Erstellen Sie mit F5 VELOS eine sichere Multi-Tenant-Architektur

Unternehmen konzentrieren sich darauf, die Kosten in ihren Unternehmensrechenzentren einzudämmen und gleichzeitig den gestiegenen Anforderungen an die Bereitstellung von Inhalten gerecht zu werden. Da diese Unternehmen eine optimale Auslastung ihrer vorhandenen Infrastruktur anstreben, hat die Gewährleistung von Datensicherheit und Compliance höchste Priorität. Da die Arbeitslasten vieler Unternehmen über lokale, Colocation- und Multi-Cloud-Bereitstellungen verteilt sind, benötigen sie für alle Bereitstellungen eine konsistente Datensicherheitsstrategie. Mithilfe der neuen modernen Architektur von F5 können Unternehmen ihre Pläne zur digitalen Transformation beschleunigen, indem sie die F5-Software modular sowohl in privaten als auch in öffentlichen Clouds bereitstellen und gleichzeitig ihre vorhandenen Funktionen zur Hardwarebeschleunigung beibehalten. Die auf Mikrodiensten basierende Infrastruktur von F5 unterstützt die Anwendungsbereitstellung und Multi-Tenancy-Funktionalität mit umfassender Sicherheit durch Isolierung der Mandanten – alles Eckpfeiler der Adaptive Apps-Vision von F5 .

Jeder dritte Dienstanbieter ist von Problemen mit der Datensicherheit betroffen. Angesichts der zunehmenden Zahl von Datenschutzverletzungen und Bußgeldern aufgrund von Regulierungs- und Compliance-Verstößen möchten Managed Service Provider ihren nachgelagerten Kunden die Gewissheit geben, dass ihr Netzwerkverkehr nicht von anderen Kunden, die auf demselben physischen Gerät gehostet werden, gesehen oder manipuliert werden kann.

Die moderne Architektur von F5 kombiniert die Hochleistungsmerkmale, die Chief Information Officers (CIOs) benötigen, mit der robusten, hochsicheren Struktur, die Chief (Information) Security Officers (CSOs/CISOs) verlangen.

Systeme der vorherigen Generation wie VIPRION boten Virtualisierungslösungen über die vCMP-Technologie. vCMP verfügte über zwei Komponenten, die Mandantenfähigkeit ermöglichten: die vCMP-Hostebene und die vCMP-Gastebene. Die vCMP-Hostfunktionalität war im Wesentlichen ein benutzerdefinierter Hypervisor, der es F5-Plattformen ermöglichte, virtuelle Instanzen von BIG-IP auszuführen, die als Gäste bezeichnet wurden.

VELOS bietet hinsichtlich Konfiguration und Bereitstellung ein ähnliches Modell wie vCMP, verfügt jedoch über eine andere Technologie. VELOS verwendet die Begriffe „Mieter“ oder „Mieterschaft“, um die Virtualisierungsfunktionen innerhalb des Gehäuses zu beschreiben. Die F5OS-Plattformschicht in VELOS ist kein Hypervisor, sondern eine echte Microservices-Schicht mit einem zugrunde liegenden Kubernetes-Framework für die Verwaltung. F5OS implementiert Multi-Tenancy durch den Einsatz der KubeVirt-Technologie, um die Ausführung von BIG-IP-Instanzen als virtuelle Maschinen (VMs) auf der Microservices-Ebene zu ermöglichen. Auf diese Weise können Kunden vorhandene BIG-IP-Instanzen oder Gäste auf VELOS-Mandanten migrieren, ohne die Art und Weise ändern zu müssen, wie sie ihre Mandanten verwalten.

Die VELOS-Architektur unterstützt auch die nächste Generation der BIG-IP-Software – BIG-IP Next. Anstatt BIG-IP-Instanzen als VM auf einer Containerumgebung auszuführen, wird BIG-IP Next als Sammlung von Containern innerhalb der nativen Containerumgebung ausgeführt.  Unterstützte Mandanten auf einem VELOS-Chassis können BIG-IP mit TMOS und BIG-IP Next in Containern auf F5OS sein, um nahtlose Tests und Versionsmigration auf derselben Plattform zu ermöglichen.

