借助NGINX App Protect WAF中的全新机器学习功能保护Kubernetes集群

NGINX | 2022年6月02日

Thelen Blum高级产品营销经理，NGINX App Protect | F5

现代应用团队日益认识到“安全左移”的重要性及其优势，即在应用开发和部署周期的早期阶段引入安全控制。在安全左移的模式下，每个团队都会选择最适合其应用的安全解决方案和参数。这当然合情合理；NGINX主张设立平台运维团队，由该团队主动筛选一组适当的安全解决方案，为开发人员提供“有边界的选择”。随后，开发人员需要为自己的应用配置安全措施，通常包括部署Web应用防火墙（WAF），即使是面向内部的应用和微服务也不例外。

但在Kubernetes这一现代应用团队广泛采用的容器编排引擎中，安全左移要复杂得多，尤其是通信和协调方面面临巨大挑战。要求开发人员管理多个集群之间的通信并不现实。此外，在Kubernetes中部署Web应用防火墙（WAF）时，还需要考虑架构和性能因素。使用NGINX App Protect WAF，既可以将WAF与NGINX Ingress Controller集成，也可以在特定微服务或应用前单独部署WAF。

拓扑图显示NGINX App Protect WAF的部署方式：部署在Kubernetes集群前端并搭配负载均衡器、与NGINX Ingress Controller集成，以及部署在各个Pod或微服务前端

这两种方法各有优势，分别适用于不同的用例。对于只需管理自有应用的开发人员和应用团队，在应用前端的NGINX Plus负载均衡器上部署NGINX App Protect WAF是一种合适的解决方案，可提升控制力和敏捷性。对于希望在Pod或服务级别管理Kubernetes集群及其中所运行应用的安全性的DevSecOps团队，在基于NGINX Plus的NGINX Ingress Controller上运行NGINX App Protect WAF更为合适，既能充分发挥Ingress控制的优势，又能与Kubernetes API原生集成。

不过，正如前文所述，要在不同集群之间甚至集群内部的负载均衡器、Ingress控制器和WAF之间建立通信并非易事。这需要深入了解第7层和第4层网络，并持续进行调优。尽管如此，稳健且近乎实时的通信对于保持良好的安全态势至关重要。建立适当的通信机制后，WAF、负载均衡器和Ingress控制器可以快速向所有应用和实例通报新攻击，并共享攻击类型、攻击所针对的协议和软件、相关IP地址块等数据。引入机器学习（ML）以快速识别模式后，这种通信机制将发挥更大作用。

NGINX App Protect WAF中的全新自适应违规评级功能

NGINX App Protect WAF内置功能丰富的机器学习系统，便于同一组织中的平台运维、DevSecOps和安全运维团队在由NGINX Plus或基于NGINX Plus的NGINX Ingress Controller管理的所有WAF之间共享攻击趋势和数据。我们正在为NGINX App Protect WAF开发一项新功能，即Adaptive Violation Rating。该功能进一步利用机器学习，通过检测微服务行为何时发生变化来改进安全调优。借助这项机器学习功能，NGINX App Protect WAF可以持续自动分析攻击趋势，即使涉及分布在全球的数千乃至数万个WAF也不例外。分析结果可用于近乎实时地持续调整安全态势，无需开发人员和其他左移团队成为安全专家，也无需反复调整其WAF。更重要的是，NGINX App Protect WAF实例之间共享的数据越多，WAF就越智能。

展示NGINX App Protect WAF Adaptive Violation Rating功能工作原理的示意图

随着企业扩大微服务的使用范围，内部应用与外部应用之间的界限日益模糊，机器学习能力也变得越来越重要、更具价值。企业可能拥有数千个微服务，每个微服务都有自己的轻量级WAF。此时，互联且支持机器学习的NGINX App Protect WAF就如同一个持续守护应用的智能安全大脑。现代应用必须更加智能，才能适应左移团队的需求，让他们无需成为安全专家，也能专注于交付代码和功能。DevSecOps团队同样可以更加安心，因为即使不进行手动调优，所有集群中的全部WAF也能保持一致。

沟通是关键。我们正在所有产品中构建这一核心功能，以便在大规模分布式计算和现代应用快速发展的时代，持续提供更出色的技术。

如需详细了解我们将为NGINX App Protect WAF新增的机器学习功能并观看演示，欢迎下周在旧金山举行的RSA Conference 2022期间前往Moscone Center北厅的#5771展位，或联系我们。