兼顾多云安全的应用性能管理
执行摘要
应对企业多云安全与应用性能管理挑战
许多开发人员认为，多云战略是更快构建和部署更优质应用的关键。不过，只有能够跨云环境集中管理策略，这种方法才能奏效。解决之道是什么？采用集成式多云管理解决方案。
挑战何在？多云复杂性
为应用选择多云架构，是因为这最符合实际需求。这样做的并非只有您，10家组织中有9家已采用多云架构，相比标准化的环境、流程和工具，它们更重视应用的自由度和灵活性。不过，这种自由也会带来相应的代价。
随着应用组合不断扩展，安全威胁和性能风险也随之增加。应用在企业IT环境中分布得越分散，跨云实施一致策略所需的资源就越多，管理也越复杂，从而使组织更容易受到安全和性能漏洞的影响。
可以采取以下措施
关键是为应用开发团队提供丰富的策略目录，其中包含由安全和NetOps团队制定的安全、合规和性能策略，这些策略易于使用、保持一致且经过审核。
要确保跨云一致性，需要采用一种能够在多云环境中实现自动化、出色的应用性能、安全优化和可用性的解决方案。还需要对管理流量管理和应用安全等核心应用服务的策略进行标准化。这可能意味着有意选择不采用大多数公有云提供的原生应用服务。
一致的跨云策略具有以下优势：
- 简化审计
- 更快缓解安全威胁
- 跨应用层级和云环境快速开展CI/CD开发，节省时间和精力并降低风险
F5如何提供帮助
借助F5丰富的高级应用服务，团队可以创建一套一致的安全性、可用性和性能策略。这些策略可通过代码存储，并集成到全自动CI/CD流水线或半自动服务目录解决方案中。
F5可防御机器人等高级威胁，并持续提供可据以采取行动的流量和攻击模式可见性，从而降低复杂性。此外，F5应用服务可与大多数自动化CI/CD流水线工具集成，让开发和DevOps团队的工作更加轻松。
策略即代码
DevOps团队可以使用F5 Automation Toolchain通过代码定义和管理策略，并通过API接口连接任何F5解决方案。策略以JSON文件的形式定义和管理，只需一次API调用即可执行。
服务目录和F5解决方案
DevOps团队还可以将策略定义为iApp模板，并通过由F5 BIG-IQ或其他编排工具管理的服务目录提供这些模板。这样，应用团队便可使用预配置的自助服务选项，自动完成策略部署，无需向NetOps或SecOps团队提交支持工单。
了解BIG-IQ ›
在上述架构中，我们介绍了如何使用BIG-IP和BIG-IQ，为任何环境中的应用部署一致的安全和性能策略。如果应用团队需要在多个云中部署一致的应用服务，同时仍希望安全和网络专家全程参与，这是一种理想的解决方案。由适当团队设计的模板可通过自动化方式部署，从而保护并加速本地和云端应用。
解决方案指南
挑战
大多数组织更重视云的灵活性，允许应用团队为每个应用选择合适的环境，而非采用通用环境、流程和工具为组织带来的益处。
随着应用不断增多，如何在赋予应用开发团队自主性和灵活性的同时，让企业的安全、合规、性能和可运维性要求能够轻松、一致地沿用，从而实现适当平衡？答案只有一个：标准化。
组件
为在不同云环境中统一采用核心应用服务，组织可以利用多种F5组件。
- Big-IP Virtual Editions
BIG-IP Virtual Editions将F5应用服务的强大功能、防护能力和出色灵活性引入多种私有云和公有云环境。
BIG-IP VE提供全面的流量控制、检查和遥测功能，为虚拟化应用提供所需的防护和优化，帮助实现可靠的应用性能管理，同时抵御日益增多的威胁和恶意机器人活动。
- BIG-IQ Centralized Management
BIG-IQ Centralized Management平台可通过统一界面，管理跨多个公有云和私有云环境的数百个虚拟及物理BIG-IP平台，以及部署在本地数据中心的BIG-IP。BIG-IQ还提供应用交付和多云安全服务目录。这些服务由专家维护，应用团队可按需轻松使用。此外，BIG-IQ通过基于角色的个性化应用仪表板，提供设备、网络、安全和应用层面的可见性与洞察。最后，BIG-IQ可管理可恢复、可重复使用的许可证池，便于根据需要在多个云之间灵活调配容量。