Die Mandantenkonfiguration in VELOS ist fast identisch mit der Bereitstellung eines vCMP-Gastes. Der Administrator weist dem Mandanten einen Namen zu, wählt eine auszuführende Softwareversion aus und weist vCPU- und Speicherressourcen zu. VELOS-Mandanten verwenden dedizierte CPU- und Speicherressourcen, genau wie vCMP-Gäste.

VELOS bietet eine zusätzliche Isolationsebene durch eine Gehäusepartitionierungsfunktion, die es Administratoren ermöglicht, Blades zu gruppieren und voneinander zu isolieren. Jeder Blade kann eine eigene isolierte Gehäusepartition sein oder mit anderen Blades gruppiert werden, um größere Gehäusepartitionen bis zur maximalen Anzahl von Blades innerhalb des Gehäuses zu bilden. Die Gehäusepartitionierung bietet eine zusätzliche Isolationsebene, die die physische Vernetzung einschließt. Mit vCMP war das physische Netzwerk auf der Hostebene für alle Gäste zugänglich, obwohl es durch die VLAN-Mitgliedschaft eingeschränkt sein konnte. Mit der Mandantenfähigkeit und den Chassis-Partitionen von VELOS haben Mandanten innerhalb einer Chassis-Partition nur Zugriff auf das physische Netzwerk innerhalb der Chassis-Partition, auf der sie gehostet werden. Der Zugriff auf Netzwerke innerhalb anderer Gehäusepartitionen ist ihnen nicht gestattet. Sie sind immer noch durch VLANs eingeschränkt, genau wie vCMP, aber die Chassis-Partition sorgt für eine weitere Trennung in den unteren Schichten.  VELOS isoliert Chassis-Partitionen zusätzlich durch die Trennung des Administratorzugriffs, sodass jede Chassis-Partition ihren eigenen Benutzerzugriff und ihre eigene Authentifizierung verwaltet.

Chassis-Administratoren können auf die Out-of-Band-Verwaltungsschnittstellen der Systemcontroller zugreifen. Sie können außerdem Gehäusepartitionen konfigurieren und Benutzerrechte für den Zugriff auf diese Partitionen zuweisen.

Chassis-Partitionsadministratoren konfigurieren die In-Band-Netzwerkinfrastruktur für die Blades in der Partition, die Schnittstellen, Link Aggregation-Gruppen und VLANs umfasst. Sie können außerdem Mandanten-Lebenszyklen innerhalb der ihnen zugewiesenen Chassis-Partition bereitstellen und verwalten. Ein Chassis-Partitionsadministrator hat keinen Zugriff auf andere Chassis-Partitionen im System, sodass nicht nur auf der Mandantenebene, sondern auch auf den unteren Netzwerkebenen eine sichere Isolierung gewährleistet ist.

Mandantenadministratoren sind für die Konfiguration der Dienste innerhalb des Mandanten verantwortlich. Mandantenmanager haben Zugriff auf sämtliche Verwaltungsfunktionen, die ein BIG-IP-Mandant bereitstellt. Dies ähnelt dem Zugriff auf einen vCMP-Gast. Es ist unabhängig vom Zugriff auf die untere Plattformebene und wird innerhalb der TMOS-Instanz (oder des Mandanten) gesteuert.

Eine moderne, auf Microservices basierende Architektur unterstützt Unternehmen, die ihre Rechenzentren digital transformieren möchten. Die Fähigkeit zur Innovation und schnellen Reaktion ist das Ziel der digitalen Transformation und der Modernisierung von Rechenzentren. Immer mehr Dienstanbieter und Betreiber von Unternehmensrechenzentren stellen Workloads über On-Premise-, Colocation- und Multi-Cloud-Modelle bereit, um den steigenden Anforderungen an die App-Bereitstellung gerecht zu werden. Die Verbesserung der Nutzungsraten und der Datensicherheit wird dabei immer wichtiger. Die auf Mikroservices basierende Architektur von F5 bietet Unternehmen eine bessere Kapitalauslastung und gewährleistet gleichzeitig die Einhaltung von Datensicherheitsstandards.

