应用日益分布式部署，WAF技术需要随之调整

F5生态系统 | 2022年6月21日

应用是数字体验的核心，并持续部署在各种环境中，包括私有云和公有云、本地、数据中心及边缘。同样，应用安全技术也越来越多地部署在与其所服务应用不同的位置。这些技术不再需要与所服务的应用绑定，而是可以部署在不同环境中，并可支持多个应用。例如，92%的组织仍在本地部署部分应用，但其中只有53%在本地托管应用安全技术。现代应用的开发、部署、创建流程和支持服务已趋于融合和模块化。这些要素对于提供客户所需的数字体验都至关重要。

数字化扩张使应用、集成和环境的数量激增，DevOps、DevSecOps和SecOps团队在制定和实施稳健的多云扩展与安全策略时面临越来越大的挑战。一般组织可能需要管理200至1,000个应用，同时还会使用多种第三方即服务产品。复杂性如今已成为常态：

应用程序使用多种语言，在多个集成开发环境（IDE）中构建。
应用使用不同的工具集和部署模式，部署在云、数据中心、容器、微服务和无服务器等各种基础设施平台上。

当然，我们可以在切实可行的范围内尽量实现标准化，以降低复杂性。随着时间的推移，传统应用开发变得缓慢、缺乏灵活性且难以管理，既无法满足客户快速变化的需求，也模糊了应用开发各角色之间的界限。可以说，对应用使用同一集成开发环境（IDE）能够实现规模经济，因为代码是在单一系统上维护和构建的。还可以统一采用Ansible和Terraform等通用部署框架，或选择在单一云服务提供商的平台上部署。然而，仅使用一种基础设施和生态系统所带来的风险通常远大于收益，包括供应商锁定、单点故障以及成本失控。

相比之下，在多样化环境中部署可以实现规模化并提高效率。例如，从部署物理服务器转向部署虚拟机，可优化底层硬件依赖并将其抽象化，从而更轻松、更快速地扩展计算资源。同样，容器是一种可跨任何基础设施部署的便携式虚拟计算单元。考虑到容器的优势，虚拟机的优势很快便相形见绌。

既然部署环境如此多样化，为什么还要受制于特定基础设施的安全方案？如果在AWS中混合使用虚拟机和容器部署计算资源，最终可能既要使用AWS的安全工具，又要在本地使用与之不兼容的其他工具。每种工具都需要人员管理，因此需要投入更多资源并开展额外培训。此外，由于采用的控制措施各不相同，能否准确掌握风险敞口？如果扩展到其他云提供商，还需要学习使用新的工具。随着云的广泛采用、边缘的兴起以及应用由此呈现的分布式特性，将应用与其Web应用防火墙（WAF）解耦已成为基本要求。特定WAF的适宜部署位置不仅取决于应用所在位置，还取决于应用用户的类型和位置、WAF本身的特性等其他因素。

F5的WAF产品组合基于BIG-IP Advanced WAF引擎，可适应当今现代应用和部署的独特要求。它提供灵活的部署和运维选项，可根据贵组织的基础设施、架构、应用位置和专业能力，适配全托管、自助式、混合SaaS和Web环境，同时不影响防护效果，也不会增加风险。组织可以采用：

BIG-IP Advanced WAF可部署在本地、数据中心以及公有云或私有云（虚拟版）环境中，通过精细的自主管理控制，为Web应用和API提供强大、高性能的安全防护。
F5 NGINX App Protect WAF是一款轻量级软件安全解决方案，可为基于微服务的现代应用和容器提供高性能、低延迟且不受平台限制的部署。
F5 Distributed Cloud WAF适用于分布式环境中的SaaS部署，并可通过可选的全托管服务降低运维开销。

总体而言，这些安全解决方案表现出色，并持续推动安全创新，帮助组织保护所有应用，无论应用部署在公有云、私有云、本地数据中心还是边缘，也无论采用何种架构，包括单体或传统架构、微服务、服务网格或无服务器架构。

随着工作负载部署扩展到各种环境和应用架构，组织希望能够随时随地对所有应用实施一致的安全控制。F5致力于打造一套统一且具有市场竞争力的Web应用防火墙工具，使组织能够根据具体用例部署合适的WAF，同时共享策略、遥测数据和洞察。这有助于降低在异构和混合云环境中管理不一致、各不相同的安全策略及其实施方式所带来的复杂性，使组织能够高效抵御新一代恶意行为者和攻击。下图直观展示了这些功能如何协同运作。