《2017 年应用交付现状》洞察
无论是高管还是安全专业人员，至少在评估抵御应用层攻击的信心时，都表现得十分务实。
有趣的是，这两个群体似乎都不太悲观。在我们的《应用交付现状》调查中，两个群体都只有5%的受访者对所在组织抵御应用层攻击的能力毫无信心。但这也不意味着他们对此持乐观态度。只有10%的安全专业人员和13%的高管对战胜恶意攻击者、打赢应用安全攻防战非常有信心。
事实上，他们的观点更多地介于两者之间，体现出务实（现实）的态度。
40%的安全人员持观望态度，信心既没有增强，也没有减弱。持相同看法的高管比例也相近，为37%。如今，这似乎是一种合理的态度。您或许有信心抵御当前已知的外部威胁。但安全问题的难点正在于此：未知因素随时可能演变为威胁。
那么，为什么约10%的安全专业人员和高管对其组织的安全态势如此有信心？他们掌握了哪些其他人可能不了解的信息？
为了找出答案，我开始从不同角度分析数据。我们在完整报告中提到，部署Web应用防火墙似乎有助于提升受访者抵御应用层攻击的信心，DDoS防护也有一定帮助，但作用相对较小。当然，可用的安全服务并不只有这两种；目前我们正在跟踪其中8种。
因此，可以合理推测，其他应用安全服务也可能影响人们对其组织安全态势的信心。快速分析数据后发现，情况或许确实如此。
在我们跟踪的8项安全服务中，信心最强的受访者部署每项服务的比例都更高。总体而言，每项服务的部署情况在不同信心水平之间差异显著。平均来看，信心最低的受访者在应用安全服务方面的总体部署率低24%。安全服务越少，信心越低。这只是巧合吗？我认为不是。
不过，影响人们对抵御应用层攻击能力信心的，可能不只是安全服务的部署情况（部署与否可能分别产生积极或消极影响）。如何运用这些应用服务来保护应用，同样重要。
每年，我们都会询问受访者如何保护应用。我们确定了三个需要保护的主要攻击面：客户端、请求和响应。这是因为每个攻击面都对应一个独特的时间点，可采用不同的安全策略（以及相应的服务），从而更好地保护和防御应用及其宝贵数据。我们请受访者说明，他们在这三个攻击面上应用安全策略的一致程度：始终、从不或有时。相信大家不会意外，信心最强的受访者始终保护所有三个攻击面。相反，信心最弱的受访者往往从不保护任何攻击面。
显然，这并不是影响信心水平的唯一因素。在信心最低的受访者中，也有一小部分始终保护这些攻击面。反之，在信心最高的受访者中，也有一些从不保护这些攻击面。信心最低的受访者也会有时保护这些攻击面，这说明它是影响信心水平的因素之一，但绝不是唯一因素。否则，从不保护攻击面与信心最低之间的相关性应该会更高。
尽管如此，在信心最高的受访者中，仍有超过一半的人始终保护客户端（60%）、请求（61%）和响应（57%）。
这是巧合吗？我还是不这么认为。
当然，我们无法断定安全应用服务的部署和应用与信心水平之间存在因果关系，但可以清楚地看到二者之间存在相关性。
与较为悲观的同行相比，对抵御应用层攻击能力最有信心的IT专业人员更有可能部署安全应用服务，并主动保护全部三个攻击面。如果您对能否抵御未来可能出现的各种威胁感到信心不足，不妨考虑这一点。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。