Längere Bereitstellungszeiten, Einschränkungen bei der Kapazitätserweiterung und Verstöße gegen die Datensicherheit sind die größten Probleme, mit denen Unternehmen konfrontiert sind. Um menschliche Fehler zu reduzieren, wird kontinuierlich in Automatisierungs- und Fernüberwachungstechnologie investiert.

Für Dienstanbieter haben die 5G-Bereitschaft und die Verbesserung der Teilnehmer- und Netzwerkleistung höchste Priorität. Darüber hinaus benötigen sie eine Skalierbarkeit der Ressourcen, um die zunehmende Last jetzt und während der Migration von 3G oder 4G LTE zum 5G Edge zu bewältigen und gleichzeitig die Anwendungs- und Ressourcenisolierung sicherzustellen.

F5 hat das VELOS-Chassis-System entwickelt, um Unternehmen dabei zu unterstützen, die Anwendungsleistung, Fehlertoleranz und API-Verwaltungsfunktionen zu verbessern.

F5OS bietet zusammen mit der VELOS-Plattform eine bessere Ressourcennutzung, Automatisierungsmöglichkeiten und umfassende Verteidigungssicherheit. Um die Ressourcennutzung zu verbessern, unterstützt VELOS mehrere Mandantencluster auf einem einzigen Gerät. Eine neue Methode zur Chassis-Partitionierung bietet zusammen mit einer detaillierten Ressourcenzuweisung ein einfacheres Betriebsmodell. Durch die API-First-Architektur können Kunden die Bereitstellung ihres BIG-IP-Systems automatisieren und so die Anwendungsverwaltung und Automatisierungsaktivitäten vereinfachen. VELOS unterstützt mehrere Ebenen der Anwendungssicherheit, um den Umfang eines Exploits einzuschränken. VELOS unterstützt außerdem eine Kombination aus physischen und softwarebasierten Defense-in-Depth-Sicherheitsmechanismen zum Schutz von Prozessen, zur sicheren Zugriffskontrolle und zur Isolierung von Netzwerken.

Managed Service Provider haben außerdem festgestellt, dass die Sicherheit der Mandanten es ihren nachgelagerten Kunden ermöglicht, die isolierten Segmente ihrer eigenen Dienste unabhängig zu verwalten. Beispielsweise kann ein nachgelagerter Kunde F5 Advanced Web Application FirewallTM (WAF) oder BIG-IP® Advanced Firewall ManagerTM (AFM) von einer anderen Mandanteninstanz ausführen, die in derselben Partition ausgeführt wird, um seine Anwendung zu sichern, während ein anderer Kunde möglicherweise F5 BIG-IP Access Policy Manager (APM) ausführt, um Zugriffskontrolle und Authentifizierung für seine Netzwerkdienste bereitzustellen.

Sicherheit ist in jeden Aspekt von VELOS integriert. Während der Konzeption und Entwicklung von VELOS untersuchten die Produktentwicklungs- und Sicherheitsteams von F5 sämtliche Angriffsflächen und führten eine Bedrohungsmodellierung durch – die umfassendste Sicherheitsbewertung in der Geschichte von F5.

Die Chassis-Partitionierung ist eine der Multitenancy-Lösungen, die F5 anbietet. Durch die Chassis-Partitionierung können Kunden Partitionen auf einzelnen Blade-Ebenen erstellen und die Blades zu einer einzigen verwalteten Einheit gruppieren. Jede Chassis-Partition verfügt über einen eigenen Verwaltungsstapel und eine eigene Datennetzwerkkonnektivität und isoliert somit die auf jeder dieser unterschiedlichen Partitionen gehosteten Mandanten.

Die F5OS-Plattformschicht sorgt durch die Nutzung von SCC-Profilen (Security Context Constraint) und dem Seccomp-Modus (Secure Computing) für eine Isolierung zwischen den innerhalb der Gehäusepartition ausgeführten Anwendungen und der darunterliegenden Hardware. Darüber hinaus beschränken die Standardeinstellungen von Security-Enhanced Linux (SELinux) den Zugriff des Mandantendienstes auf Hostressourcen. Authentifizierung und Benutzerverwaltung beschränken den Anwendungszugriff durch die Erstellung separater Rollen für Chassis-Administrator, Partitionsadministrator und Tenant-Administrator. Die auf einem schreibgeschützten Dateisystem erstellte Hostebene verhindert darüber hinaus den Ausbruch von Mandanten.

