云原生网关如何实现安全防护能力

本文涉及的产品
服务治理 MSE Sentinel/OpenSergo,Agent数量 不受限
可观测可视化 Grafana 版,10个用户账号 1个月
简介: 云原生网关如何实现安全防护能力

作者:刘晓瑞(钰诚)


云原生网关:将安全、流量和微服务三合一


作为面向南北向的公网网关,使用 Waf 防护异常流量是很常规的需求,而且随着互联网环境变得越来越复杂,用户对防护的诉求是持续增强的,常规做法是将流量先接入 Waf 安全网关,过滤后再将流量转发给流量网关,最后到达微服务网关,一个典型的多层网关架构如下图所示:



在这个架构中,用 WAF 网关实现安全能力,Ingress 网关实现集群入口网关能力(非 K8s 场景或会部署一层 Nginx),SCG(Spring Cloud Gateway) 实现微服务网关能力。这样的架构下,需要对每一层网关都进行容量评估,每一层网关都是潜在的瓶颈点,都可能需要进行扩容。这样造成的资源成本和运维人力成本都是巨大的。并且每多一层网关,就多一层可用性风险。一旦出现可用性问题,多层网关会导致问题定位复杂度显著上升,对应的平均故障恢复时间(MTTR)将大幅增加。


云原生网关提出了将安全、流量、微服务网关三合一的概念,架构如下图所示:



采用云原生网关三合一的架构,可以显著降低成本,并提高系统整体可用性。同时这也符合 DevSecOps 的微服务演进趋势,微服务开发者可以更多地从业务接口视角关注安全性,而不是采用所有路由一刀切的 WAF 防护模式。


云原生网关技术架构演进的过程如下图所示:



技术架构演进的背后是组织架构演进,这也是微服务 DevOps 一直在强调的,要围绕开发者为核心,从而提升微服务开发效率。向 DevSecOps 演进并没有捷径,依然需要开发角色和运维角色之间的双向奔赴,打破传统开发与运维之间的壁垒,形成从开发、部署、安全运营这样一个全功能化的敏捷团队。


云原生网关安全防护实践


云原生网关以 WAF 插件形式提供安全能力,实现了基于 ModSecurity 的规则防护引擎,可以根据用户配置的规则屏蔽可疑请求,并支持 OWASP CRS,为站点提供基础的防护功能。


插件配置说明

插件使用简单,并且支持路由级/域名级细粒度防护,配置字段包括:


名称 数据类型 填写要求 默认值 描述
useCRS bool 选填 false 是否开启 OWASP CRS,详情可参考 coreruleset[1]
secRules array of string 选填 - 用户自定义的 waf 防护规则,语法规则可参考 ModSecurity 中文手册[2]


配置示例如下:

1. 启用默认配置,进行拦截


useCRS: true


2. 启用默认配置,仅观测,不拦截


useCRS: true
secRules:
  - "SecRuleEngine DetectionOnly"


3. 自定义防护规则


useCRS: true
secRules: 
  - "SecRule REQUEST_URI \"@streq /admin\" \"id:101,phase:1,t:lowercase,deny\""
  - "SecRule REQUEST_BODY \"@rx maliciouspayload\" \"id:102,phase:2,t:lowercase,deny\""


根据该配置,以下请求将被禁止访问:


curl http://example.com/admin
curl http://example.com -d "maliciouspayload"


4. 对特定路由或域名开启


useCRS: true
secRules: 
  - "SecRule REQUEST_URI \"@streq /admin\" \"id:101,phase:1,t:lowercase,deny\""
  - "SecRule REQUEST_BODY \"@rx maliciouspayload\" \"id:102,phase:2,t:lowercase,deny\""
_rules_:
- _match_route_:
    - "route-1"
  secRules:
    - "SecAction \"id:102,phase:1,deny\""
- _match_domain_:
    - "*.example.com"
    - test.com
  secRules:
    - "SecAction \"id:102,phase:1,pass\""


此例 _match_route_ 中指定的 route-1 即在创建网关路由时填写的路由名称,当匹配到这两个路由时,将使用此段配置;此例 _match_domain_ 中指定的 *.example.com 和 test.com 用于匹配请求的域名,当发现域名匹配时,将使用此段配置;配置的匹配生效顺序,将按照 _rules_ 下规则的排列顺序,匹配第一个规则后生效对应配置,后续规则将被忽略。


开启插件

选择一个网关实例,点击插件市场,搜索 waf,点击进入插件配置界面:



在控制台填写 WAF 防护规则,启动 WAF 插件:



可以在插件日志一栏查看插件产生的日志(下图为 shell 注入攻击时 WAF 插件产生的日志):



攻防示例

向网关发送简单的 web 攻击请求,示例如下:


1. shell 注入攻防示例


2. sql 注入攻防示例


3. 远程文件包含(RFI)攻防示例


4. xss 攻防示例


5. php 注入攻防示例


整体防护能力评估

GoTestWAF[3]是一款 API 和 OWASP 攻击模拟工具,支持包括 REST、GraphQL、gRPC、WebSockets、SOAP、XMLRPC 等多种 API 协议,旨在评估 Web 应用安全解决方案,如 API 安全代理、Web 应用防火墙(WAF)、IPS、API 网关等。该工具使用放置在 HTTP 请求不同部分的编码有效负载生成恶意请求:其正文、标头、URL 参数等,涵盖了常见的各种攻击类型,多种攻击测试结果如下图所示,测试结果表明 WAF 插件能够有效检测各种攻击类型的非法请求。



