F5 NGINX ModSecurity WAF 即将终止使用

在过去的五年里，F5 NGINX 一直很高兴为我们的客户提供用于 NGINX Plus 的 NGINX ModSecurity WAF 模块，并使用 OWASP ModSecurity 核心规则集 (CRS) 支持针对标准类别的漏洞。 然而，由于最近对 ModSecurity WAF 的第三方支持发生了变化，我们很遗憾地宣布，NGINX ModSecurity WAF 将于2024 年 3 月 31 日起停止使用(EoL)。

我们做出这一决定的部分原因是，负责维护 ModSecurity 的组织Trustwave 最近宣布，自2024 年 7 月 1 日起，它将：

• 停止支持 ModSecurity 开源源代码和 WAF
• 将维护 ModSecurity 代码的责任交还给开源社区
• 不再提供商业规则

此外，虽然 OWASP ModSecurity 核心规则集 (CRS) 项目计划继续支持 ModSecurity，但它正在将重点转向名为 Coraza 的新 WAF ，因为考虑到 Trustwave 采取的行动和宣布的支持变更，人们对 ModSecurity 项目的可行性感到担忧。

NGINX ModSecurity WAF 基于开源 ModSecurity v3，并得到我们的支持和测试，确保 NGINX ModSecurity WAF 模块能够与 NGINX Plus 正常工作。 然而，我们并不维护 ModSecurity 代码本身，并且由于缺乏 Trustwave 的支持以及对开源 ModSecurity 项目的贡献减少，NGINX Plus 客户使用的产品可能无法满足他们对安全性和稳定性的要求。

NGINX 转入终止销售（EoS）状态并于2022 年 4 月 1 日停止销售 NGINX ModSecurity WAF。 如果您是拥有有效许可证的客户，您可以续订订阅并获得全面支持 - 包括对 NGINX ModSecurity WAF 包的更新 - 直至 EoL 日期（2024 年 3 月 31 日） 。 NGINX 计划将 NGINX ModSecurity 包更新至2024 年 3 月 31 日，目的是为客户提供足够的时间迁移到新的解决方案。 您的客户经理将直接与您联系，讨论您未来的应用安全解决方案需求。 如果您想随时联系您的客户经理，请联系我们。 自2023 年 4 月 1 日起，将不再接受续订。

致力于开源仍是 NGINX 的本质

尽管 NGINX ModSecurity WAF 产品正在转向 EoL，但我们仍致力于参与和支持开源社区。 NGINX 重视致力于推动技术进步和完善技术的开源社区成员的协作与创新。 我们相信，开源鼓励更广泛地使用核心基础安全，并通过减少全球应用基础设施的攻击面使我们所有人受益。

本着这些价值观，NGINX 继续领导NGINX 开源和NGINX Unit项目。 我们对我们的安全工作感到非常自豪，同时也认识到需要更广泛的团队来保护我们日常生活中日益依赖的技术结构。 因此，我们很高兴支持直接增强互联网安全性的 OSS 项目，包括赞助OWASP 核心规则集(CRS)、 Let's Encrypt 和 Open SSL项目。

数字化转型是否改变了您的安全需求？

您可能最初选择 NGINX ModSecurity WAF 作为开源 ModSecurity WAF 的支持版本，以保护您的应用免受 OWASP CRS 的一般类别漏洞的侵害，或遵守标准 WAF 实施中的 PCI DSS 合规性要求。 然而，在过去两年中，随着企业和消费者都转向在线购买和消费商品和服务，COVID-19 疫情迫使各组织加快数字化转型以满足需求。

随着针对 Web应用和 API 的网络攻击日益增多，现在可能是重新评估您对 WAF 的需求并实施更全面的保护、可靠性和性能以推动业务增长的正确时机。 我们提供F5 NGINX App Protect WAF作为可随着您的业务扩展的替代安全解决方案。

NGINX App Protect WAF – 为您的现代应用和 API 提供高级安全保护

NGINX App Protect WAF 具有以下几个优点：

• NGINX App Protect WAF 基于 F5 的Advanced WAF（API 安全 - 新一代 WAF）引擎，该引擎已经过数千家企业客户数十年的实战检验。 如果您部署其他 F5 产品，您将获得我们整套安全解决方案的单点支持，其中包括快速的错误修复和规则更新，以及对我们的长期路线图的影响。 此外，您可以轻松地在 F5 解决方案之间移植 WAF 规则，以便为整个基础架构提供一致的保护。
• 默认的 ModSecurity 规则由开源社区成员编写和维护，旨在弥补常见的漏洞。 NGINX App Protect WAF 规则基于 F5 Labs 跟踪的各种漏洞和威胁报告。 其结果是规则更加丰富，提供了更强的应用安全保护，以跟上不断发展的威胁。
• ModSecurity 规则涉及正则表达式的评估，因此您启用的每个附加控制都会直接降低性能——迫使在良好的性能和全面的保护之间做出选择。 NGINX App Protect WAF 规则被预编译为字节码，以实现高性能，无论您启用多少条规则。
• NGINX App Protect WAF 与平台无关，占用空间小，资源需求低，非常适合云部署。
• NGINX App Protect WAF 满足 DevOps 团队的需求，具有“安全即代码”的声明性策略，并且易于集成到您的 CI/CD 工具链中。
• NGINX App Protect WAF 为 Web 应用程序、微服务、容器和 API 提供一致的安全控制。

了解为什么汽车轮胎供应商Reifen.com在需要提高在线性能并满足内部和外部安全和合规标准时选择 NGINX App Protect WAF 而不是 NGINX ModSecurity WAF。 正如 Reifen.com 电子商务顾问 Sascha Petranka 所解释的那样，“我们决定采用 NGINX App Protect WAF，因为它为我们提供了最佳性能、最佳长期解决方案以及 NGINX 和 F5 的综合专业知识。”

通过最佳应用安全性助力您的业务

NGINX App Protect WAF 可以帮助您的组织提高其应用和 API 的安全性和性能，同时拉近 DevOps 和 SecOps 团队的距离。 它是一种轻量级的安全解决方案，使企业能够防止影响收入的攻击、数据盗窃、声誉损害和法规不合规。 要亲自试用 NGINX App Protect WAF，请开始30 天免费试用或联系我们讨论您的用例。