經銷商專區｜登入
〔最新消息〕2021-01-27
依賴雲的API實際上會造成混亂，並給軟體發展帶來風險
Radware和Osterman Research對全球200名應用基礎設施和資料安全專業人士進行了一項新的調查，調查結果顯示，多數人對應用程式安全面臨的諸多挑戰表示擔憂。不到一半的人說他們已經成功地將安全性集成到持續反覆運算/持續交付管道中，而同樣數量的人表示“強烈”同意安全工作不應該中斷應用程式的發佈週期。
這個結果在很大程度上符合這樣一個現實，即大多數企業不是將資訊安全視為最終目標，更看重的是其對業務目標的影響。
去年12月，Forrester Research的首席分析師Sandy Carielli指出，對於大多數開發團隊來說，“目標是迅速將產品送到客戶手中”，安全性則是次要的。
Carielli在2020年12月15日舉行的應用程式安全web活動上說：“從開發團隊的角度來看，他們希想要的是有助於加速開發的工具和流程，這意味著他們需要更多的開原始程式碼、更多的自動化和更快的發佈週期。軟體和應用程式是將產品推向市場的關鍵部分，它們也是攻擊者的一種手段。”
企業將不得不重新評估保護其應用程式和代碼的意義：70%的生產應用程式現在託管在私有或公共雲中。然而，對於正在開發的軟體來說，情況恰恰相反：近70%的軟體是在內部資料中心或由組織控制的私有雲中構建的。
這種轉變帶來了一場熟悉的、似乎永恆的關於雲信任和安全的辯論的回歸。超過四分之一的受訪者表示，他們完全信任自己的雲提供商來保護應用程式和資料，而許多組織稱，他們對如何將安全原則應用於公共雲的理解實際上隨著遷移系統和資產的增加而變得更糟。
調查顯示，至少有10%的人表示，他們不清楚是哪一個實體導致了安全性漏洞，而其他人則表示，同樣的困惑讓他們無法確定自己是否遭受了漏洞。
雲計算公司Accurics的首席架構師John Kinsella表示，“開發人員越來越習慣於為雲開發，要改變開發習慣需要更高的舒適度。”
Kinsella說：“任何時候，這種開發都是在與生產環境不同的環境下進行的，這就給人們製造了一個混淆的機會。開發人員需要瞭解應用程式將在其中運行的上下文，安全性需要確保在適當的上下文中執行測試。隨著新產品的發佈和更新，雲服務和API也在頻繁變化，要跟上這些服務的發展需要做大量的工作。”
組織還需要克服在軟體發展週期中更加依賴API的影響。雖然這些API“易於使用”，並允許在開發過程中在系統之間進行更快的通信，但許多API還使這些應用程式面臨一系列基於互聯網的威脅。
這顯然是安全團隊的想法，因為近60%的受訪者表示，API安全是他們計畫在2021年大力投資的領域。獲得對安全事件的可見性、打擊API濫用以及更好的跨平臺策略一致性都被列為所需的能力。每七個受訪者中就有一個表示“無法控制哪些協力廠商服務正在處理他們的敏感性資料”，他們甚至無法瞭解哪些應用正在這樣做。
Kinsella說，API是軟體發展週期中最主要的攻擊載體之一，這既因為它們在雲原生應用程式中“無處不在”，也因為它們最容易攻擊。
他說：“這意味著開發和安全之間需要建立強有力的夥伴關係，以確保有一個組織內不同應用程式中使用的所有API的完整和最新的清單。API安全解決方案還沒有完全成熟，因此組織應尋找供應商或開源工具，除了自動API掃描之外，還可以提供API發現功能。”
Radware調查還有一個發現是，為提高應用程式安全性、自動資源調配和測試、容器化以及安全編排和自動回應（SOAR）等工具而採用的技術最受歡迎。安全和非安全IT人員都認為自動化測試和容器化尤其重要，而像SOAR這樣的工具越來越多地被視為不堪重負的安全團隊處理新的安全事件和警報的有效方式。也就是說，許多組織在自己的安全環境中仍然面臨成熟度問題，這使得更廣泛的採用變得困難或不切實際。
原文連結
