为何每个联邦机构都需要企业应用战略，以及如何制定这一战略

简介

美国联邦机构的IT高管必须谨慎权衡，在减少浪费和尽量降低网络攻击所致损失的同时创造更多价值。一方面，IT领导者必须采用最新技术，以提高效率、创造更多价值并节省纳税人的资金。另一方面，他们面临着不断演变和扩大的威胁形势，需要投入大量资源来缓解风险。简而言之，每项举措和每个决策都必须兼顾创新与保护。为协调这些看似相互冲突的目标，联邦机构的IT领导者应制定符合其组织使命的企业应用战略。

开启应用时代

在F5 2019 年应用服务状况报告的受访者中，65%表示其组织正在进行数字化转型。数字化转型是组织利用技术显著提升绩效和用户工作效率的一种新方式。

简而言之，应用正在成为业务或使命本身。

为把握这一重大转变带来的机遇，各组织正在进行全面变革，探索新的业务和IT运营模式，例如：

依赖云电子邮件和生产力工具等SaaS服务
将自定义应用容器化，以简化管理并降低成本
使用云安全服务快速识别攻击，并根据组织规则应用策略。

应用正交付到多种不同类型的设备。访问应用的用户不再局限于传统企业环境，他们可能使用移动设备或居家办公。CRM、ERP等各种关键业务功能必须支持从传统企业网络之外访问。

《2018 F5 Labs 应用保护报告》显示，公共部门组织平均使用680个应用，其中32%被视为任务关键型应用。

除了应用数量大幅增长外，各组织还在将这些应用部署到新的架构和服务中。《2019 年应用服务状况》研究显示，14%的受访组织已将容器作为默认的应用工作负载隔离方式，87%的受访者正在采用多云架构。美国管理和预算办公室（OMB）也在倡导“Cloud Smart Strategy”¹，以迁移到安全可靠的云网络。

了解快速扩大的威胁面

利用技术减少阻碍、提供新服务并提升价值的，不只是政府和商业组织。网络犯罪分子、激进组织和国家级威胁行为者也在飞速提升网络攻击能力。随着网络和基础设施防护能力不断增强，网络攻击者正将目标转向防护较弱的对象。

攻击者利用这些薄弱目标渗透可能存储人员信息或机密信息的高价值资产。F5 Labs研究显示，86%的网络攻击者会直接以应用为目标或窃取用户身份，通常采用网络钓鱼手段。²

攻击者逐渐发现，间接攻击有时更容易得手。其中一种方式是攻击重要性较低的应用（如物联网设备），并逐步提升访问权限。曾有犯罪分子通过美国一家赌场大堂水族箱的温度计入侵赌场，并以此为立足点侵入贵宾客户数据库。³同样，2013年造成严重影响的Target数据泄露事件始于攻击者利用Target暖通空调供应商的漏洞，最终导致销售点系统遭入侵，4,000万张信用卡的信息泄露。⁴

如果缺乏管理，开源及其他第三方组件和服务也可能带来风险。《Sonatype 2018 年软件供应链状况报告》指出，每 8 次开源组件下载中，就有 1 次下载的组件包含已知安全漏洞。⁵包括公共部门在内的各类组织都在利用开源技术加快开发和交付。然而，这些组织往往未将开源组件纳入安全扫描和审查流程。这些组件会成为应用组合的一部分，应像自定义代码一样接受严格审查。这既包括服务器端组件（例如 NPM 软件包和库），也包括客户端组件。

随着应用在实现组织目标方面发挥越来越关键的作用，其增长速度已超过大多数组织扩展运营能力的速度。传统的边界安全模式难以扩展，在防范威胁方面的效果也有限。一旦防护薄弱的目标遭到入侵，高价值资产就会面临风险。新的架构和部署模式进一步对传统安全措施提出挑战。应用正部署在分散的位置，并使用多云应用服务来提升性能。与此同时，与应用相关的威胁面正呈指数级扩大。

