F5 BIG-IP平台安全

简介

随着应用和网络攻击不断演变，复杂程度日益提高，防御难度也越来越大，确保数据安全已成为各种规模组织面临的紧迫问题之一。引发广泛关注的数据泄露和安全事件可能损害组织声誉，并对其业务造成重大影响。

自F5 BIG-IP平台推出以来，安全性一直是所有设计和架构决策的首要考量因素。此后的每个版本或新产品都采用了更安全的默认设置，融入了更多安全相关功能，并接受了更严格的安全测试、保障和认证。随着安全威胁不断增加，F5持续将最佳实践应用于新产品和收购的产品，以确保网络、应用和数据的安全。如今，F5产品已成为战略控制点，用于管理组织的关键信息流，同时通过提升性能和安全性，改进基于Web的应用交付。

在评估整体安全态势时，组织必须考虑两个结构性因素：安全的软件开发生命周期，以及应用交付网络内置的安全功能。F5在这两方面发挥引领作用并提供相应产品，帮助应对当前新的安全挑战，保护身份、应用和敏感数据，同时尽可能缩短应用停机时间并提高最终用户的工作效率。

安全软件开发生命周期

真正安全的系统涉及诸多因素，而设计和编码是其中的两大基础支柱。F5安全软件开发生命周期（SDLC）有助于确保所有产品均按照严格的安全标准构建，并在发布前经过全面测试。

图1：安全软件开发生命周期

设计

可靠的安全保障始于产品开发流程的早期阶段。在编写任何代码之前，F5产品开发团队会开展全面的威胁建模评估。架构师会评估每项新功能，以确定其可能产生或给系统引入哪些漏洞。

在设计阶段只需1小时即可修复的漏洞，到了编码阶段可能需要10小时，而在产品发布后则可能需要1,000小时。因此，在开发流程早期发现漏洞至关重要。威胁建模评估通常会讨论如何定义和审查安全边界、缩小威胁面，以及安全相关功能在设计和实施方面的最佳实践。

构建

设计完成后，便开始编码。所有F5开发人员都接受过全面的安全编码流程培训。但面对软件和网络漏洞利用，即使是最小的错误也可能造成严重后果。F5开发人员定期与安全团队开展代码审查，并使用静态代码分析工具识别常见问题。编码标准和最佳实践有助于开发人员避免常见的安全隐患。

测试

安全测试耗时耗力，对任何组织而言都是一项艰巨的任务。在F5，安全团队与开发团队通力协作，帮助确保投放市场的每款软件都具备较高的安全性。

内部测试

内部安全团队通过模拟攻击者尝试入侵BIG-IP平台来开展渗透测试。此外，F5还会对所有程序进行模糊测试。模糊测试用于评估程序如何处理格式错误的输入，例如过长或过短的网络数据包，或包含错误数据的输入。大多数输入都能得到妥善处理，但有些可能会导致异常，还有一些则可能暴露严重漏洞。渗透测试和模糊测试有助于尽可能提高F5设备抵御拒绝服务（DoS）攻击和基于代码的攻击的安全性。

此外，F5通过与学术机构合作，不断扩充知识库，以涵盖多种类型的错误，例如：

利用不安全字符串操作逻辑的缓冲区溢出和栈破坏攻击。
动态内存管理函数使用不当。
与整数相关的问题，包括整数溢出、符号错误和截断错误。
引入格式字符串漏洞。
I/O漏洞，包括竞态条件。

第三方扫描和测试

F5采用先进的第三方扫描应用程序，每晚分析源代码，查找多种严重缺陷。在编译时，代码扫描应用程序会查找安全漏洞和缺陷、导致“构建中断”的错误、内存泄漏和内存损坏等导致崩溃的错误，以及新代码引发的不可预测的应用程序行为。源代码扫描还可以发现数据完整性问题和性能瓶颈等非致命缺陷。