Trusted Platform Module (TPM) (ISO/IEC 11889) ist ein internationaler Standard für einen sicheren Kryptoprozessor, einen dedizierten Mikrocontroller, der zur Sicherung von Hardware durch integrierte kryptografische Schlüssel entwickelt wurde. F5 implementiert die TPM-Verwahrungskette und -Bestätigung mithilfe des TPM 2.0-Chipsatzes, Linux Trusted Boot (tboot) und der Intel TXT-Technologie. Der TPM-Chip führt bei jedem Systemstart bestimmte Messungen durch. Diese Messungen umfassen die Erstellung von Hashes des größten Teils des BIOS-Codes, der BIOS-Einstellungen, der TPM-Einstellungen, von Tboot, der anfänglichen Linux-RAM-Disk (initrd) und des Linux-Kernels (die anfängliche VELOS-Version validiert nur das BIOS), sodass alternative Versionen der gemessenen Module nicht so einfach erstellt werden können und die Hashes zu identischen Messungen führen. Sie können diese Messungen zur Validierung anhand bekannter guter Werte verwenden.

Beide Systemcontroller sowie alle Blades (BX110) verfügen über einen TPM 2.0-Chipsatz. Bei der ersten VELOS-Version erfolgt die lokale Bestätigung automatisch beim Systemstart und kann in der Befehlszeilenschnittstelle (CLI) angezeigt werden. In Zukunft wird F5 Remote-Attestierung und Attestierung für den Linux-Kernel und initrd hinzufügen.

Administratoren können das VELOS-System weiter sperren, indem sie den Appliance-Modus aktivieren. Der Appliance-Modus ist ein Sicherheitsmodell, das speziell für staatliche und finanzielle Sicherheitsanforderungen entwickelt wurde. Der Appliance-Modus entfernt den Zugriff auf die zugrunde liegende System-Shell und erschwert dadurch die Skriptausführung erheblich. Der Zugriff auf das zugrunde liegende System-Root-Konto wird ebenfalls entfernt, um alle Benutzer durch das Authentifizierungssystem zu zwingen.  In VELOS kann der Appliance-Modus für die F5OS-Plattformebene und auch innerhalb jedes bereitgestellten Mandanten aktiviert werden.  Ein Administrator kann den Appliance-Modus auf Systemcontrollerebene, für jede Gehäusepartition und für jeden Mandanten aktivieren. Dieser Modus wird durch Konfigurationsoptionen auf jeder Ebene und nicht durch eine Lizenz gesteuert, wie dies in einigen VIPRION-Umgebungen der Fall ist.

Zusammenfassend sind die wichtigsten Sicherheitsfunktionen der Plattform:

• Trennung und Abgrenzung innerhalb des Chassis durch Chassis-Trennwände
• Isolierung der Gehäusepartition, Beschränkung des Zugriffs auf eine bestimmte Gruppe von Benutzern
• Hardware-Sicherheit durch Trusted Platform Module (TPM)
• Appliance-Modus, der die Ausführung von Skripts und Root-Angriffe verhindert
• Signaturüberprüfung, die nur von F5 signierte Software-Images zulässt

Diese Funktionen sichern die Plattformebene vor externen Bedrohungen. Die Mieter selbst verfügen über eigene Sicherheitssubsysteme.

Mit der Multitenancy-Funktionalität wird die Isolierung der Mandanten zu einem wichtigen Anliegen. Sowohl Dienstanbieter als auch Unternehmenskunden, die mehrere Mandanten auf demselben Gerät hosten, benötigen eine Isolierung zwischen den Ressourcen, die verschiedenen Mandanten gehören. F5 gewährleistet die Sicherheit von Mandant zu Mandant durch die Bereitstellung mehrschichtiger Sicherheitskonfigurationen.