在应用和软目标附近进行持续监控，对于在保持性能的同时提供安全保障至关重要。集成智能云安全功能可与应用协同工作，快速缓解威胁并保护敏感数据。可将小型数据类型发送到云端，通过与云中存储的数百万个构件进行比较来识别潜在威胁。由此可以判断客户端是机器人还是真实用户。

欺诈防范服务可与应用协同，通过与恶意行为者交互来获取更多类型的数据，并防止大规模欺诈。完整的欺诈画像可发送至组织的持续监控系统，以便采取行动、防止攻击扩散、确定受入侵系统的位置，并提供从受感染计算机中消除威胁的步骤。分析人员可将相关信息提供给运维团队，以便进一步分析。

充分发挥多云和SaaS的优势

本已十分复杂的局面又添新挑战：联邦机构正转向多云和SaaS部署，以获得更大的灵活性和更高的可用性，减少供应商锁定，并在某些情况下利用更低的成本。难题在于：如何在不超出预算的前提下，跨混合云、多云和SaaS架构提供标准化、安全且无缝的应用体验？

机构可能会在可信互联网连接点使用边界解决方案，以保护与SaaS和多云环境的连接。由于机构的连接点有限，这可能会导致性能问题。面向公众的应用必须通过这些连接点接受安全检查，因而会产生延迟。由于流量必须为安全检查而“绕行”，可扩展高性能应用的优势也随之丧失。

边界解决方案还依赖静态特征码。如果出现新威胁，且安全云服务提供商已对其进行分析，相关信息不会传递到边界系统以阻止攻击。特征码可能需要一天或一周才能更新。等到特征码最终生成并更新到边界安全系统时，高价值资产可能已遭入侵。

应用服务标准化

对多云和SaaS应用服务（即用于保护、管理和优化应用的解决方案）进行标准化，可降低多云架构带来的运维复杂性。

例如，与平台专用服务（如必须使用特定供应商的消息队列服务）相比，在企业应用层面运行的服务（如通过代码调用API和事件驱动型系统）不仅更易于管理，功能也更强大。在所有应用中启用同一组功能，可以减少运维开销。通过尽可能为更多应用服务采用标准平台，组织可以利用更多自动化功能并复用更多代码，从而实现一致、可预测且可重复的运维流程。

制定企业应用战略

如今，许多云原生组织甚至没有IT部门，传统IT架构和运营流程已明显无法满足应用开发人员和DevOps团队的期望。为了更快推出应用，企业往往会绕过传统的网络和安全团队，以及相关的安全与运营流程。事实上，要保护企业应用组合，人员和流程与技术同样重要。

面对不断扩展的多云环境，企业迫切需要相应的解决方案来管理性能，更重要的是管理风险。无论应用位于何处，解决方案都必须支持部署一致的策略、管理威胁、提供可见性，并支持监控应用的运行状况和性能。如果不合适的解决方案阻碍了应用开发和DevOps团队的创新与敏捷性，数字化转型带来的任何收益都可能大打折扣。

随着应用的价值和风险日益上升，每个联邦机构都需要制定企业应用战略，明确如何构建或采购、部署、管理和保护企业应用组合中的应用。

第0步：使应用战略目标与组织使命保持一致

摘要：把握这一机会，制定与贵联邦机构使命和目标一致的企业应用战略。

数字化转型的核心在于，用高效且数据丰富的应用取代繁琐的手动流程。因此，企业应用战略的总体目标应是直接增强、加速并保护组织履行使命所需的数字化能力。任何不符合这一目标的应用或相关应用服务都应降低优先级。应为高优先级应用提供更多资源和安全保障，而优先级较低的资产则可使用共享资源。

这种协调一致还意味着要考虑当前状况，包括仔细审视现有的企业数据战略、合规要求以及组织的整体风险状况。

在许多情况下，人们可能并未充分了解这些不同因素带来的限制，以及它们对应用开发团队敏捷性的影响。贵机构的企业应用战略应明确说明，愿意如何在创新、敏捷性和风险这些往往相互冲突的因素之间取得平衡。

