因为一颗坏苹果不一定会毁掉整筐苹果。
图片：One Bad Apple，BobbyBoggs182
在数字化转型的推动下，数据中心正在发生变革。云、容器和灾难性安全漏洞迫使人们尽早关注变革。关注的重点很大程度上在于持续交付和按应用部署带来的影响，因为这些做法可能会严重扰乱传统部署计划。试图协调传统与现代部署计划，即使是擅长解决类似约瑟夫斯问题的计数问题的数学家，也必定会束手无策，放弃尝试。
如果在持续部署方面，对应用服务和基础设施采用按应用划分的架构方法所带来的优势还不足以促使您采用这种方法，不妨再考虑一下：这样做还能带来显著的安全优势。
可以把数据中心及其安全边界想象成一个木桶，里面装满苹果（每个苹果代表已部署的数百个应用之一）。您会发现，一个苹果会接触到许多其他苹果，虽然不是全部，但也有一些。如果其中一个苹果腐烂，就会蔓延到与它接触的苹果，而这些苹果又接触着其他苹果，如此不断蔓延，直至整桶苹果全部腐烂。
如果数据中心里一个苹果（应用）变坏时，问题蔓延的过程也能像现实中的苹果腐烂一样缓慢就好了。但由于数字世界的传播速度很快，问题会通过网络迅速波及其他应用，远快于那句警示风险的谚语中苹果腐烂的速度。
这是采用按应用架构的重要安全理由之一，即使您目前没有（或将来也不会）采用按应用部署计划。
按应用划分的架构可降低风险
采用按应用划分的架构，就像把每个苹果单独包好后再放进桶里。即使其中一个坏了，也能与接触到的其他苹果隔离，避免它们受到影响。虽然我们都希望生活在一个零风险的世界，但现实并非童话。我们知道，互联世界始终存在风险，而我们的目标是尽可能降低风险。
通过采用按应用划分的架构，我们可以尽可能将各种威胁对特定应用的影响范围限制在该应用自身，从而实现这一目标。
在数据中心采用按应用部署的方法，可以部署多种针对特定应用的安全服务，旨在降低机器人、凭据盗窃、凭据填充、应用层DDoS攻击（如GET、PUSH和POST洪水攻击）以及常见的OWASP十大漏洞所带来的风险。
Alert Logic将其称为“应用级分段”，并指出这种方法正迅速成为云环境中的常用实践：
“我们在公有云部署中反复看到的一个重要趋势，是在基础设施中实施应用级分段。我们所了解的优秀云管理员通常会将每个应用分别部署在各自的VPC（虚拟私有云）中，从而大幅缩小单次安全事件的影响范围。即使是规模很小的WordPress或Drupal应用，也会拥有独立的VPC，以减少攻击者横向移动的机会，并降低攻击迅速蔓延、最终给整个企业造成严重后果的可能性。”
这种方法在数据中心同样有效；一旦攻击者成功入侵，它对于保护应用免受横向移动攻击也同样至关重要，甚至可能更为重要。
按应用架构不仅要保护某个特定应用，也同样要保护已部署的所有其他应用，这一点看似有些矛盾。但采用这种方法，就必须专注于保护每个应用，同时认识到每个应用都可能成为入侵入口，而内部的任何其他应用都可能成为攻击者。
采用按应用的方法，并结合可同时部署在云端（或多个云端）和本地数据中心的云就绪应用服务，效果会更好。对应用服务解决方案进行标准化，可实现策略一致性，从而在组织拓展公有云的过程中提供所需的一致安全保障，而这一过程是其数字化转型工作的一部分。
无论是在云端（或多个云端），还是继续使用本地数据中心，按应用构建的架构都能兼顾安全需求：既可降低单个应用的风险，又能保护整个应用环境，帮助企业在数字经济中保持竞争力。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。