团队
要在云端交付安全、快速且不断演进的应用，安全、运维和开发团队需要高效协作与沟通，才能在多云环境中提供一致的服务。
- NETOPS
网络运维团队负责网络基础设施。在云环境中，负载均衡等简单服务可能由应用所有者负责；但无论是在云端还是在数据中心，网络团队在大规模管理应用流量以及提供高质量应用性能和安全服务方面的专业能力都同样重要。 - SECOPS
安全团队负责保护应用、客户和数据，使其免受日益多样的威胁。虽然应用团队发挥着重要作用，但安全团队及其网络团队同事，以及他们提供的应用安全服务，是抵御大量机器流量和恶意攻击者的第一道防线，而且往往也是最后一道防线。这些攻击者会利用漏洞损害业务。 - 开发/DevOps
他们是由NetOps和SecOps创建的应用性能与安全服务的使用者。究竟是云推动了现代应用开发CI/CD部署模式的形成，还是方法论的变化催生了云，或许仍有争议。无论如何，CI/CD和其他DevOps方法都将长期存在，其他基础设施也需要快速适配这种应用开发和部署方法。
流程
为多个云环境中的Web应用提供相同的基准策略，有助于确保应用受到保护并保持高性能。
- 安全策略库
构建可按需部署的标准安全策略库，无论应用部署在何处，都能保护应用免受常见漏洞利用。例如，可以在开发和测试环境中创建Advanced WAF基准策略，然后将其导出到BIG-IQ管理平台。应用模板可引用该策略，并将其与其余配置一起部署到多个云中。此外，该策略可以利用所有部署设备的学习功能，汇总数据以改进策略，再将改进后的策略推送到云中运行的BIG-IP映像。 - 应用服务库
网络运维团队可以构建一个服务目录，将安全策略、应用交付策略和日志记录配置组合起来，然后根据角色等不同条件进行分配。
应用模板可以手动创建，也可以从现有配置克隆。模板还可以存储在源代码管理系统中，并通过API部署。F5持续推动应用服务创新，推出了新的Application Services 3（AS3）模板，为BIG-IP设备和应用服务的配置提供可编程、自动化的声明式模型。
基础设施
多云环境需要支持多种部署模式的解决方案。BIG-IP平台可以软件形式部署在公有云或私有云中，也可以硬件形式部署在企业数据中心等私有云环境中。
更便捷的是，无论BIG-IP设备及其承载的应用部署在公有云、私有云还是裸机上，都可以通过一个控制台管理整个F5产品组合。
- BIG-IP Cloud Edition
如果需要专用的单应用架构，BIG-IP Cloud Edition可提供规模适配的平台，旨在为每个应用配备独立的BIG-IP实例，并结合集中式管理、以应用为中心的深度分析（便于故障排除）、智能自动扩缩容和灵活的使用模式。
- 云解决方案模板
您可能需要动态部署和接入新实例。因此，我们为所有主流云平台提供云模板，以支持通过API部署平台，并提供可复用的声明式接入系统来完成初始配置。
监控
BIG-IQ将恰当的洞察提供给合适的人员，帮助他们优化应用。通过配置来自BIG-IP实例的丰富遥测数据源，并在交互式下钻GUI中汇总和显示数据，BIG-IQ可为各团队提供所需信息，帮助他们更好地完成工作。
- NETOPS
NetOps团队可获取网络和平台性能信息以及关键应用洞察，从而为组织创造更大价值。 - SECOPS
安全团队可以制定多云安全策略并持续对其实施严格管控，监控攻击频率和攻击向量，并获取其他关键洞察，从而帮助保护应用及其运行基础设施，防范恶意行为者和内部人员失误带来的风险。 - 开发/DevOps
应用团队可以监控其负责的应用，无论这些应用位于何种虚拟化环境中，并获取延迟、往返时间和页面加载时间等关键指标。这些洞察有助于团队及早发现问题，快速准确地确定根本原因，并更高效地与SecOps和NetOps团队协作。