第1步：创建应用清单

摘要：开始现代化改造之前，需要建立完整的应用清单。

在制定企业应用战略时，大多数团队都无法从零开始。IT行业几乎所有团队接手的技术架构，都是数十年来在勉强维持运行的遗留系统之上不断叠加各种不同系统的结果。与商业领域相比，美国联邦政府面临的这一问题可能尤为严重。要将这些互不协调的技术组件顺利迁移到理想的目标状态，通常并非易事。因此，必须开展更深入的调研和分析。

这听起来或许过于简单，但要充分保护某个对象，首先必须知道它的存在，然后还要能够准确监控其运行状况。然而，除少数例外，大多数组织甚至无法确定其应用组合中有多少个应用，更不用说这些应用是否运行正常且安全。根据F5 Labs 2018 年应用保护报告，62%的IT安全负责人对能否全面掌握组织内的所有应用缺乏信心或毫无信心。

应用清单中应包含的内容

应用清单是任何应用策略的基础要素，其中应列出所有应用，无论这些应用是面向内部、横向（例如，面向其他政府实体）还是外部（例如，面向公众）提供，并包括以下内容：

应用或数字服务所执行功能的说明
应用的来源（例如，定制开发、软件包或第三方服务）
应用需要访问或操作的关键数据元素
应用正在与之通信的其他服务
应用中包含的开源组件及其他第三方组件
对应用程序负责的个人或团队

如何构建清单

首次构建应用清单通常既繁琐又耗时。一种较为简便的未知应用排查方法是将应用清单设为允许列表；不在允许列表中的应用将无法访问企业资源（例如网络）。要追踪组织外部的应用，云访问安全代理（CASB）等工具会很有帮助。CASB位于用户与互联网之间，监控并报告所有应用活动。它们不仅能显示员工最常使用哪些应用（以及如何访问这些应用），还能帮助了解影子IT应用的使用情况。

采用DevOps架构模型并将应用集成其中，可以简化后续的清单管理流程。确定应用的优先级并将其部署到多云或SaaS环境后，开发人员可以使用开源工具（如Ansible、GitHub）对部署进行打包。随后，这些工具将对部署进行管理，其中包括安全服务、补丁管理和代码。清单信息集中存储，可快速提供。因此，即使应用位于云或SaaS环境中，组织仍可识别该应用。

FedRAMP 注意事项

为确保应用清单准确无误而投入的每一分时间，都能直接提升快速界定FedRAMP系统边界的能力。此外，当认证机构提出要求时，还能以更准确的方式，快速、精准地找到应用基础设施乃至应用中单个组件的责任方。

最后，FedRAMP工作需要持续开展，频率可能不止每年一次。这是一个持续的过程，需要密切关注当前使用的应用和数据存储库，了解用户的操作需求，并评估开发环境的演变情况。

第2步：评估每个应用的网络风险

摘要：确定安全措施时，应评估每个应用的具体风险级别，并综合考虑所有适用的合规要求。

网络风险日益加剧，已成为美国政府IT领导者高度关注的问题。为应对这一风险，应首先评估每个应用的网络风险。

应针对清单中的每个应用评估以下四类主要网络风险：

敏感内部信息泄露（例如军事机密）
敏感客户或用户信息泄露（例如，人事记录、纳税记录）
篡改数据或应用程序
对数据或应用程序的拒绝服务攻击

对于网络风险，应根据上述类别，考虑网络攻击对数字服务造成的财务或声誉影响，以衡量该服务的重要性。不同组织对特定服务潜在损失程度的评估各不相同，因此，每个组织都应根据自身确定的使命进行估算。例如，FISMA要求确定使命或业务案例面临的机构级风险。但通常也有必要评估应用级风险，以便为使命相关合规标准日趋严格做好准备。

合规注意事项

组织风险计算有时也会纳入不遵守适用规则、指南和合同所带来的风险。联邦机构受到大量法规和标准的约束，因此在评估应用和数字服务时，应将这些因素全部纳入考量。建立与应用关联的网络风险评估模型，可将评估边界缩小到可管理且粒度适当的服务组，从而帮助简化满足CDM/ConMon要求和实现FedRAMP合规的流程。

