保护无边界业务安全

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

您可能听过不少F5同事打趣说：“身份就是新型防火墙。”这句话听起来或许有些像宣传口号，但这句简单的话背后蕴含着丰富内涵，既涉及诸多安全问题，也反映了我们应对当今数字化颠覆的方式正在发生变化。

无论是云和威胁不断向应用堆栈上层迁移，还是单体应用逐渐拆分为API和微服务，这些颠覆性变化都在向外产生连锁影响。这种影响动摇了数据中心赖以构建的基础，并正在引发意料之中的数据中心架构变化。目前，这些变化在很大程度上由无边界业务的兴起所推动。此类业务依赖应用，其中许多部署在SaaS环境中，少数部署在IaaS环境中，还有一些仍部署在数据中心内。

这些变化源于这样一种认识：对于无边界企业，以防火墙作为企业访问战略控制点的传统架构无法提供有效保护。

这种方式已不再奏效，因为需要保护的边界已不再是数据中心。如今，每个应用都构成一道边界。传统的基于IP的防火墙之所以效果有限，不仅是因为其对应用的理解有限，还因为其部署位置固定。传统的基于IP的防火墙在数据中心仍不可或缺，但在云等高度动态的网络环境中往往难以有效发挥作用，因为其所保护应用的地址空间通常会快速变化。容器的引入也加剧了应用网络访问控制的动态变化问题，因为容器的生命周期通常短得多。容器的生命周期以分钟而非天、周（甚至月）计算，这给传统的基于IP的防火墙带来了极大压力。

相比之下，基于身份的应用访问控制关注的是用户与应用的匹配，而不是IP地址，因此能够根据上下文而非配置，更有效地控制应用访问。这意味着，除了IP地址外，还可以根据客户端、位置、设备、时段、网络速度和应用来评估用户的访问请求，而不必只关注IP地址。这样可以更准确地判断哪些人（或实体）应该或不应该访问特定应用。无论应用部署在何处，也更容易为其提供这种服务。基于身份的访问控制服务可以随应用从数据中心迁移到云端，并在必要时迁回，因为这种控制基于对客户端和应用的识别，并实时应用策略，不受承载这些请求和响应的网络限制。

基于身份的访问控制还可在不同环境中实现一致性。依赖传统的基于IP的防火墙来控制应用访问时，需要在数据中心和云端分别使用不同的系统；而同一项基于身份的访问控制服务可部署在这两种环境中，从而实施一致的策略，更好地遵循企业政策，并减少管理和审计方面的运营开销。对于采用混合（多云）环境的组织而言，这种一致性仍是持续存在的需求。在我们的《2016年应用交付现状》报告中，近一半（48%）的受访者将云端与本地环境之间的策略和审计一致性视为采用云服务时的一项重要安全因素。

此外，因凭据被盗或易被发现而导致的安全事件日益增多，这表明早已不能再依赖基于密码的基本身份验证，而应采用更智能的方式来允许或拒绝访问。PWC在其最新的全球安全调查中指出，91%的受访者使用“高级身份验证”。该调查以令牌和双因素身份验证方法为例，指出高级身份验证不仅有助于增强客户信心，也有助于增强企业信心。

基于上下文的访问控制通过提供多个用于评估请求的“因素”，实现类似的安全措施。此类解决方案可以实施双因素身份验证，但组织也可以制定依赖自动提供的上下文线索的身份验证措施，从而提供更加顺畅的应用体验。可以说，在由“物”充当客户端的时代，需要采用自动化程度更高、基于“多因素”的身份验证策略，因为大多数“物”本身并没有手机，而所有者可能也不希望频繁参与“物”为实现同步和“回传”而必须执行的事务。

无论贵组织最终采用何种身份验证和访问控制方案，几乎可以肯定的是，该方案不会仅依赖基于IP的防火墙，甚至可能完全不依赖此类防火墙。因为基于IP的防火墙以明确的企业边界为前提，而在如今应用基础设施日益云化、移动化且近乎瞬息万变的环境中，这种边界已不复存在。

关于作者

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。

Lori Mac Vittie 的更多博客文章