云端安全要保持一致，离不开一致性

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

过去连续4年，我们都在询问全球受访者：在迈向现代多云运营模式的过程中，他们面临哪些挑战。

过去3年，受访者始终表示，首要挑战是“确保所有应用的安全一致性”。当然，这项挑战在一定程度上源于组织意外进入了多云运营模式。大多数组织之所以采用多云，是因为开发人员和业务部门希望通过采用云来“避开传统IT效率低下的问题”。如今，多云已成为一项有意识的决策，主要取决于所部署的应用类型。

然而，确保所有这些应用的安全一致性仍是一项挑战。其中一个原因似乎是，应用服务并不总是随其保护的应用一起迁移。请看《2019年应用服务状况报告》中的以下要点：

本地环境与公有云中的应用服务部署存在差异，由此引发了安全问题。虽然总体使用的应用服务平均数量为14项，但在公有云部署中，这一数字减少了一半。这意味着，组织虽然在公有云中部署应用，却没有以相同的速度部署相应的应用服务。

虽然66%的受访者部署了WAF，但只有33%的受访者表示，他们会为部署在公有云中的生产应用使用WAF。其他安全相关应用服务在公有云中的使用率也出现了同样的下降，这令人担忧，因为如果缺少用于执行安全策略的应用服务，几乎不可能实现安全策略一致性。

在开展数字化转型计划的组织中，近一半（48%）因难以确保分布在多个云平台上的应用具有一致的安全性而感到困扰；另有45%的组织表示，保护应用免受现有和新兴威胁是其面临的最大挑战。

这里有3点值得注意。首先，在公有云中，安全相关应用服务并未充分随其旨在保护的应用一起部署。对于那45%难以保护应用免受现有和新兴威胁的受访者，解决方法相当直接：首先部署安全应用服务来保护这些应用。虽然这些服务并非万无一失，但高级Web应用防火墙、行为式DDoS防护和机器人防御等现代应用服务，可以显著降低因新兴威胁而措手不及的风险。鉴于目前此类服务的部署率，要应对安全一致性挑战，一个可行的方法是：在每个环境中始终如一地部署用于保护应用的应用服务。

其次，一个可能不太明显的问题是，一致性并不只涉及应用服务。Web应用防火墙有很多，但功能未必相同。即使假设功能一致，要将本地WAF A的策略转换为异地WAF B可用的策略，也是一项相当艰巨的任务。这就像把一份用对方不懂的语言编写的“操作指南”交给对方。因此，首先必须进行翻译，而这既需要时间，也需要精通两种语言。如果针对该应用服务采用单一提供商，确实更容易在所有应用中一致地应用安全策略。一项服务，一种语言，一套策略。

颇具讽刺意味的是，受访者认为最不可或缺的应用服务是安全服务，没有安全服务就不会部署应用，但深入了解部署详情后会发现，事实可能并非完全如此。至少在云环境中，安全似乎经常未能得到应有的重视。

最后，还有一个最不明显的问题：不要忽视跨多个云和数据中心手动管理应用服务所带来的运维负担。当管理对象分散在多个位置时，即使是相同的对象，手动管理也会困难得多。将策略视为代码制品，并以自动化为目标部署服务及相关策略，有助于减少原本可能出现的失误、错误和遗漏。脚本和代码能够反复复现相同结果，因此自动化和编排本身就能实现一致性。正如古希腊哲学家亚里士多德所言：“重复的行为造就了我们。因此，卓越不是一种行为，而是一种习惯。”因此，要实现多云一致性，应将自动化和编排视为需要养成的重要习惯（实践）。

要在多云环境中为所有应用实现一致的安全性，需要在以下方面保持一致：

1. 一致性部署用于保护和防御应用的应用服务时
2. 一致性确保所有环境中的应用服务能力保持一致
3. 利用自动化和编排，促进快速、频繁且一致地部署应用服务和安全策略

一致的安全性需要一致的行为、实践和工具。将这三者结合起来，组织可以养成保护应用以及依赖这些应用的企业和消费者的习惯，从而确保安全实践的一致性。

关于作者

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。

Lori Mac Vittie 的更多博客文章