借助SaaS简化合规

使用SaaS服务有助于减少组织对合规问题的顾虑。应用风险和合规问题由SaaS提供商负责，因此组织可以专注于自定义应用。

考虑在应用中集成云安全服务，以保护用户账户、财务数据和个人信息。云安全服务拥有数百万个数据点，应用可利用这些数据点判断客户端是恶意行为者还是真实用户。由于这些数据点会持续更新，因此可以识别新的威胁。规则可实时应用于应用，并与现有的企业安全策略协同工作。

第3步：确定所需的应用服务

摘要：梳理贵组织所需的应用服务，即在后台支持应用运行的解决方案。

应用很少独立运行，因此，除了盘点应用外，还应管理和跟踪支持应用运行的应用服务。应用服务是面向应用构建者的打包解决方案，可提升应用的速度、可移植性、安全性和可运维性。应用服务可为应用工作负载带来多项重要优势：

速度：应用工作负载的性能以及快速交付能力。
可迁移性：应用工作负载可轻松地从一个物理或逻辑托管站点迁移到另一个站点。
安全性：保护应用工作负载及其相关数据。
可运维性：确保应用工作负载易于部署、易于持续运行，并在发生故障时易于排查问题。

查找依赖应用服务的一种有效方法是查看环境所对应的FISMA或FedRAMP系统安全计划中的“控制措施”部分。该部分通常会指出以安全为重点的应用服务，以及依赖这些应用服务的其他服务。

虽然每个应用都能从应用服务中受益，但并非每个应用都需要相同的应用服务。

常见的应用服务包括：

负载均衡
DNS交付
全局服务器负载均衡
Web应用防火墙
DDoS预防与防护
应用监控与分析
身份和访问管理
应用身份验证
API网关
容器入站和出站流量控制
SSL加密

平衡成本、安全性和性能

所有应用服务都会产生一定成本，包括服务本身的直接成本和运营维护的间接成本。低优先级应用可以使用共享功能来帮助降低成本。共享功能可提供安全保障并维持性能。高价值资产对组织的生产力至关重要，因此需要投入更多资源。

值得注意的是，许多应用服务专为支持特定类别的应用而设计。例如，只有用于提供IoT应用的应用才需要IoT网关。采用传统架构交付的应用不需要面向容器化环境的应用服务，因此入口控制和服务网格应用服务可能并不适用。

在某些情况下，可能需要采购新的应用服务，以确保合规或降低风险。最低基线控制措施虽然在技术上可能符合合规标准，但不应仅满足于此，而应选择有助于增强网络风险应对能力的应用服务。

第4步：定义应用类别

摘要：根据应用的类型、优先级和要求对其进行逻辑分组。

完成应用清单后，下一步是根据需要采用不同管理和应用服务方法的特征，将应用划分为不同的逻辑类别（例如，是否可访问敏感数据、是否面临更多威胁）。

完成分类后，企业应用策略应根据应用本身的关键程度和企业分类，明确不同应用类型应采用的性能、安全和合规配置。

建议从四个基本层级入手。

第1层

应用特征
被视为高价值资产，同时也是收集和转换敏感数据的关键任务型数字服务的应用

所需的应用服务
负载均衡、全局服务器负载均衡、Web应用防火墙、DDoS防护和防御、机器人检测、SSL加密和解密、用户身份和访问管理、应用或服务身份识别与身份验证、应用可见性和监控

其他特性
应用服务部署在应用附近，并集成到应用部署中。利用智能云服务保护敏感数据，包括用户账户、信用卡信息和个人信息。

第2层

应用特征
可访问敏感数据的关键任务型数字服务

所需的应用服务
负载均衡、全局服务器负载均衡、Web应用防火墙、DDoS防护和预防、机器人检测、SSL加密和解密、用户身份和访问管理、应用及服务身份与身份验证、应用可见性和监控