Um die Bedrohungsfläche zu minimieren, dürfen nur vertrauenswürdige Mandantendienste von F5 wie BIG-IP Local Traffic ManagerTM (LTM), BIG-IP DNS (GTM) und BIG-IP Advanced WAF eingesetzt werden. Die Signaturüberprüfung hilft dabei, den Download und die Installation des F5-Dienste-Image zu autorisieren. Wenn die Signaturüberprüfung fehlschlägt, wird die Softwareinstallation abgebrochen. Dadurch wird das Risiko böswilliger Aktivitäten zur Fehlkonfiguration der Ressourcen eliminiert.

Die Isolierung zwischen den Mandanten und den Ressourcen der Hostebene, wie z. B. Prozessen, Netzwerken und Dateisystemen, wird durch die Nutzung verschiedener Sicherheitsmechanismen, wie z. B. SCC-Profilen und dem Seccomp-Modus, gewährleistet. Mieter haben eindeutige Mieter-IDs zur Verkehrsisolierung. Mandantenadressierung, IP-Tabellenkonfigurationen und die Isolierung von Broadcastdomänen wirken zusammen, um die Mandantenisolierung zu erzwingen.

Jeder Mandant bietet ein rollenbasiertes Zugriffskontrollsystem (RBAC) zur Kontrolle des Benutzerzugriffs auf Schlüssel, Anwendungen, Sicherheitsrichtlinien, Prüfprotokolle, Firewall-Regeln und mehr. Dies bedeutet, dass bestimmte Mandanten separaten nachgelagerten Kunden oder Geschäftseinheiten zugewiesen werden können, deren Anmeldeinformationen ebenfalls separat bleiben. Wenn Mandanten auf diese Weise bereitgestellt werden, bleibt ein kompromittiertes Benutzerkonto auf einen einzigen, bestimmten Mandanten beschränkt. Jeder Mieter führt eine Instanz des TMOS-Betriebssystems auf einer Containerumgebung aus und ist damit in puncto Sicherheit dem vCMP-Gast voraus. Zu den wichtigsten Punkten gehören:

• Über die Signaturüberprüfung werden nur von F5 signierte Software-Images zugelassen.
• MACVLAN-Schnittstellen kapseln den Datenverkehr zwischen den Blade-Tenants und schränken die Verkehrssichtbarkeit zwischen verschiedenen Tenants auf demselben Blade ein.
• Separater Zugriff auf Partitionsadministrator und Mandantenadministrator über die Plattformebene zur Isolierung der Mandanten
• Seccomp Container-Sicherheit
• Durchsetzung von SELinux-Richtlinien für alle Anwendungsdienste

Die Kombination dieser Sicherheitskontrollen gewährleistet die Sicherheit Ihrer Mieter auf mehreren Ebenen.

Die neue F5OS-Plattformschicht ist vollständig von In-Band-Verkehrsnetzwerken und VLANs isoliert. Es ist absichtlich isoliert, sodass darauf nur über das Out-of-Band-Verwaltungsnetzwerk zugegriffen werden kann. Tatsächlich sind weder den Systemcontrollern noch den Chassis-Partitionen In-Band-IP-Adressen zugewiesen; nur Mieter verfügen über In-Band-Verwaltungs-IP-Adressen und Zugriff.

Auf diese Weise können Kunden ein sicheres, gesperrtes Out-of-Band-Verwaltungsnetzwerk betreiben, bei dem der Zugriff streng eingeschränkt ist. Das folgende Diagramm zeigt den Out-of-Band-Verwaltungszugriff, der über die Systemcontroller in das Gehäuse gelangt und dort die Konnektivität zu den Gehäusepartitionen und Mandanten bereitstellt. Dieses Out-of-Band-Netzwerk wird dann zu Verwaltungszwecken innerhalb des Gehäuses erweitert. Beachten Sie, dass die gesamte In-Band-Adressierung auf den Mandanten selbst und nicht auf der F5OS-Plattformebene erfolgt.