多年来，F5还与第三方公司合作，开展多种类型的额外测试：

黑盒测试：在不了解产品信息的情况下测试应用和平台，所掌握的信息仅限于攻击者可从公开文档中获取的内容。
灰盒测试：在掌握部分信息的情况下对应用和平台进行测试，例如了解内部设计，或能够访问内部数据结构及所用算法的相关文档。灰盒测试人员既需要应用的概要说明文档，也需要详细说明文档。
白盒测试（也称为透明盒测试、玻璃盒测试或结构测试）：测试应用的内部结构或运行机制，而非其功能。白盒测试要求测试人员具备深入的系统知识和编程技能。

安全测试工具不断演进，新产品也会陆续推出。F5与多家供应商合作伙伴密切合作，以纳入新协议、扩大测试覆盖范围，并根据不断演变的威胁模型和新发现的漏洞利用方式更新工具。BIG-IP软件通过多项测试后，F5还会在自身的产品环境中使用该软件，以确保其真正达到发布要求。

漏洞响应

尽管采用了威胁建模、安全编码、培训和多种测试，漏洞仍可能出现。在生产环境中发现漏洞后，及时响应至关重要。

F5漏洞响应政策会定期更新，以反映客户要求和行业实践。F5专注于响应安全事件，无论事件是内部发现、通过第三方测试发现，还是由客户报告，都会至少每周跟踪和报告漏洞，以确保正确确定优先级并及时响应。

F5与安全研究人员以及美国国家漏洞数据库、MITRE CVE、CERT协调中心、Redhat、OpenSSL和ISC等专业机构密切合作，以负责任的方式披露漏洞，并提供缓解措施、补丁和漏洞利用防护。过去一年，F5已向公众发布350多份安全公告，内容涵盖帮助了解新出现威胁（例如脚本注入和木马）的文章，以及恶意软件和DDoS攻击防护信息，确保公众能够获取最新的安全信息。

BIG-IP平台中的安全性

BIG-IP平台专为提供更高级别的强化安全防护而构建，并提供多项关键功能，帮助组织增强安全态势：

设备模式
安全保管库
安全增强型Linux（SELinux）
安全认证
DoS防护

BIG-IP平台和F5 TMOS经过专门设计，可让硬件与软件协同工作，在保护企业应用和数据的同时，优化整个网络中的应用交付。

设备模式

Appliance Mode最初专为医疗保健和金融服务等涉及敏感数据的行业企业而设计，如今已广泛应用于各个领域的企业。启用Appliance Mode后，组织可以通过实施以下限制，更有效地控制其网络和应用：

移除对bash shell的访问权限。
限制对配置实用程序和TMSH的管理访问权限。管理员可以使用这些分层命令行实用程序轻松管理和配置BIG-IP系统，并查看统计信息和性能数据。
禁用root登录，防止root用户通过任何方式（包括串行控制台）登录设备。
收紧root账户主目录（/root）中多个文件和目录的权限。默认情况下，新文件仅允许所属用户读取和写入，所有目录的安全性也得到增强。
阻止为BIG-IP系统提供无人值守管理功能的Always-On Management（AOM）子系统访问主机。AOM将只能使用硬件重置命令重置主机。

需要注意的是，启用设备模式后便无法禁用。组织必须获取新许可证，并全新安装软件。管理员可以在BIG-IP GUI配置实用程序的“许可证”屏幕中，确认设备是否正在设备模式下运行。

Secure Vault

SSL私钥是网络中价值较高的资产之一，许多组织对私钥安全有严格要求，需要提供超越简单文件系统保护的安全措施。所有F5硬件设备均提供Secure Vault功能，该功能使用存储在硬件锁中的主密钥保护SSL私钥。因此，即使攻击者从已遭入侵的备份服务器或恶意软件感染事件中恢复了SSL私钥文件，也无法使用该私钥。