其他特性
使用智能云服务保护敏感数据，包括用户账户、信用卡信息和个人信息。

第3层

应用特征
不收集敏感数据，也不提供敏感数据访问权限的关键任务型数字服务

所需的应用服务
负载均衡、全局服务器负载均衡、DDoS防护和预防、应用可见性和监控

其他特性
可以使用共享服务来帮助降低成本。使用智能云服务保护敏感数据，包括用户账户、信用卡信息和个人信息。

第4层

应用特征
其他数字服务

所需的应用服务
负载均衡、应用可见性和监控

其他特性
可以使用共享服务来帮助降低成本。

分类的价值

由于应用面临的威胁会因其托管环境而异，因此可以进一步扩展此分类，按部署环境（例如本地部署、公有云）加以区分。

以这种方式确定目标的优先级，还有助于轻松地将所部署的应用预先归入适当的FISMA/FedRAMP级别。现在花一点时间梳理任务目标的结构，可以大幅减少日后与审计人员沟通所需的时间。

任何组织都没有足够的资源在可接受的时间内完成所有想做的事情。通过确定应用的优先级，可以采用分类处置的方法，判断哪些应用需要通过应用服务来增强，哪些应用应进行现代化改造或替换，以及哪些应用不值得投入精力。对于最后一类应用，应确保将其与网络的其他部分隔离，避免看似无害的物联网恒温器导致整个网络遭到入侵。此过程还包括评估可能开辟新价值来源的新应用，并据此决定是内部开发还是从第三方采购。

第5步：定义应用部署和管理参数

摘要：制定部署和使用参数。

部署和运营管理始终是任何IT战略的基础，而现代企业应用战略又带来了一些新的考量（例如，终端用户体验的重要性）。其中包括评估以下方面：

支持哪些部署架构（例如混合云、多云）
各应用类别的部署模式选项
哪些公有云可作为应用的访问点
可在多大程度上利用公有云原生服务，而非第三方服务

不同应用对部署和使用模式有不同的需求。在制定应用策略的这一阶段，应尽可能全面了解各种部署选项，因为每种选项的使用模式、成本影响以及合规性和认证要求可能各不相同。

在选择部署模式时，还应盘点现有的技能和人才，并将其纳入决策考量。例如，如果内部缺乏足够的专业人才来管理AWS，也无法获得外部专业人员的支持，却仍选择在AWS上部署，可能会拖慢进度并带来风险。

切勿忽视，部署和管理机制本身可能也需要获得授权。无论是依据FISMA，还是依据FedRAMP ATO/P-ATO，具体取决于贵机构为相关任务采用的标准。

第6步：明确角色和职责

摘要：明确企业应用战略中各项要素的责任归属。

除了明确阐述目标和优先事项外，企业应用战略还应涵盖角色和职责。

需要了解：

谁有权就应用组合的优化和安全防护作出决策（例如技术选型、应用处置、用户访问管理）？
谁拥有各应用的特权用户访问权限？
谁负责各应用在不同环境中的部署、运营和维护？
谁负责确保遵守企业应用策略？
由谁负责监控企业应用战略目标的落实情况？相关指标将向谁报告？
由谁负责监督供应商（包括开源组件提供商以及第三方组件或服务提供商）的合规情况？
由谁来确保所有应用和应用服务均已纳入清单（因为应用和服务会不断变化，并会持续添加或移除）？

这些职责可能由个人、跨部门委员会，甚至整个部门承担。无论由谁承担，都应明确说明。事实上，对这些职责的界定可能需要比合规制度的要求更加具体。

较为成熟的组织会采用运营流程和自动化机制，在应用构思阶段，也就是开发流程早期，明确这些责任归属。在多云环境中，数百甚至数千个应用为关键职能提供支持，因此，应用策略及相应政策应明确界定责任归属。

实施企业应用战略

企业应用战略制定后，必须加以落实，才能发挥应有作用。落实机制应包括内置于流程自动化中的“硬性”防护措施（例如用户访问控制、代码签入时的漏洞扫描），以及员工培训、能力提升或意识培养等“软性”措施。

