好了，各位。是时候聊聊“那件事”了。就是那件你一直和朋友私下议论，却始终不敢真正开口问的事，因为你觉得其他所有人都知道，而你不想承认自己其实并不真正了解，以免显得不够酷。
但其实他们也不懂，或者即使懂，也同样对此闭口不谈。我们早该聊聊使用云时应采取哪些适当的防护措施了。也就是如何保护云中的应用免受感染和攻击。
是的，今天我们终于要谈谈云端应用安全了。
不是加密，也不是身份和访问管理，更不是网络安全。
应用安全
如今，浩瀚的互联网上充斥着有关“云安全”的文档、研究、建议和一般性讨论，但其中很少*提到“应用安全”。我可以找到有关加密使用情况的研究和统计数据，了解谁应该保护云中数据、谁却没有这样做，以及谁在使用何种身份和访问管理机制来控制对各处应用的访问。但关于应用安全呢？完全没有。只字未提。一点也没有。零。
这确实令人十分意外（也令人不安），因为根据最新的《Verizon数据泄露调查报告》（DBIR），Web应用是金融服务业安全事件的第二大诱因，仅次于听起来就令人不寒而栗的犯罪软件。对本世纪规模最大的25起数据泄露事件稍加分析后发现，近一半（44%）的事件是通过Web应用实施的，这同样令人意外。更令人担忧的是，安全态势下降似乎与应用迁移到云端存在相关性。
事实上，加密并非万能之策。
请允许我再强调一遍，这一点非常重要：加密并非万能药。
网络安全或身份与访问管理也不是万能的。
这些措施都很有价值，但单独来看，它们只是更全面的防护体系中的一部分。这个防护体系本应涵盖应用安全，但实际情况往往并非如此。
Network security无法阻止HTTP DDoS攻击。身份和访问管理无法阻止攻击者利用Web平台漏洞，例如Heartbleed或Apache Killer。
加密无法阻止SQL注入。加密恶意代码只会将其隐藏起来，使网络中用于检测恶意代码的众多服务无法发现它。
应用从设计用途上就是面向公众的资源。我们将应用发布出去，期待消费者与之交互。不仅是期待，我们还会鼓励、吸引，甚至恳请他们使用、安装并经常访问应用。如今是应用驱动的世界，这意味着应用对业务的方方面面都至关重要，无论是面向客户、面向员工，还是支持内部系统运行。如今，我们几乎做任何事情都依赖应用，但谈到安全时，却似乎总是忘了应用。
我们确实应该开始更加重视应用安全，而不能只关注数据安全、网络安全或加密通信。数据在应用中处理时最容易受到攻击，因为此时数据以明文形式存在，完全由该应用控制。应用可以显示和修改数据，还可以将其提供给任何设法诱使应用交出数据的人（随着机器人、网络爬虫和恶意软件日益增多，也可能是任何程序）。
这意味着，我们需要更加重视保护应用免遭利用和攻击。从平台（Web服务器或应用服务器）到协议（TCP和HTTP），再到实际代码本身，都需要进行扫描、清理和探查，并防范攻击者用来利用整个应用堆栈的各种手段。
据F-Secure Labs称，Web应用攻击的发生率从2012年的不足20%翻了一番，达到2013年的40%。Neustar在2014年发现，55%的DDoS攻击目标遭遇了烟幕攻击（以大流量DDoS攻击掩盖真正的应用层攻击），其中近50%被植入恶意软件或病毒，26%丢失了客户数据。
应用攻击是真实存在的重大威胁，尤其是在应用迁移到云端后，可用的防护方案可能更少。
云中以安全为重点的原生服务主要涉及访问控制和加密。这些服务都不属于“应用层”安全，也无法提供足够的防护范围，让人有信心抵御利用应用本身来禁用应用、破坏数据或窃取数据的攻击。因此，还需要其他解决方案，即专门用于保护云中应用及其所处理数据的服务，就像在数据中心中所做的那样。这可能意味着采用支持云环境的WAF（Web应用防火墙），或WAF即服务；至少也应在部署到云中的每个应用上全面落实OWASP建议的最佳实践。
云安全可视为一种共同责任，提供商和客户分别负责保护“云”的不同方面，但应用安全完全由最初将应用部署到云端的一方负责。请看AWS全球安全项目负责人Bill Murray的这篇访谈（来源：The Register；重点为笔者所加）：
Murray在最近的一次采访中表示：“AWS的安全由AWS与客户共同负责。”他负责AWS安全事务，涵盖Amazon数据中心的物理安全，同时还负责处理执法机构发出的搜查令和传票。
他对El Reg表示：“客户负责保护从其在AWS上运行的客户操作系统到所运行应用程序的所有内容。我们负责主机操作系统、虚拟机，以及一直到数据中心地板混凝土层的所有基础设施。”
Murray表示：“我们经常被问到这个问题：‘什么事情让你夜不能寐？’在AWS安全方面，真正让我们夜不能寐的是客户未正确配置应用，因而无法保障自身安全。”
这说的就是您。这意味着，您需要仔细考虑部署哪些服务和解决方案，以保护该应用免受看似不可避免的攻击。
应用安全并不像昂贵的保镖，并非只有重要应用才能享有。它更像是人身安全保障，每个面向公众的应用都应具备，无论这些应用位于数据中心还是云端。
* 我说“寥寥无几”，但说实话，我一个也没找到。也许是我的Google搜索功力不够，但更可能是因为似乎没人愿意谈论这个问题。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。