從歷史的角度來(lái)看，應(yīng)用安全一度在應(yīng)用交付中被忽視。這是因?yàn)閷⒏邩?biāo)準(zhǔn)的安全性整合到應(yīng)用的各個(gè)環(huán)節(jié)中，需要大量時(shí)間去測(cè)試和迭代，這會(huì)大大降低應(yīng)用的開發(fā)速度和增加成本預(yù)算。

Radware注意到，隨著企業(yè)不斷優(yōu)化和加速應(yīng)用開發(fā)周期，越來(lái)越多的應(yīng)用在公共云中交付，安全性就成了公有云應(yīng)用不得不正視的巨大挑戰(zhàn)。公有云上的應(yīng)用通常在新架構(gòu)中運(yùn)行，這些新架構(gòu)可以提供前所未有的效率、靈活性和成本效益。開發(fā)工具的流行，進(jìn)一步加快了應(yīng)用的開發(fā)和部署步伐， DevOps越來(lái)越多地在應(yīng)用交付中發(fā)揮積極作用。自動(dòng)化平臺(tái)、強(qiáng)大的業(yè)務(wù)流程框架、開源工具包和可視方案等越來(lái)越多地在公有云環(huán)境中均扮演重要角色，這也為公有云引入新的安全風(fēng)險(xiǎn)。例如DevSecOps作為DevOps的安全組件，雖然將安全盡職調(diào)查納入驅(qū)動(dòng)速度、敏捷性和持續(xù)交付的流程中，但是如果DevSecOps缺乏自動(dòng)化和可視化，對(duì)應(yīng)用的保護(hù)能力就會(huì)較差，進(jìn)而不能對(duì)連續(xù)交付流程提供有保障的安全性。

云生態(tài)環(huán)境：容器、微服務(wù)和服務(wù)網(wǎng)格

越來(lái)越多的容器、微服務(wù)和服務(wù)網(wǎng)格出現(xiàn)在了公有云環(huán)境中。Radware注意到，從單片架構(gòu)過(guò)渡到微服務(wù)架構(gòu)，使得企業(yè)更頻繁地部署應(yīng)用，以更可靠的方式獨(dú)立交付不同的微服務(wù)。容器技術(shù)與微服務(wù)完美匹配。每個(gè)微服務(wù)都可以跨越多個(gè)容器部署，以實(shí)現(xiàn)快速?gòu)椥圆渴穑忍岣吡藨?yīng)用質(zhì)量又縮短上線時(shí)間。

服務(wù)網(wǎng)格在微服務(wù)體系結(jié)構(gòu)中處理服務(wù)間通信的層級(jí)。其目的是通過(guò)負(fù)載平衡、遙測(cè)、流量路由、運(yùn)行狀況檢查等提供彈性，以降低微服務(wù)體系結(jié)構(gòu)的復(fù)雜性。

向微服務(wù)架構(gòu)過(guò)渡的諸多挑戰(zhàn)中有一些挑戰(zhàn)與提供對(duì)象的規(guī)模有關(guān)。在單片時(shí)代，很少有單片Web實(shí)例需要負(fù)載平衡。而如今，成千上萬(wàn)個(gè)自動(dòng)生成的容器需要負(fù)載均衡。

云上應(yīng)用的安全挑戰(zhàn)

Radware的安全專家指出，微服務(wù)架構(gòu)和服務(wù)網(wǎng)格基礎(chǔ)架構(gòu)提供了所有功能，卻無(wú)法化解應(yīng)用和數(shù)據(jù)安全挑戰(zhàn)。云上的應(yīng)用除了面臨與過(guò)去相同的安全挑戰(zhàn)之外，還要面臨微服務(wù)應(yīng)用的分布式特點(diǎn)導(dǎo)致的延遲、拓?fù)浣Y(jié)構(gòu)改變以及并行管理多個(gè)微服務(wù)的挑戰(zhàn)。

開放式Web應(yīng)用安全（OWASP）為專業(yè)人員提供了主要的Web應(yīng)用安全風(fēng)險(xiǎn)提示。而注入、身份驗(yàn)證被破壞、跨站點(diǎn)腳本（XSS）和敏感數(shù)據(jù)泄漏只是與公有云以及公有云應(yīng)用相關(guān)的幾個(gè)風(fēng)險(xiǎn)示例，并不是全部。

當(dāng)前的Web應(yīng)用大量使用API，如物聯(lián)網(wǎng)（IoT）應(yīng)用，機(jī)器對(duì)機(jī)器通信、事件驅(qū)動(dòng)的Web應(yīng)用，Web框架中的自動(dòng)操作，功能即服務(wù)（FaaS）應(yīng)用，移動(dòng)應(yīng)用等都會(huì)涉及API。所有這些用例均指南北通信，即客戶端到應(yīng)用的流量。這些用例的大多數(shù)API帶有JSON主體（REST-JSON）的REST API。一小部分API是基于XML結(jié)構(gòu)化數(shù)據(jù)格式的簡(jiǎn)單對(duì)象訪問(wèn)協(xié)議（SOAP）。

由于這些API在HTTP協(xié)議之上運(yùn)行，大多數(shù)Web應(yīng)用的安全風(fēng)險(xiǎn)與其他應(yīng)用相同。只是由于API可以單獨(dú)提供，因此圍繞授權(quán)和訪問(wèn)控制，API帶來(lái)了額外的安全挑戰(zhàn)。

隨著API的采用日益廣泛，OWASP組織制定了API安全項(xiàng)目，并發(fā)布了OWASP API Security十大版本。提及的API安全風(fēng)險(xiǎn)的示例：包括級(jí)別授權(quán)、過(guò)多的數(shù)據(jù)暴露、缺乏資源和速率限制以及惡意代碼注入，所有這些風(fēng)險(xiǎn)都可能導(dǎo)致數(shù)據(jù)被盜竊或服務(wù)被中斷。

責(zé)任編輯：ct