如果希望降低云运营成本，不妨审视一下运营管理方面的安全实践。
如今，安全领域的大部分关注点都集中在应用协议和应用堆栈本身的漏洞上。这并不奇怪，因为大多数安全事件都是由常见平台和框架中的漏洞引发的，这些漏洞为攻击者提供了大量易于利用的目标。
但我们也不能忽视，业务管理端正变得越来越容易从外部访问。随着应用迁移到公有云，我们往往忽略了隔离管理流量、防止其被轻易访问的重要性。在本地环境中，这很容易做到。管理网络不对公众开放，并被严格限制在仅供内部访问的不可路由网络中。随着应用及其应用服务基础设施迁移到云端，由于运维人员现在需要远程操作，管理端也需要可通过公共网络访问。
虽然我们已从Telnet转向SSH（仍需跟进的众多IoT设备除外），甚至也遵循良好的密码生成规范，但未必考虑过如何将云原生安全机制与自身实践相结合，从而更充分地发挥其作用。
使用云提供商的安全服务可以显著影响云端业务的运营成本，尤其是在管理应用服务基础设施方面。
威胁真实存在
如果还没有读过F5 Labs的这篇文章，建议阅读：top attacked usernames and passwords。文章指出，SSH是攻击者重点针对的服务，受攻击程度甚至高于其他任何服务。
文章中写道：
从攻击量来看，攻击者投入更多时间和精力攻击SSH，超过其他任何在线服务。通过SSH暴力破解生产应用管理登录凭据的攻击次数，是通过HTTP攻击应用本身（即攻击者试图利用Web应用漏洞）的2.7倍。
这也不难理解。获得应用服务基础设施的管理控制权后，攻击者便拥有很大的权限，包括修改原本可能阻止其轻易访问Web应用的策略。以Kubernetes为例，由于系统往往未要求提供任何凭据，因此经常成为攻击目标。攻击者试图获取访问权限，以便盗用他人的资源牟利。
但您深谙安全之道，要求所有基础设施访问都使用强密码。您的SSH密码复杂到每次输入时都得停下来想一想。
下面要说一个再明显不过的事实：强密码无法阻止攻击发起，只能降低攻击得逞的可能性。您无法阻止他人发起攻击，确实无法做到。您只能检测攻击并阻止其得逞。
但与此同时，这类攻击会产生实际的运营成本。由于您采取了合理的安全措施，所有失败的尝试都会被记录下来。每一次，无一例外。
每阻止一次失败的攻击尝试，都会消耗资源：带宽、存储和计算资源。
利用云原生服务增强安全实践
所有主流云提供商（可能也包括规模较小的提供商）都提供基本的网络安全控制措施，可用于严格限制对应用服务基础设施的管理访问。AWS安全组（SG）和Azure网络安全组（NSG）的工作方式与防火墙大致相同，可过滤进出实例的流量。对于管理访问而言，这可以成为安全工具集中的一项重要工具。将访问权限严格限制为仅允许已知IP地址（或指定范围），可以大幅减少到达基础设施的攻击流量。这样可以避免过度消耗计算、带宽和存储资源，从而降低成本。
基于同样的原则，建议在云中使用Web应用防火墙，既保护应用，也遵循良好的运维实践。这样做旨在攻击消耗过多资源之前将其阻止。即使攻击最终不会成功，反复尝试也很可能触发自动扩缩容，增加企业成本，或影响合法用户的服务可用性。这两种结果都不可取。
一般而言，越能在靠近攻击源的位置阻止攻击，安全性就越高，企业付出的成本也越低。
增强，而非取代
在安全实践中使用云原生服务的关键是“增强”，而不是替代。使用高强度SSH密码是良好做法，与严格的访问控制结合使用则更为有效。但绝不能仅依赖安全组而放弃高强度密码实践。两者结合使用，既有助于保障安全，也能控制云端业务成本。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。