欧洲政策制定者日益担忧针对该地区关键数字基础设施的网络攻击。
为确保金融行业能够更好地应对不断变化的威胁，欧盟制定了《数字运营韧性法案》（DORA）法规，该法规将于2025年1月起施行。
DORA的适用范围广泛，涵盖在欧盟境内运营的22,000多家金融实体及其ICT服务提供商。欧盟境外与这些组织开展业务的实体也将受到影响。
从本质上讲，遵守DORA是金融服务机构制定更稳健、更全面的安全策略的基础，该策略能够反映其必须应对的风险。
尽管大多数银行长期以来一直采取严格的安全措施，但DORA旨在通过纳入更多专业机构来加强整个金融生态系统的防御能力，包括信贷和支付机构、加密资产服务提供商、中央证券存管机构以及信用评级公司。DORA要求金融实体尽可能降低数据损坏或丢失的风险，防止未经授权的访问和可能妨碍业务活动的技术缺陷，并确保其ICT系统持续可用。
确保合规
如今，对于金融实体乃至大多数其他企业而言，应用和数据都已成为关键业务资产。采用强大的Web应用防火墙（WAF）等技术全面保护这些资产至关重要，这既有助于遵守DORA，也能确保在遭受分布式拒绝服务（DDoS）攻击及其他攻击期间持续运营。
DORA还要求金融实体及时检测异常活动，包括ICT网络性能问题及相关事件，并识别可能造成重大影响的单点故障。发生严重事件时，金融实体必须通知监管机构、受影响的客户和合作伙伴。随后，金融实体还必须报告事件解决进展，并提交分析根本原因的最终报告。
为满足这些要求，金融实体需要全面了解其应用的性能和安全状态。此时，F5 Distributed Cloud Console可以发挥重要作用。该控制台旨在整合提供对整个应用资产的端到端可见性，可满足DORA数字韧性合规的大部分要求。
F5 Distributed Cloud Console还有助于满足DORA的一些更细化要求。例如，金融实体必须使用渗透测试，对其ICT工具、系统和流程至少每3年测试一次。
直到最近，这类活动仍主要由专业的“白帽”黑客负责，费用通常也很高。如今情况已发生变化，整个流程已可实现自动化。
今年早些时候，F5推出了Distributed Cloud Web App Scanning解决方案，帮助组织持续监控互联网、公共存储库、暴露的服务器及其他来源，汇总面向外部的应用服务、数据和漏洞。此外，组织还可以开展自动化渗透测试、识别潜在漏洞、获取问题证据并获得修复指导，从而提升安全性并确保合规。
提高自动化程度后，持续开展渗透测试比按项目逐一开展更具成本效益，有助于确保新产品和服务及时发布。
将安全融入ICT基础设施设计
所有企业都应致力于采用整体性的数字安全方法，而不是试图通过部署特定的单点解决方案来满足DORA的要求。AI的进步推动了自动化程度的提升，使企业能够更轻松地将安全融入ICT基础设施、组件、应用及其配套应用程序编程接口（API）的设计、开发和部署过程。
API如今已成为数字经济的中枢神经系统，因此尤为重要。组织应全力将漏洞检测融入应用开发流程，确保在API投入生产环境之前识别风险并实施策略。
为直接满足这一日益增长的需求，F5 Distributed Cloud Services提供全面且支持AI的API安全解决方案。企业不再需要使用彼此割裂的工具集和功能，来保护构建阶段及运行时的API。F5在应用开发流程中提供漏洞检测和可观测性，确保在API投入生产之前识别风险并实施策略。当前，API安全的重要性和复杂性前所未有。F5让客户无需再为单独的API安全解决方案付费并进行管理。单一平台集API发现、测试、态势管理和运行时保护于一体，可为应对DORA即将带来的复杂挑战提供显著优势。
归根结底，不应将DORA视为负担。相反，它为各组织完善和加强关键安全措施提供了重要契机。尽管如此，这仍是一个循序渐进的过程，有些组织可能需要改变对安全实际含义及其表述方式的认识。
对于正在应对未来挑战的各方而言，F5提供了许多必要工具，既有助于满足DORA的监控和报告要求，也能显著降低遭受严重网络安全攻击的风险。
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。