每台BIG-IP设备都配有唯一的设备密钥和共享主密钥，两者均为AES 256位对称密钥。每台物理设备的唯一设备密钥都存储在定制的硬件EEPROM中。该设备密钥用于加密主密钥，而主密钥则用于加密SSL私钥、解密SSL密钥文件，以及在BIG-IP设备之间同步证书。在高可用性（HA）配置中，主密钥会随配置同步，因此所有设备共享同一个主密钥，但仍各自拥有自己的设备密钥。主密钥通过Certificate Manager建立的安全通道进行同步。使用主密钥加密的口令只能在生成该主密钥的设备上使用。

vCMP（虚拟集群多处理）来宾也可以使用Secure Vault支持。vCMP支持在一台设备上运行多个BIG-IP软件实例，每个来宾都有自己的单元密钥和主密钥。来宾单元密钥在主机上生成并存储，从而强制实施硬件支持。该密钥受主机主密钥保护，而主机主密钥又受硬件中的主机单元密钥保护。

安全增强型Linux

安全增强型Linux（SELinux）既用于F5开发流程，也用于客户生产环境。它可精简负责执行安全策略的软件，并支持将安全决策的执行与安全策略本身分离。例如，SELinux配置文件可以指示TMOS内核禁止特定进程在任何情况下执行bash shell，从而保护系统免受Shellshock等漏洞的影响。此类漏洞可能使攻击者获得对Web服务器或路由器的控制权。

SELinux还通过提供强制访问控制（MAC）来补充Linux自主访问控制（DAC）系统，从而增强安全性。MAC包括主体的用户、角色和域标签，对象的资源标签，以及由策略定义的主体与对象之间的关系。SELinux控制机制将用户程序和系统服务器的访问范围限制在文件和网络资源内。将权限限制为运行所需的最低限度，可以减少或消除这些程序和守护进程利用缓冲区溢出或配置错误等未知漏洞造成危害的能力。由于MAC独立于Linux自主访问控制机制运行，因此不存在root超级用户这一概念，也就没有传统Linux DAC系统中众所周知的缺陷。

安全认证

联邦机构和金融服务行业（FSI）组织还须遵守其他法规，取得通用准则和FIPS 140-2等安全认证。这些认证以及美国和全球其他安全认证可确保获认证产品符合身份验证、审计、密码技术、管理和安全通信等领域的标准。随着安全领域不断发展，认证标准和要求也会随之变化；因此，大多数认证仅适用于特定的产品版本。

F5紧跟安全领域的变化、最佳实践和不断演进的标准，积极参与国际密码模块大会（ICMC）和国际通用准则大会（ICCC），帮助组织增强安全性并简化合规流程。美国国家标准与技术研究院（NIST）的密码模块验证计划（CMVP）为F5制定密码技术路线图提供指导。

通用准则（CC）

许多F5产品已通过通用准则（CC）认证。该认证是一项全球通行的保障认证，受到世界各地政府机构和企业的采用。已有26个国家/地区签署《相互承认协议》，从而有效确保产品一旦通过认证，即可在任一或所有签署国家/地区以认证产品的名义进行营销。

联邦信息处理标准（FIPS）

联邦信息处理标准（FIPS）由美国国家标准与技术研究院（NIST）制定，供美国政府机构和政府承包商在非军事计算机系统中使用。FIPS 140系列是美国政府计算机安全标准，规定了供美国联邦政府各部门和机构使用的密码模块（包括硬件和软件组件）应满足的要求。

符合FIPS 140-2标准的F5产品使用经FIPS 140-2认证的硬件安全模块（HSM），以满足合规要求。HSM是一种安全的物理设备，旨在生成、存储和保护高价值数字加密密钥。它是一种安全加密处理器，通常采用内置防篡改保护的插卡（或其他硬件）形式。BIG-IP系统包含FIPS加密/SSL加速器，这是一种专为处理SSL流量而设计的HSM选件，适用于要求解决方案符合FIPS 140-1第2级标准的环境。

F5 BIG-IP设备符合FIPS 140-2第2级要求。此安全等级表示，敏感数据导入HSM后，平台会采用加密技术，确保无法以明文格式提取数据。BIG-IP设备还提供防篡改涂层或封条，以阻止物理篡改。BIG-IP平台独特的密钥管理框架可构建高度可扩展的安全基础设施，不仅能处理更高的流量，还便于组织添加新服务。

此外，FIPS加密/SSL加速器使用智能卡对管理员进行身份验证、授予访问权限并分担管理职责，从而以灵活且安全的方式实施密钥管理安全措施。