NGINX ModSecurity WAF将于2024年3月31日起进入生命周期终止（EoL）阶段。

我们作出这一决定，部分原因是一直负责维护ModSecurity的Trustwave近期发布了公告。公告称，自2024年7月1日起，该公司将：

停止支持ModSecurity开源代码和WAF
将维护ModSecurity代码的责任交还给开源社区
不再提供Commercial Rules

此外，尽管OWASP ModSecurity核心规则集（CRS）项目计划继续支持ModSecurity，但其关注重点正逐步转向一款名为Coraza的新型WAF，因为Trustwave采取了相关行动并宣布调整支持方式，引发了对ModSecurity项目可持续性的担忧。

NGINX ModSecurity WAF基于开源的ModSecurity v3，并由我们提供支持和测试，以确保NGINX ModSecurity WAF模块能够与NGINX Plus正常配合使用。不过，我们并不维护ModSecurity代码本身。由于Trustwave不再提供支持，加之对开源ModSecurity项目的贡献减少，NGINX Plus客户使用的产品可能无法满足其安全性和稳定性要求。

NGINX已于2022年4月1日进入停止销售（EoS）阶段，并停止销售NGINX ModSecurity WAF。持有有效许可证的客户可续订订阅，并在生命周期终止（EoL）日期（2024年3月31日）之前获得全面支持，包括NGINX ModSecurity WAF软件包更新。NGINX计划在2024年3月31日之前持续提供NGINX ModSecurity软件包更新，以便为客户留出充足时间迁移到新解决方案。客户经理将直接与您联系，讨论后续的应用安全解决方案需求。如需随时联系客户经理，请联系我们。自2023年4月1日起，将不再接受任何续订。

对开源的执着始终根植于NGINX的基因

尽管NGINX ModSecurity WAF产品即将终止生命周期（EoL），我们仍致力于参与和支持开源社区。NGINX重视开源社区成员的协作与创新，他们致力于推动技术进步和持续改进。我们相信，开源有助于更广泛地采用核心基础安全技术，并通过缩小全球应用基础设施的攻击面，让所有人从中受益。

秉持这些价值观，NGINX继续引领NGINX Open Source和NGINX Unit项目。我们为自身在安全方面所做的努力深感自豪，同时也认识到，要保护日常生活中日益依赖的技术体系，需要更广泛的团队共同参与。因此，我们很高兴支持能够直接增强互联网安全性的OSS项目，包括赞助OWASP核心规则集（CRS）、Let’s Encrypt和Open SSL项目。

数字化转型是否改变了您的安全需求？

您最初选择NGINX ModSecurity WAF，可能是因为它是开源ModSecurity WAF的受支持版本，可在标准WAF实施中使用OWASP CRS保护应用免受常见类型漏洞的影响，或满足PCI DSS合规要求。然而，在过去两年中，随着企业和消费者纷纷转向在线购买和使用商品与服务，COVID‑19疫情迫使各组织加快数字化转型，以跟上需求变化。

随着针对Web应用和API的网络攻击日益增多，现在或许正是重新评估WAF需求的合适时机，并实施更全面的防护，以提供推动业务增长所需的可靠性和性能。我们提供F5 NGINX App Protect WAF作为可随业务扩展的替代安全解决方案。

NGINX App Protect WAF：为现代应用和API提供高级安全防护

NGINX App Protect WAF具有多项优势：

NGINX App Protect WAF基于F5的Advanced WAF引擎。数十年来，该引擎已在数千家企业客户的实际环境中得到检验。如果还部署了其他F5产品，只需通过一个支持渠道，即可获得覆盖F5整套安全解决方案的支持，包括快速修复错误和更新规则，并可对F5的长期路线图提出意见。此外，还可在F5解决方案之间轻松移植WAF规则，从而为整个基础设施提供一致的保护。
默认的ModSecurity规则由开源社区成员编写和维护，旨在涵盖常见漏洞。NGINX App Protect WAF规则基于F5 Labs跟踪的各类漏洞和威胁报告。因此，其规则集更加丰富，可提供更强的应用安全防护，以应对不断演变的威胁。
ModSecurity规则需要对正则表达式进行求值，因此每启用一项额外控制措施，都会直接降低性能，迫使您在良好性能与全面防护之间做出取舍。无论启用多少条规则，NGINX App Protect WAF规则都会预编译为字节码，以保持高性能。
NGINX App Protect WAF不受平台限制，占用空间小、资源需求低，非常适合云部署。
NGINX App Protect WAF可满足DevOps团队的需求，通过声明式策略实现“安全即代码”，并可轻松集成到CI/CD工具链中。
NGINX App Protect WAF为Web应用、微服务、容器和API提供一致的安全控制。

了解汽车轮胎供应商Reifen.com为何在需要提升在线性能并满足内部和外部安全与合规标准时，选择NGINX App Protect WAF而非NGINX ModSecurity WAF。Reifen.com的电子商务顾问Sascha Petranka解释道：“我们决定采用NGINX App Protect WAF，因为它性能出色，能够满足长期需求，还汇聚了NGINX与F5双方的专业能力。”

以适合业务需求的应用安全防护助力业务发展

NGINX App Protect WAF可帮助贵组织提升应用和API的安全性与性能，同时促进DevOps与SecOps团队更紧密地协作。这是一款轻量级安全解决方案，可帮助企业防范影响收入的攻击、数据盗窃、声誉损害和违反监管要求等风险。要亲自体验NGINX App Protect WAF，请开始30天免费试用，或联系我们，讨论您的使用场景。