据说，在温泉关战役中，列奥尼达和他率领的300名斯巴达人战败，并非因为预料中的正面进攻，而是因为波斯人借助一条狭窄的山羊小径绕到侧翼，潜入斯巴达守军防守的温泉关防线后方并站稳了脚跟*。
没有防守那条不太显眼的山羊小径，或许是一个战略失误。事后看来，一切都很清楚：未能守住每一个潜在入口，可能会造成灾难性后果。
那么，我们是否已从历史中吸取教训，还是注定会重蹈覆辙？
根据我们的《2018年应用交付现状》调查结果，我们似乎正在竭尽全力重蹈覆辙。
该图表显示，2%的组织虽然使用了WAF，却没有保护任何应用。也就是说，这项技术并未保护其任何应用。相比之下，13%的组织使用WAF保护了全部应用（100%）。
大多数组织介于这两种情况之间，其中34%的组织仅保护了不超过四分之一（1%–24%）的应用。这些应用很可能就像温泉关一样，是最受关注、也是组织重点推广和宣传的应用。它们承载的流量最多，因此从逻辑上看，也最有可能成为攻击入口。
其余的则是羊肠小道。这些通往数据中心的小径狭窄、杂草丛生，鲜少有人使用，遭受攻击的可能性也最低。至少，你希望如此。
整个行业往往都在谈论“关键”应用。这些应用是企业日常运营时刻都离不开的，包括CRM、SFA、在线商店，以及合作伙伴用来与企业开展业务的API。我们对这些应用格外重视。企业需要保护它们免受攻击，根据需求进行扩展，并提升其性能，让即使要求严苛的消费者也能感受到企业对用户体验的重视。
我们往往会忽视那些“非关键”应用。有时，我们甚至随意将它们放到某个公有云中，却没有考虑设置必要的安全检查点来保护数据和凭据。
今天我要说的是，正如那条山羊小径后来成为攻入斯巴达人防线的关键入口，所有这些“其他”应用也同样如此。如果它们连接到互联网，而只要连接到某个网络，它们很可能就会连接到互联网，那么它们就可能成为攻击者的入口。如果它们使用与“关键”应用相同的平台和协议，而事实很可能如此，那么由于存在相同的漏洞，它们会给所有应用带来风险。
攻击者只需通过任何应用程序找到一条进入网络的狭窄路径，就可能危及整个组织（企业）。一旦在某个应用程序或服务器上站稳脚跟，攻击者便可从多种途径进一步渗透。从凭据到连接，数据中心内部（无论是公有云还是本地部署）的单个攻击点所构成的威胁，远比我们通常认为的更大。
在安全方面，没有理由忽视“非关键”应用。事实上，有数百甚至数千个充分理由需要关注这些应用，并利用Web应用防火墙（WAF）提供保护，例如员工凭据、个人数据，以及通往其他更具吸引力的应用和服务的路径。
在安全方面，不存在所谓的“非关键”应用。
不要只顾温泉关，而忽视山间小径。
*没错，波斯人很可能无论如何都会获胜，但现在我们永远无法知道结果了，不是吗？
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。