这是一个由应用主导的世界。这句话听起来已渐显陈词滥调，但事实依然如此。在安全方面，这意味着我们应从应用入手，并逐步将关注范围扩展到用户。
但如今，我们并不是这样构建安全架构的。
如今，我们构建安全架构时，往往试图在网络边界周围筑起一道坚不可摧的防火墙。随着防线向应用逐步深入，所构筑的安全壕沟粒度越来越粗，最终到达应用时，几乎已无任何防护。与应用关联最紧密的安全防护反而离需要保护的应用最远，而不是最靠近应用。这迫使我们在网络边缘进行大规模扩展（需要使用昂贵的硬件设备来支持所需的带宽和端口密度），而不是在更靠近应用的位置进行适度扩展；在后者中，可以更轻松地部署成本更低、更易于管理的软件和虚拟化“设备”。
我们需要彻底转变这种架构，重构安全体系，使其更好地适应当今的应用和业务模式。
为了更好地扩展安全基础设施并发挥其价值，我们需要停止在企业边界追求“应用感知”。在靠近应用的位置，我们不能再如此忽视应用差异，而应开始将这一切左移至开发和运维环节，转向一种在经济性和架构上均可扩展的软件模式。我们需要在传统网络边缘部署通用的企业安全基础设施，并在新的边界（即应用）为每个应用构建专属的安全架构。
考虑到云对应用的影响，这一点尤其明显。云影响的不是数据中心，而是应用。我们需要保护的是各处的应用，而不是网络。如果安全策略依赖于对网络（以及网络访问者）的完全控制，就无法做到这一点。无论应用是否位于数据中心，我们都需要考虑如何保护应用，并以此为基础制定安全策略，而不是继续沿用云颠覆数据中心之前所依赖的基础。
想想看，物联网和微服务架构的采用将带来应用数量的激增。如果每种“新”技术通常都会使应用数量增加到原来的10倍，那么两种“新”技术同时出现会催生多少应用？为了支持其中每一个应用，网络边缘又需要制定多少新的安全策略？
没错，数量会非常庞大，比目前多一到两个数量级。
如果我们将这些功能左移（从部署流水线的角度来看；如果查看传统网络图，则是右移），并将其迁移到更多采用软件部署和软件定义的环境中，会怎样？如果让应用开发人员和深入了解应用的人员参与进来，协助制定保护应用安全的策略，再将这些策略集成到部署流程中，会怎样？集成到CI/CD流水线中呢？如果以相同方式打包应用，并为其配备所需的相同安全服务，无论应用位于公有云还是本地环境，会怎样？如果能以某种方式在各种IT基础设施中实现一致的安全性，而60%的组织认为这是保护云环境的首要因素［云安全聚焦］，又会怎样？
这样能否扩展？
我猜应该可以，而且与当前模式相比，造成的中断更少，也更易于管理。
云计算正在带来颠覆性变化。移动化正在带来颠覆性变化。物联网也将带来颠覆性变化。这并不总是坏事，尤其是当它让我们有机会重新思考和评估应用的部署、交付与保护方式时。
因此，也许是时候彻底转变安全模型，将应用视为新的安全边界，从而更有效地扩展安全能力、保护应用并维护数据的完整性。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。