Shift（Web 应用程序）安全左移

对于适当的 IT 关注“左移”的概念正在不断发展。 这个概念基本上是将更多地转移到应用程序开发交付管道功能中，如果及早应用，可以提高生成的代码的稳定性和安全性。 安全性是可以产生显著效益的功能之一，它可以减少生产中出现的冲突和错误，并节省企业不愿花费的时间和金钱。

大多数时候，提出的准备“左移”的安全功能都是与代码直接相关的功能：漏洞扫描、自动修补、入侵检测和类似的服务。 很少（事实上直到这篇文章之前可能都没有）被提及的是将 Web应用防火墙功能左移的好处。

将这种功能向左移动的背后有很好的逻辑，即应用亲和性。 高度应用亲和的服务（例如 Web应用安全性以及负载均衡和优化）特定于应用应用。 不是像 HTTP 这样的协议，而是实际的应用本身。 具体来说，应用安全和优化通常包含需要了解特定 URI（如 RESTful API 调用）、正在交换的数据类型（及其格式）以及识别可能特定于应用程序或应用程序特定部分的用户和设备的配置。

这意味着 Web应用安全策略很大程度上取决于应用，也意味着该策略仅适用于该应用。 匹配数据和 URI 可能会（并且确实）引入错误的可能性，这意味着应用崩溃。 当该错误在生产中首次出现时，人们就开始关注它。 时间被浪费了，金钱被浪费了，一周的咖啡因预算猛增，导致其他人在本月剩下的时间里只能喝彩色水。 一点都不好。

将这些应用仿射策略的配置和测试转移到测试中，可以带来很大的好处，可以消除大多数（希望是海森堡之外的所有）冲突或错误，并确保在生产流程中更顺畅、更快、更简单地推出。

传统 Web应用防火墙服务的软件和虚拟版本的日益普及意味着能够在更广泛的环境中配置这些服务并确保在部署管道中保留更高级别的访问权限。 将 Web应用安全性左移还意味着能够在保护被测应用的同时将漏洞扫描应用于 Web应用安全服务，从而使安全操作和开发人员更好地了解两者之间的交互，以及调整策略以确保正确（预期和期望）行为的机会。 策略，特别是那些可能以模板形式封装的策略，可以很容易地在环境之间移动，并且可以被视为代码——存储在存储库中并进行版本控制以供将来使用。

API 和模板的可用性以及传统网络托管应用亲和服务的虚拟化使得组织能够将安全性转向左侧并在优化生产管道流程方面取得真正的收益。