这是探讨数字化转型所带来挑战的系列博客中的第三篇。
忽视安全。
许多资深IT人士对此并不陌生：当应用性能出现问题时，安全服务往往最先被停用。防火墙面对攻击不堪重负？关掉它。服务因需求激增而不堪重负？也关掉。
二十年来，每当应用性能出现问题，我们总是习惯性地牺牲安全性。
因此，当流水线性能面临压力时，安全环节往往会被跳过，这并不令人意外。
十分之九的高管坦言，他们面临着加快应用上市的压力，而数字化转型也要求应用更频繁地上市。
高管是明确还是含蓄地将这种压力传递给相关负责人并不重要；为了以创纪录的速度推出应用，开发和运维人员往往承受着巨大压力。
也许正因如此，他们承认自己会跳过安全环节。在IBM/Arxan对移动和物联网开发人员开展的一项调查中，近一半（44%）的受访者承认这样做过，其他行业的开发人员也可能会作出同样的回答。
毕竟，安全并非易事。攻击面十分广泛，没有任何一层能够置身事外。从网络到平台，再到应用，攻击者渗透应用和窃取数据的方式甚至比网络层数还多。
但如果回顾近期影响较大的数据泄露事件，就会发现一种规律，或许能帮助大家将有限的时间集中用于应对风险最高的领域。
我们都听说过Equifax数据泄露事件，也了解其中令人不安的细节。与许多其他组织一样，Equifax因攻击者通过Web平台利用已公开的漏洞，攻击未修补的第三方框架而中招。攻击者很可能是通过机器人或自动化脚本搜索潜在目标，从而发现了该漏洞，但这一点尚未得到证实。之所以作出这一推测，是因为如今绝大多数机器人活动并非攻击流量，而是试探性的侦察活动。
事实证明，攻击者通过SSH或利用网络漏洞设法潜入系统，已经是很久以前的事了。如今，攻击者将应用和凭据作为目标，并利用机器人程序寻找有利可图的漏洞，进而发起攻击。
需要保护应用免受以下三大安全风险的影响：
- OWASP 十大安全风险。 SQLi、XSS、命令注入、No-SQLi 注入、路径遍历和可预测资源
- CVE。 Apache、Apache Struts、Bash、Elasticsearch、IIS、JBoss、JSP、Java、Joomla、MySQL、Node.js、PHP、PHPMyAdmin、Perl、Ruby On Rails和WordPress。
- 机器人程序。 漏洞扫描器、网页抓取工具、DDoS工具和论坛垃圾信息工具。
在这里，安全平台和策略的标准化与按应用架构相结合，从而能够在风险演变为生存威胁之前有效缓解风险。采用标准化平台，也就能够实现策略标准化。借助这种组合，安全专业人员可以创建标准的基础安全策略，然后自动部署到每个应用，立即抵御最新威胁。由于策略按应用实施，还可以添加针对特定应用的防护措施，以提供额外保护；至少，最可能的攻击途径已得到防护，让您更有信心。
按应用架构的另一个优势是，对于通常未受到WAF等工具保护的应用（没错，我知道，怎么会这样？但请相信我，确实存在），可以将配置了适当策略的新实例注入应用管道，并按需保留，从而在短期内为其提供保护。因此，当该CVE公布时（这必然会发生），安全专业人员可以立即实施缓解策略，并将其注入每个易受攻击应用的路径中，赶在漏洞被利用之前。
面对数字化转型带来的交付压力，开发人员可能会忽视安全，而解决之道在于标准化。采用统一的应用安全平台，利用其功能统一安全策略，并高效地将策略推送到应用管道中。
敬请关注本系列的下一篇文章。届时，我们将深入探讨如何应对规模不经济问题，即数字化转型往往会催生大量应用，而运维人员却相对不足。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。