Jede Chassis-Partition ist eine einzigartige Einheit mit einem eigenen Satz (lokaler/Remote-)Benutzer und einer eigenen Authentifizierung. Die Verwaltung erfolgt über eine dedizierte Out-of-Band-IP-Adresse mit eigenem CLI-, GUI- und API-Zugriff. Eine Gehäusepartition kann einer bestimmten Gruppe gewidmet werden und die Mitglieder dieser Gruppe können nur auf ihre Partition zugreifen. Sie können nicht auf andere Gehäusepartitionen im System zugreifen. Dies ist ein Isolationsgrad, den VIPRION nicht hatte. Nachfolgend finden Sie einige Beispiele. Sie können eine Dienstverkettung zwischen verschiedenen Chassis-Partitionen einrichten, diese sind innerhalb des Chassis jedoch so isoliert, dass Sie für die Verknüpfung dieser Partitionen eine externe Konnektivität bereitstellen müssen.

Zusätzlich dazu, dass der Verwaltungszugriff vollständig isoliert und eindeutig ist, ist das In-Band-Netzwerk konfiguriert und vollständig in der Gehäusepartition enthalten. Jede Chassis-Partition verfügt über einen eigenen Satz von Netzwerkkomponenten wie PortGroups, VLANs, Link Aggregation Groups (LAGs) und Schnittstellen. Dies bedeutet, dass die Netzwerkverbindung innerhalb einer Gehäusepartition von einer anderen Gehäusepartition aus nicht zugänglich oder sichtbar ist.

Die Isolierung auf Netzwerkebene wird auch über die zentralisierten Switch Fabrics erzwungen, die sich in den dualen Systemcontrollern befinden. Im VELOS-System verfügt jeder Blade über mehrere Verbindungen zu den zentralisierten Switch Fabrics, um Redundanz und zusätzliche Bandbreite zu gewährleisten. Jedes BX110-Blade verfügt über zwei 100-Gb-Backplane-Anschlüsse (einen zu jedem Systemcontroller), die in einer LAG zusammengeschlossen sind. Diese sternförmig verdrahtete Topologie bietet schnelle und zuverlässige Backplane-Verbindungen zwischen allen Blades und ermöglicht zudem eine vollständige Isolierung auf der Netzwerkebene.

Beim Erstellen von Chassis-Partitionen weist der Administrator ein oder mehrere Blades zu, die dann von allen anderen Blades im Chassis isoliert werden. Die zentralisierten Switch-Fabrics werden automatisch mit portbasierten VLANs und VLAN-Tagging konfiguriert, um die Isolierung zwischen den Chassis-Partitionen zu erzwingen. Das folgende Diagramm veranschaulicht visuell, wie dies durchgesetzt wird.

Um zu verdeutlichen, wie isoliert Gehäusepartitionen sind, zeigt das folgende Diagramm zwei VELOS-Gehäuse mit jeweils mehreren Gehäusepartitionen. Da keine gemeinsame Nutzung der In-Band-Netzwerkressourcen erfolgt, muss jede Chassis-Partition über eine eigene Netzwerkkonnektivität zu den In-Band-Netzwerken und für hochverfügbare Verbindungen zwischen den beiden Chassis verfügen. Es gibt keine Möglichkeit, auf Schnittstellen, VLANs oder LAGs zwischen Gehäusepartitionen zuzugreifen.

Wenn Unternehmen Strategien zur Anwendungsbereitstellung auf Basis von Microservices einführen, um ihre Ressourcen besser zu nutzen und eine durchgängige Automatisierung und Orchestrierung zu erreichen, müssen sie bewerten, wie sich diese Strategien mit den Anforderungen der Multitenancy vereinbaren lassen und wie die umfassende Sicherheit gewährleistet werden kann. Die moderne Architektur von F5 bietet eine einzigartige, leistungsstarke, auf Microservices basierende Lösung, die sowohl den Anforderungen an Sicherheit als auch an Multitenancy gerecht wird.

F5 ist sich der Bedeutung der Sicherheit in einer auf Microservices basierenden Umgebung bewusst. Aus den umfassenden Bedrohungsmodellbewertungen von F5 hinsichtlich der Plattform und Netzwerkkonnektivität ist ein Sicherheitsmodell entstanden, das auf einer tiefgreifenden Verteidigungsstrategie und einer proaktiven Sicherheitshaltung basiert. VELOS kombiniert Plattformschichtisolierung, Gehäusepartitionierung und zentralisierte Switch-Fabric-Methoden, um eine Isolierung zwischen Anwendungen in einer Multitenant-Umgebung zu ermöglichen.