实施严格的访问控制

访问控制策略应支持企业应用战略中定义的运营角色和职责，并覆盖本地和云端的所有应用。鉴于特权用户访问会给应用带来风险，应予以特别关注。例如，特权用户拥有应用的管理权限或根权限，因此可能成为复杂高级持续性威胁（APT）的攻击目标。

针对特权用户，建议采取以下特殊措施：

特权用户应始终归入单独的组。应在访问控制解决方案中将这些用户定义为“高风险”用户，并对其实施一些可能不会面向所有用户或所有应用分类级别实施的安全控制措施。
应要求使用多因素远程身份验证。 如果使用有效凭据的访问尝试未能通过第二重身份验证（例如，攻击者从共享凭据遭泄露的事件中获取了有效凭据），或者访问尝试来自根据上次有效登录判断在现实中不可能到达的位置（例如，同一用户两小时前在美国成功登录，随后又尝试在东欧登录），则应锁定该账户，直至完成进一步的安全审查。
管理访问权限应仅授予经过适当培训，且因履行工作职责而经常需要此级别访问权限的人员。对于因紧急情况或特殊项目而授予的任何临时访问权限，应将相关人员加入单独的用户组，并设置自动使用情况监控，以便在系统管理员忘记撤销权限时发出提醒。应定期审查访问权限是否适当，并由应用程序负责团队或应用程序访问授权团队以外的人员独立完成，以避免任何利益冲突。如果特权用户长期未访问某个账户，则应重新评估其是否确实需要该访问权限。
应记录所有特权用户对应用程序的访问，以便进行适当审计。 其中包括该用户账户所做的任何更改。

要在云端访问控制方面实现这种程度的可见性和自动化，可能既困难又成本高昂，因为云平台通常不原生提供这些功能。不过，通过第三方许可可以实现。鉴于这些功能的重要性，这项投入很有价值。

持续培训员工及相关利益相关方

随着应用数量稳步增长，媒体上可获取的数据日益丰富，攻击者会利用这些数据确定要攻击的应用及有权访问这些应用的人员，因此，安全意识培训比以往任何时候都更加重要。

由于鱼叉式网络钓鱼是攻击者惯用的手段，因此应重点开展网络钓鱼培训。《2018 年 F5 Labs 网络钓鱼与欺诈报告》发现，对员工开展10次以上培训，可将网络钓鱼成功率从33%降至13%。然而，安全意识培训往往频次不足，材料也不合适。仅为满足合规要求而设计的标准化意识培训服务，可能导致员工不了解自己在信息安全中的职责，也缺乏履行职责的主动意识。如果目标是降低安全事件风险，就应频繁开展针对贵组织定制的培训。

攻击者不会停歇，因此员工必须时刻保持警惕。所有组织都应营造持续求知的文化，尤其是联邦机构以及向联邦政府提供产品和服务的企业。员工应意识到，自己会因拥有应用和数据访问权限而成为攻击目标。他们还应了解，敌对国家可能会如何利用这些访问权限或数据，牟利型网络犯罪分子也可能将其出售给攻击者。

结论

为确保数字化转型取得成功，所有组织都应制定企业应用战略及相应政策，并对员工开展相关培训。联邦机构同时使用大量传统、混合和现代应用，因此这一点尤为重要。要成功交付可靠、安全且经过授权的数字服务，这些措施不可或缺。

应用是任何组织数字化转型的核心。随着软件开发和部署方式快速变化，应用既是组织价值的重要来源，也是主要的漏洞来源。本文所述的应用战略和政策要素，为保障组织实现数字化愿景奠定了必要基础。随着应用组合的风险状况日益严峻，组织必须迅速制定正式的战略和政策。

_{¹ 美国管理和预算办公室《云智能战略》
² F5 Labs：十年数据泄露事件的经验教训
³ 《犯罪分子入侵鱼缸，从赌场窃取数据》，《福布斯》
⁴ 《Target数据泄露事件源于基本的网络分段错误》，《计算机世界》
⁵ 《2018年软件供应链状况》，Sonatype}

发布于2021年1月11日

联系F5