06-低延时高并发安全防护架构-陈建森

应用安全架构挑战

• 应用架构和安全威胁不断演变，攻击对象、方法和应用架构均发生变化。
• 传统安全防护模型（串联部署、旁路资源池部署、云WAF/SaaS）面临挑战，如增加安全对抗能力困难、降低用户体验、部署复杂、成本增加、延迟大等问题。
• 现代化应用架构（微服务、API优先）与传统WAF防护模型不匹配，传统WAF无法满足当前安全对抗需求。

F5安全架构创新

• F5通过架构创新，保护以API为核心的现代应用，实现运维易防护、全性能好、增加安全对抗能力、提高用户和运营体验。
• F5安全服务引擎提供凭证保护、应用层DoS保护、主动机器人防御、OWASP Top 10防护、脚本攻击防护、威胁对抗、凭证填充、API安全等功能。
• F5安全服务引擎部署模式包括WAF资源池模型、WAFaaS模型和LTM转发流量到AWAF模型。
• F5安全服务引擎以API方式集成应用安全服务，支持七层代理、LTM+DDoS边界安全防护、API Gateway等。

低延迟高并发模型详解

• 低延迟高并发安全防护架构通过流量复制方案实现，正常模式下用户与F5、F5与服务器建立连接，复制模式下F5复制用户报文并在到WAFaaS的连接通道中转发。
• WAF as a Service架构组成包括七层应用网关、客户端应用服务器、WAF规则引擎和外部请求。
• LTMSideband建链能力针对每个请求阻塞，发起sideband连接，实现实时安全评估。
• 自定义响应文件功能允许针对异常请求或所有请求自定义返回的响应内容，支持HTML和JSON格式。

方案价值总结

• WAFaaS模型提供低延迟、高性能、高灵活性的安全防护，可按需调用WAF服务并定制响应内容。
• WAFaaS模型与传统WAF资源池和串联模式相比，具有更好的扩展性、性能表现和部署容易程度。
• WAFaaS模型实现无侵入的数据包处理过程，只对请求做安全评估，可设定检查的超时时间保障业务连续性。