当斯巴达国王列奥尼达面临抵御规模大得多、也凶悍得多的波斯军队这一艰巨任务时，他特意选择了温泉关的狭窄通道作为防守地点。在斯特灵桥战役中，威廉·华莱士和他的苏格兰军队利用桥面狭窄的通道击败了英格兰军队。在地牢探险中陷入困境时，可以守住门口，让那上百只僵尸一次只能有两三只发挥作用。
迫使攻击者通过单一且受限的控制点，是一种古老的策略。它实际上削弱了攻击方人数远多于防守方所带来的优势。
多年来，我们一直在技术领域采用这种策略，也就是防火墙。它是一个战略控制点，通常也是通往目标（应用和数据）的“网关”。只要所有内容都位于防火墙之后，并且攻击者只能通过这一控制点访问目标，这种策略就非常有效。
然而，随着如今云的普及，攻击者可以从更多入口接近其目标。每个应用都需要自己的防护边界、DDoS防护，以及专属的独立Web应用安全策略。它们所需的防护措施与以往基本相同，只是现在需要部署在其他位置。要保护分布在互联网这一广阔战场上的业务力量（也就是应用），架构与设备同样重要。
有多种方案可供选择。例如，无论更大的“应用架构包”部署在何处，都可以将单应用防护作为其中一部分一并部署。部署位置可以是本地、云化环境，也可以是公有云。无论应用部署在哪里，都应在同一位置部署防护措施，与应用共同构建专属的单应用边界，从而实现类似温泉关隘口所发挥作用的战略控制。这样做的优势在于，应用安全必然会与应用打包在一起，将零信任延伸至云端。
另一种策略借鉴了无服务器架构的原则：采用云优先方法集中管理安全（这仍是许多安全专业人员迫切希望实现的目标），同时保留简化的云端解决方案所带来的优势。具体而言，就是调整防火墙提供的传统策略控制，将其迁移到云端，转变为“即服务”模式。借助这种方法，组织可以集中管理应用安全，同时避免采用一种可能成本高昂的模式，即继续由数据中心托管“主要”安全服务，并要求所有流量都必须流经数据中心。要解决这种低效问题，适合将DDoS防护和应用防火墙等安全服务迁移到云端，因为云端可广泛提供带宽、容量和访问能力。集中管理并免除设备管理可带来显著优势。
无论已经选择（或计划选择）哪种方法，都必须正视一个严峻的现实：企业网络边界已不再等同于业务边界。随着越来越多的应用部署在各种云环境中，以及物联网持续稳步发展，安全策略不仅必须开始考虑如何保护云中的应用，还必须考虑如何利用云保护各处的应用。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。