应用过多是否正在扩大您的威胁面？

“应用会不会多到难以管理？多少才算太多？您是否清楚自己有多少个应用，甚至（令人担忧的是）哪些人有权访问？IDG近期的一项研究发现，企业平均拥有1,742个应用，其中约60%由内部开发。随着应用数量持续增加，企业正努力实现自助服务、自动化和集中管理。”

不断扩大的威胁面

应用对于企业运营至关重要。应用部署得当，几乎可以让任何任务或流程变得更快捷、更轻松。但好东西是否也会多到难以应对？显然会。应用架构、平台和现代技术标准不断变化，IT运维专业人员难以跟上其发展步伐。因此，应用安全性、可见性和合规性日益令人担忧。

一家大型运输公司就遇到了这种情况。早在应用激增尚未被视为问题时，这家运输和办公服务巨头便评估了其应用组合，发现应用数量超过2,600个，这是大规模收购和快速增长共同造成的结果。同样令人担忧的是，该公司还发现这些应用有超过14,000个自定义接口。如此众多的应用形成了庞大的威胁面，任何企业仅凭自身力量都很难应对这一巨大风险，而这只是应用激增带来的诸多重大风险之一。

“IDG最近的一项研究发现，企业平均拥有1,742个应用，其中约60%的应用开发由企业内部完成。”

风险与修复措施

得益于高度成熟的应用开发环境，如今应用从最初构想到概念验证只需数周。这种开发速度带来的一个结果是，应用开发和部署决策（包括影响安全与合规的决策）的责任正逐渐左移至开发人员，不再主要由网络和安全专业人员承担。虽然这有助于加快开发速度、释放潜在创新能力并提升组织的竞争力，但重大的安全威胁、合规要求和运营问题依然存在。

新的利益相关方更倾向于采用云原生和低成本的开源方案，而非由领域专家管理、功能更完善的解决方案。这源于一种合理的担忧：依赖其他团队可能会增加流程阻力，减缓创新步伐。然而，这种方法通常会导致安全和管理工具激增、应用性能缺乏可见性，以及难以满足监管合规要求等问题。

安全和管理工具泛滥

根据我们的《2019 年应用服务状况报告》，约87%的企业采用多云部署，并倾向于使用云提供商提供的各种工具。这意味着需要使用多个原生界面来解决基本相同的问题，但不同的功能、策略和管理界面会带来诸多问题，增加业务风险。

此外，组织不仅要管理数量庞大的应用，还要应对这些应用本身的复杂性。因此，贵公司这样的企业面临着更大的威胁面，也就是可能存在安全漏洞的范围。如今，企业必须应对node.js和HTML5等不同的Web框架，以及应用服务器和Web服务器。不同的浏览器可以访问不同的应用。复杂性每增加一层，漏洞就会增多，需要管理的风险也会随之增加。

那么，如何管理这一风险？关键在于转变关注重点。

我们一直重视网络安全，但现在也应关注应用安全。尤其是Web应用防火墙，这是管理应用安全的常用方式，因为攻击者的目标不只是网络。毕竟，即使网络安全无虞，只要应用存在漏洞，攻击者就能乘虚而入。

再以那家运输公司为例。世界各地的任何人都可以访问其网站，满足运输需求，这意味着潜在用户多达数十亿。即使网络已完全封锁，应用仍可能成为入侵入口，因为任何人都有权使用它。因此，该公司面临的最大风险可能来自应用，而不是受到严密保护的网络。对许多公司而言，应用目前是最薄弱的环节，黑客对此也心知肚明。

需要构建可在全球范围内联合部署的标准化应用服务，同时不妨碍分散式开发团队的创新。应采用并支持自动化，确保将安全性内置其中。安全策略应由相关领域的专家定义和管理，并作为工件存储在源代码存储库中，供CI/CD自动化流水线使用，而不是事后硬编码或手动配置。要进一步安全地缩短应用上市时间，关键是只编写必要的代码，并充分利用身份验证和Web应用防火墙等可复用的基础设施服务。

“想知道一个令人震惊的秘密吗？大多数组织都无法随时掌握其应用的状况。他们不知道自己有多少应用，更不用说这些应用位于何处，或谁有权访问。”

缺乏应用可见性

截至2019年3月，Android用户可使用的应用已超过210万款。Apple的App Store

提供超过180万个应用。这还不包括数百万个已开发和部署的企业应用。总体而言，目前全球投入使用的应用可能已超过10亿个。

想知道一个令人震惊的秘密吗？大多数组织都无法随时掌握其应用的运行状况。他们不知道自己有多少应用，更不用说这些应用部署在哪里，或哪些人有权访问。即使是最重要的应用，组织通常也无法持续了解其性能表现（例如可用性、最终用户延迟），出现问题时也不知道该从何处着手排查。

无论采用何种策略，目标都应是确定如何在不同的基础设施孤岛中，以一致的方式部署和管理应用。实现这一目标并全面了解所有应用的流量路径，较为有效的方法是采用一套一致的多云应用服务。尽可能复用一致的服务，尤其是在多云架构中，有助于通过通用工具降低风险、提高可重复性并减少缺陷。在整个应用环境中部署后，这些一致的服务应支持全面检查通过数据路径的所有流量，以便在出现问题时轻松排查，并拦截和阻止恶意流量。

这种一致性以及该方法带来的可见性，还有助于减少不同运营团队之间的协作障碍。这些团队需要通力合作，确保应用保持高性能和安全性。

合规挑战

如今，许多组织在满足监管合规要求方面面临重大挑战，尤其是那些跨多个云环境运行应用的组织（目前绝大多数组织已经或计划这样做）。

与许多现代城市一样，贝尔维尤市的数字化需求大幅增长。十年前，只有少数技术人员使用该市的VPN远程访问系统。如今，全部1,600名员工均可远程办公。对于该市警察部门而言，要访问敏感的犯罪记录数据，系统必须遵守严格的联邦准则，包括联邦刑事司法信息服务（CJIS）安全政策及相关的联邦信息处理标准（FIPS）。联邦政府每年通过审计检查CJIS和FIPS合规情况。如果不符合这些标准，警察在现场可访问的信息将受到限制。因此，该市需要能够为所有市政服务提供安全且合规的访问方式。

解决方案是什么？虽然不想反复强调，但关键仍在于一致性。将一致且可审计的安全策略集成到CI/CD流水线中，可以简化合规工作，消除阻碍DevOps实践和工具采用的一项关键障碍。

在构建和部署应用时，CI/CD工作流可确保应用每次发布时都受到保护并符合合规要求。

“无论采用何种策略，目标都应是找到一种方法，在各个相互隔离的基础设施环境中以一致的方式部署和管理应用。”

展望未来

毫无疑问，应用正在迅速增多。一些IT专业人员可能会使用“影子IT”或“非授权IT”等说法，因为其中许多应用并非由IT部门引入组织，而是由业务用户引入。但这些贬义说法无助于解决业务用户自行采购（或构建）应用时产生的问题。更合适的做法是将其视为业务主导型IT，即业务用户与IT部门建立合作伙伴关系，共同努力实现业务目标。

应用数量激增，需要采用一致、可自动化的集中式控制。如今，企业的应用资产通常分散在各种平台中，包括云端、私有数据中心、本地环境以及各种SaaS环境。企业正逐步通过统一视图查看整个应用组合。借助这种控制方式，风险管理将变得更加轻松。

F5广泛而全面的应用服务组合和无处不在的平台，使组织能够跨多种环境集中管理可审计的企业级安全与基础设施服务，从而降低变更成本，让开发人员专注于创新。