GoTestWAF 提供了基于 ModSecurity 的四个 benchmark,benchmark 中 paranoia 表示防护等级,数值越大,防护等级越高,overall score 得分越高。WAF 插件的 overall score 为 74.1,超过了防护等级最高的 benchmark,表明插件具有较好的防护能力。



阿里云 Web 应用防火墙


云原生网关提供的免费 WAF 插件仅支持基础的防护规则,如您有更高的防护需求,可选购阿里云 Web 应用防火墙[4],在拥有更高的防护能力、更高的性能之外,还能为您的应用购买一份保险。


在 WAF 控制台[5]可以管理防护规则:



在接入管理一栏可以配置网关实例的接入:



也可以在网关实例处配置接入 WAF:



相关链接:

[1] coreruleset

https://github.com/coreruleset/coreruleset/tree/v3.3.2?spm=5176.mse-ops.0.0.ef3f142fSPw8XV&file=v3.3.2

[2] ModSecurity 中文手册

https://help.aliyun.com/document_detail/121053.html

[3] GoTestWAF

https://github.com/wallarm/gotestwaf

[4] 阿里云 Web 应用防火墙

https://help.aliyun.com/document_detail/446889.html

[5] WAF 控制台

https://account.aliyun.com/login/login.htm?oauth_callback=https%3A%2F%2Fyundun.console.aliyun.com%2F%3Fp%3Dwafnew

相关实践学习
部署高可用架构
本场景主要介绍如何使用云服务器ECS、负载均衡SLB、云数据库RDS和数据传输服务产品来部署多可用区高可用架构。
负载均衡入门与产品使用指南
负载均衡(Server Load Balancer)是对多台云服务器进行流量分发的负载均衡服务,可以通过流量分发扩展应用系统对外的服务能力,通过消除单点故障提升应用系统的可用性。 本课程主要介绍负载均衡的相关技术以及阿里云负载均衡产品的使用方法。
相关文章
|
6月前
|
JSON 缓存 监控
基于云原生网关的流量防护实践
本文详尽地介绍了如何在云原生网关上做流量防护,包括在不同的场景下该配置何种防护规则,并给出了详细的使用路径,可以从中体验出云原生网关的流量防护功能相对于其它网关产品限流功能的优势。作为云上网关的核心功能之一,后续我们也会持续强化流量防护功能,也欢迎大家持续关注阿里云官网的 MSE 微服务引擎产品动态。
|
5月前
|
SQL 监控 Cloud Native
基于云原生网关插件实现WAF防护能力
一起体验云原生网关开箱即用,支持热插拔的WAF防护能力,同时您将掌握云原生网关上的插件使用方式
396 0
|
5月前
|
运维 监控 Cloud Native
云原生网关可观测性综合实践
云原生网关可观测性综合实践
|
6月前
|
运维 Cloud Native Java
云原生网关的对比测评
云原生网关的对比测评
215 2
|
7月前
|
运维 安全 Cloud Native
云原生网关如何实现安全防护能力
采用 Higress 三合一的架构,可以显著降低成本,并提高系统整体可用性。
云原生网关如何实现安全防护能力
|
8月前
|
缓存 安全 Java
开放网关架构演进
开放网关架构演进
154 0
|
8月前
|
人工智能 Kubernetes Cloud Native
阿里云微服务引擎负责人李艳林:云原生网关当道,会带来哪些改变
阿里云微服务引擎负责人李艳林:云原生网关当道,会带来哪些改变
6812 2
阿里云微服务引擎负责人李艳林:云原生网关当道,会带来哪些改变
|
9月前
|
运维 Kubernetes Cloud Native
《云原生架构容器&微服务优秀案例集》——05 金融—— 费芮互动 通过 MSE 完成移动支付应用稳定性和安全性双提升
《云原生架构容器&微服务优秀案例集》——05 金融—— 费芮互动 通过 MSE 完成移动支付应用稳定性和安全性双提升
232 0
《云原生架构容器&微服务优秀案例集》——05 金融—— 费芮互动 通过 MSE 完成移动支付应用稳定性和安全性双提升
|
11月前
|
运维 Kubernetes Cloud Native
洛神云网络集中式网关ACMG最佳实践
洛神云网络集中式网关ACMG最佳实践
310 1
洛神云网络集中式网关ACMG最佳实践
|
11月前
|
弹性计算 负载均衡 Cloud Native
Soul 云原生网关最佳实践
Soul 是基于兴趣图谱和游戏化玩法的产品设计,属于新一代年轻人的虚拟社交网络。成立于2016年,Soul 致力于打造一个“年轻人的社交元宇宙”,最终愿景是“让天下没有孤独的人”。
Soul 云原生网关最佳实践

相关产品

  • 云消息队列 Kafka 版
  • 云消息队列 MQ
  • 微服务引擎