数字化转型不再只是一个流行词，而已成为大多数组织面临的现实。根据《2023 年应用策略现状报告》，90%的组织正在积极推进数字化转型计划。1现代化最初侧重于面向客户的职能，如今正逐步深入后台运营，推动大量新的业务应用和面向客户的应用得到开发和部署。该报告此前还指出，有相当一部分组织（41%）管理着200至1,000个应用。2
认清云原生应用交付的现实
复杂性增加带来了诸多挑战，尤其是在资源分配、技能和可用性方面。技能缺口持续扩大，98%的IT组织表示，他们缺乏实现当前业务目标所需的洞察：3
此类洞察将重点关注：
- 应用性能下降的根本原因（39%）
- 可能的攻击（38%）
- 应用问题和事件的根本原因（37%）
- 历史性能对比（35%）
- 与业务相关的洞察（32%）
事实上，云原生应用的安全性取决于其构建所用组件及其运行所在基础设施的安全性。
了解日益加剧的应用安全威胁
《2022年Verizon数据泄露调查报告》（DBIR）指出，随着应用数量增加、复杂性上升，相关安全风险也在不断加剧。安全漏洞事件中受影响的主要资产是服务器，尤其是Web应用服务器，占所有受损资产的56%。4
由于直接面向互联网，这些Web应用服务器很容易成为攻击者绕过组织防御的切入点。Verizon DBIR指出，仅2022年就发生了4,751起事件，其中1,273起已确认导致数据泄露，涉及个人数据（69%）、凭据（67%）、其他类型的数据（29%）和医疗记录（15%）。5
预计攻击面将继续扩大
应用的攻击面包括系统本身、系统内部或外部的组件，以及系统环境边界上所有可能遭受攻击的独特位置，即“攻击向量”。未经授权的用户可能利用这些位置尝试攻击系统，以插入数据、更改或操纵数据或系统，或从系统中提取数据。应用攻击面可能通过多种方式暴露，以下仅列举其中几种：
基础设施滥用：云基础设施可能因配置错误而容易遭受数据外泄、未经授权的容器登录和凭据窃取。
软件漏洞利用：如果应用存在未修补的软件、缺陷或配置错误等漏洞，潜在攻击者可能会利用这些漏洞攻击应用。
第三方组件遭入侵：使用未经适当安全审查的第三方库或服务，可能会给应用引入漏洞。
应用程序编程接口（API）操纵：应用程序通常通过API进行通信，因此这些API中的任何安全缺陷（例如缺少速率限制、适当的身份验证或加密）都可能使应用程序面临攻击。
随着各组织不断推进应用组合现代化，并在新数字经济中持续创新，预计到2031年，API数量将达到10亿个。6与应用整体数量的增长一样，API领域的扩张进一步加剧了有效管理应用安全所面临的挑战。
掌握应用和API安全主动权
通过Amazon Web Services (AWS)部署应用时，可借助各种专用和原生安全工具抵御攻击、保护自身数据，并保障客户数据和交易安全。为此，近90%的组织采用平台化方法来加快安全防护。7
不过，要切实发挥作用，该平台还必须支持多层集成防护，以充分覆盖上述广泛的攻击面。F5与AWS提供全面的功能组合，可防御针对云原生应用及其API固有漏洞的此类攻击：
Amazon CloudFront 上的 AWS Web Application Firewall（WAF）：提供原生应用保护层，可轻松添加到CDN中。
F5 Advanced Web Application Firewall (WAF)： 无需更新应用本身，即可保护应用免受常见攻击。
NGINX App Protect WAF：融合F5高级WAF技术久经验证的有效性与NGINX的敏捷性和性能，通过保护应用和API，防止停机和安全漏洞。
F5 Distributed Cloud WAAP和F5 Distributed Cloud Bot Defense：F5 Distributed Cloud Services提供云原生SaaS解决方案，可跨云平台大规模提供一致的应用、API和机器人安全与性能。
F5 Security Threat Intelligence：一支专业的研究团队深入研究论坛和第三方资源、调查攻击、对恶意软件进行逆向工程并分析漏洞，以确定有效的检测和缓解方法。
要详细了解如何利用F5和AWS原生集成的安全层保护云应用免受高级威胁，请访问f5.com/aws。
来源：
1,7 《2023 年应用策略现状报告》，F5，2023 年 3 月
2,3 2022 年应用策略现状报告，F5，2022 年 4 月
4,5 《2022 年数据泄露调查报告》，Verizon，2022 年 6 月
6 CTO办公室报告：API持续蔓延，F5，2021年11月
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。