应用安全涵盖诸多方面，但有时也需要停下来思考它不是什么，尤其是在为满足持续增长的需求而开发和部署的应用数量与频率不断上升的情况下。
1. 并非高优先级，但理应如此
在一项调查中，竟有44%的受访者该调查由Arxan和IBM赞助，主题是物联网和移动应用安全承认，他们没有采取任何措施来防范攻击。您或许认为，这些回答只涉及应用组合中的一小部分，但不妨看看WhiteHat Security具有开创意义的年度报告。该报告统计了Web安全数据，发现“约三分之一的保险应用、约40%的银行及金融服务应用、约一半的医疗和零售应用，以及超过一半的制造、食品饮料和IT应用始终存在漏洞。”
WhiteHat Security所称的“始终存在漏洞”，是指“一年中的每一天都存在漏洞”。
此外，同一份报告发现，“平均修复时间因行业而异，约为100至245天。”零售和医疗保健行业约为200天。科技和IT行业则更为滞后，修复漏洞平均需要250天。
正是前一种对安全放任不管的做法，让后一个事实如此令人难以接受。如果应用安全没有得到高度重视，那么可以肯定，相当一部分应用（或为应用提供数据的API）存在漏洞。
2. 不只是应用本身
一种常见误解是，应用安全只与应用本身有关。如果应用是独立存在的实体，或许确实如此。但应用部署在平台上，依赖第三方脚本和API，并与负责管理数据的系统集成。这意味着，应用安全涉及整个技术栈，需要认真关注所有组件，而不只是应用本身。对于应用安全，OWASP十大风险是一个很好的起点，但也不能忽视：过去十年间，平台中协议层面（TCP、HTTP和TLS）的漏洞一直是造成严重困扰的重要原因。
此外，也不能忽视大流量网络攻击与更隐蔽的系统层和应用层攻击之间的关系。Dark Reading在近期的一篇文章中指出了这种关联：
“近一半受影响的组织表示，DDoS攻击发生的同时，其网络中还出现了某种形式的安全入侵或恶意活动，包括数据窃取和勒索软件攻击。例如，47%的组织表示在DDoS攻击后发现网络中存在病毒活动，43%表示恶意软件被激活，32%表示客户数据遭到窃取。”
应用安全需要关注整个应用架构，包括用于扩展应用并保障其安全的网络、数据和服务。
3. 这不是别人的问题
根据我们2017年的《应用交付现状》调查，五分之一的组织计划将超过50%的应用托管在云端，这使应用安全保障更具挑战性。将应用迁移到“云端”可能会重新分配部分安全责任，尤其是网络和系统级组件的安全责任。但应用及其平台，以及应用所依赖的外部脚本和资源，仍由贵组织负责。要确保云端达到与本地环境相同的安全水平并非易事，尤其是在混合使用原生云服务，而这些服务在策略层面与本地服务不兼容时。
但这一挑战必须得到解决。可以确保本地环境与云端用于执行这些策略的服务保持一致，也可以将应用安全职责转移到基于服务的产品，以同时确保两种环境的一致性；还可以为云原生服务精心制定等效策略。
无论选择哪种方式，责任仍由您承担。
安全事件会损害品牌声誉和消费者信任；如果凭据被盗，还可能在未来遭到利用。因此，应用安全比以往任何时候都更加重要。拖到最后一刻才处理，或认为会有其他人负责，都可能造成严重后果。充分认识应用安全的重要性，提高测试和修复的优先级，同时利用云和云支持服务提供的架构选项，将有助于显著降低风险。
应用安全必不可少。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。