云：为分散式环境集中管理安全

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

万事似乎都存在某种周而复始的循环（至少事后看来如此）：应用架构和使用方式的变化会催生对新型网络技术的需求。这些技术旨在应对阻碍应用取得成功的挑战，无论衡量标准是消费者指标，还是企业指标（利润和生产力）。

在这些挑战中，通常首先需要解决的是可用性和性能问题。而安全问题似乎总是最后才得到关注。这三方面的问题与运营风险的构成要素几乎完全对应，往往通过各自独立且有针对性的解决方案（我们称之为“点式”解决方案）来应对。

在这一周期的某个阶段，组织会意识到部署的解决方案过多，不仅造成系统臃肿，还在不断消耗运营预算。这就是“解决方案蔓延”。因此，组织自然会寻求整合或集中管理，以减轻预算方面的运营负担，以及日益加重的人员负担。

云是应用架构变革的一种，它提供了另一个在运营和财务方面颇具吸引力的环境选择。各组织已经充分利用云，并且至今仍在继续采用。虽然SaaS在“云”应用格局中占据最大份额，但公有云IaaS和PaaS服务也开始在吸引组织采用方面取得一定成效。

这一趋势不仅造成了彼此割裂的运维环境，也使我们对传统上需要保护的“边界”的认知发生了显著变化。边界不再位于网络边缘，即企业路由器和防火墙将流量处理责任移交给服务提供商和互联网的位置。如今存在多个边界，而且每个边界都以一个应用为中心（我认为这很合理）。

保护每个应用都至关重要，这一点毋庸置疑。应用是访问企业数据宝库的门户，无论其中存储的是企业数据还是消费者数据。应用必须具备适当的安全防护才能部署，否则可能遭到利用，导致其用于传输、处理和操作的数据暴露。

无论解决方案蔓延发生在本地数据中心，还是跨云环境中，其概念并无太大差异。

但“集中化”并不像将多个解决方案整合到一个解决方案中那么简单。

或许，事情就是这么简单。

导致解决方案泛滥的云，反而成为集中整合安全解决方案的理想途径，同时也契合“每个应用都有自己的边界”这一理念。

将关键应用保护（即网络和应用层安全）集中部署在云端，有助于组织减少解决方案泛滥。无论应用部署在何处，这种方式不仅能为各应用提供更一致的安全保护，还能减少日志分散并简化事件关联，从而减轻安全专业人员和安全流程的负担。

选择能够检测和防御大流量网络攻击及应用层攻击的集中式解决方案，可进一步减轻网络和安全专业人员的负担，并满足组织了解应用威胁的需求。

Fortinet委托开展的Forrester研究发现，同时掌握应用和网络特征对网络和安全专业人员都很重要。在当今云分布式环境中，必须通过单一的云端解决方案同时覆盖这两方面，并为分布在不同位置的众多应用提供安全监控。

在当今风险高、流量大的“应用保护”工作中，DDoS防护和Web应用安全都至关重要。将二者整合到一个基于云的解决方案中，既能满足集中管理安全的需求，又能以应用为中心建立适当的安全边界，无论应用部署在何处。

在本地建立这种以应用为中心的边界并不可行，其架构缺陷超过了运营优势。但如果将同一理念迁移到云端，以云服务的形式提供，不仅能保留集中化固有的运营优势，在架构上也更为合理。云解决方案可以利用更大的带宽，因此能够承受大量网络层和应用层洪泛攻击。云解决方案还可以利用速度更快的网络链路，因此，为每个应用启用应用层安全所需的额外一次“跳转”几乎不会造成影响。相反，如果尝试将所有云应用请求都路由到本地Web应用安全服务，可能会造成严重延迟，同时还需要扩展内部容量，并可能需要提高可用的上行链路带宽。

将DDoS防护与Web应用安全集中部署，在运营和架构层面都切实可行。

如需详细了解融合DDoS防护与Web应用安全的云端解决方案，请查看F5 Silverline。如需深入了解相关内容，请于5月25日参加F5与Equinix联合举办的混合DDoS防护在线直播研讨会。

关于作者

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。

Lori Mac Vittie 的更多博客文章