针对适当的IT问题采用“左移”理念正日益普及。其基本思路是，将更多功能移至应用开发交付流水线的前端；这些功能越早应用，最终代码的稳定性和安全性就越高。安全就是其中一项功能，它有助于减少生产环境中出现的冲突和错误，避免企业为此耗费不必要的时间和资金，从而带来显著收益。
大多数情况下，被认为适合“左移”的安全功能都与代码直接相关，例如漏洞扫描、自动修补、入侵检测及类似服务。很少有人提及将Web应用防火墙功能左移的好处（事实上，在本文之前可能从未有人提过）。
将此类功能左移有充分的逻辑依据，即应用亲和性。与应用高度相关的服务（如Web应用安全、负载均衡和优化）专用于某个应用，而不是HTTP之类的协议，而是实际应用本身。尤其是应用安全和优化，其配置通常需要了解特定URI（如RESTful API调用）、所交换数据的类型（及其格式），并识别可能仅适用于该应用或其特定部分的用户和设备。
这意味着，Web应用安全策略基本上是根据具体应用制定的，因此该策略仅适用于该应用本身。匹配数据和URI可能会引发错误，实际也确实如此，进而导致应用出现故障。如果错误到了生产环境才首次暴露，相关人员就要承担责任。时间被耗费，资金被浪费，本周的咖啡因预算也会飙升，害得其他人在这个月剩下的时间里只能喝淡得像有色水一样的咖啡。情况实在不妙。
将这些应用专属策略的配置和测试左移至测试阶段，有助于消除大多数冲突或错误（希望除了海森堡式问题外都能消除），并确保通过生产流水线的发布过程更顺畅、更快速、更简单。
随着传统Web应用防火墙服务的软件版和虚拟版日益普及，可以在更多环境中配置这些服务，并确保在部署流水线中更早提供更高水平的访问权限。将Web应用安全左移，还意味着Web应用安全服务在保护被测应用的同时，可以接受漏洞扫描，让安全运维和开发团队更深入地了解二者之间的交互，并有机会调整策略，确保实现正确的行为（符合预期和期望）。策略，尤其是可能封装为模板的策略，可以轻松地在不同环境之间迁移，并可作为代码处理，即存储在代码库中并进行版本控制，以供日后使用。
API和模板的普及，加上传统上托管于网络中的应用相关服务实现虚拟化，使组织能够将安全工作进一步左移，并切实优化生产流水线流程。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。