數字化轉型中的應用現代化與安全左移
責編：gltian ｜2020-06-01 15:22:54- 新基建加快傳統產業數字化轉型。應用現代化已成為數字化轉型的關鍵。
- 云原生、容器、DevOps、編排等新技術推動應用現代化轉型，同時對網絡安全帶來嚴峻挑戰。
- 信息資產價值不斷提升，重新審視面向現代化架構的安全戰略，保障基礎設施、業務應用、數據資產的安全，成為組織的現實挑戰。
- 面對應用現代化，安全防護需要“左移”，推動安全防護實現從“傳統基于邊界防護的安全”向“面向現代化的內生安全”模式轉變。
1. 新基建加速數字化轉型
目前，以智能化、數字化和網絡化為特征的新一代信息化建設成為全球趨勢。現有數字基礎設施面臨升級需求，實現算力、算法和數據等要素的提升，從而推動業務的智能轉變。
今年以來，中央多次提出加快5G網絡、數據中心等新型基礎設施建設。新基建的提出標志著數字經濟作為經濟主引擎的地位進一步確立，以云計算、大數據、5G、人工智能等為代表的現代化、智能化、數字化新型基礎設施，將會為新經濟發展注入新動能。
作為數字化轉型的底層支撐，新基建必將加快傳統產業數字化轉型，推動實現產品創新、供應鏈優化、業務模式創新和提升用戶體驗的數字化目標。
圖1??數字化轉型目標
2. 傳統信息化架構之殤
面對市場競爭日趨激烈的環境，企業/組織業務部門要求IT基礎設施具備資源彈性獲取、可靠性、穩定性、高性能、安全性的特性，數據中心向云計算模式轉型已是迫在眉睫。
傳統信息化普遍面臨交付與運維的挑戰。在企業由傳統IT向云計算模式轉變的過程中，其在業務、應用、基礎設施、安全設施等方面的需求與現實之間往往存在巨大的矛盾。
圖2??現實與需求的矛盾
傳統基礎設施與應用程序的交付，往往需要數周到數月的周期。如果出現計劃外變更，交付周期將會更加拉長。在市場環境高度競爭的背景下，業務部門對市場需求及創新嗅覺將會變得日益遲鈍，最終可能會錯失市場良機，對業務戰略產生嚴重的不良影響。面臨敏捷性需求的持續壓力，業務要求應用程序具備較高的更新速率，對于基礎設施和應用開發構建模式的壓力與日俱增，企業/組織亟需更為行之有效的手段應對IT資源交付的壓力。
圖?3??傳統IT交付模式
傳統應用系統的構建大多基于IT視角，甚至于基礎架構視角，對基礎設施的可靠性、穩定性、故障恢復能力有近乎苛刻的需求，以商業銀行、證券、運營商為代表的行業往往會投入高額的資金來實現應用系統的高可用和連續性。
傳統IT架構的特性，決定了其運維工具大多面向專業設備及系統，無法涵蓋紛繁復雜的IT環境，難以獲取既有IT環境的全局視圖，無法支撐動態信息化基礎設施的需求。
圖4??傳統IT架構運維挑戰
因此，在新業務模式及市場環境下，沿用傳統信息化架構的組織面臨更大的挑戰：需要投入更多的投資（CapEX）、更長的等待時間（Waiting Time）、更多的手動任務（Manual Work）、更高的運維成本（OpEX）以及更長的安全真空期（Security Absence）。
3. 業務驅動信息化架構變革
根據知名IT咨詢機構Gartner針對全球企業的研究，從傳統架構轉向應用現代化架構轉變，大多數企業要經歷以下三個階段：IT支撐業務階段，IT服務業務階段和IT驅動業務階段。
圖5???數據中心云化之路
- IT支撐業務階段：?IT架構無法滿足業務需求，僵化IT架構導致IT部門疲于應對，亟需對基礎架構資源進行整合，并從全局視角統一運維IT基礎架構。
- IT服務業務階段：?云化基礎基礎架構建設，計算、存儲、網絡以及安全資源的虛擬化構建，初步實現全局運維和基礎資源自動化交付，部分重型應用，如Microsoft Exchange、Oracle、SAP等應用也逐步遷移至云平臺，IT架構服務于業務，可以較好地滿足業務部門的需求。
- IT驅動業務階段：?業務應用現代化構建模式，引入云原生、微服務、DevOps等技術，持續集成、持續部署、持續發布，IT架構可以驅動業務變革，如滴滴打車、外賣業務等。
在數據中心演進過程中，業務驅動作為最大的驅動因素，極大地促進了IT模式轉變和技術變革，同時也促進了數據中心的現代化進程，促使企業/組織更快地上線業務應用，把握商業機會，應對瞬息萬變的市場需求。同時，應用的現代化模式，以其更高效的技術理念及手段，提升了IT運行效率和優化了資源使用率，得到了互聯網企業為代表的用戶青睞。
4. 應用現代化轉型的重點
應用現代化是利用現有遺產應用，實現應用平臺基礎設施、內部架構和功能現代化的過程。應用現代化的本質是對于業務應用程序傳統編程方式的修正，使其更緊密地貼合業務敏捷需求。
在應用向現代化轉型過程中，對現有信息化架構、運維模式、應用開發測試流程、業務數據管理模式、安全需求等都帶來較為嚴峻的挑戰。
1）不可變基礎設施構建
不可變基礎設施是一種保持基礎設施實例不可修改，只能夠進行整體替換的模式。人們通常會用?“寵物與?！钡慕浀浔扔?，來形象地闡釋傳統基礎設施與不可變云計算基礎設施截然不同的理念。
傳統基礎設施的專有性及個體重要性，需要不斷更新或修改軟硬件配置，以滿足業務應用系統的需求。長期持續的手工修改和缺乏變更記錄，導致在原基礎設施出現問題時，新的初始化基礎設施無法立即投入使用，極大影響業務連續性。
圖6???寵物模式?VS.?奶牛模式
云計算不可變基礎設施的設計理念與之截然不同?，F代化應用要求基礎設施實例完成交付后，即成為只讀狀態，相關配置不可再被更改，以保障基礎架構的一致性和可靠性。如需升級或修改某些配置，只能生成新的基礎設施實例對其進行整體替換。
不可變基礎設施模式，意味著不用重復配置基礎設施，這極大減少了配置工作量，簡化了運維復雜性，對于應用所在環境差異的版本管理也更加便捷，使得應用系統的持續集成和部署變得更為順暢。
2）容器化
一般場景下，“容器”指基于Linux內核與系統其他部分隔離的一系列進程的合集，運行容器所需的文件，由鏡像文件提供。
容器提供進程級的隔離，且大多與進程為一比一關系，可以做到比虛擬機更輕量、更迅捷，由于其鏡像文件的一致性，可移植性較之虛擬機也更好。
容器的特性如下：
- 輕量：?更輕更快，高整合比，更加符合微服務需求；
- 標準：?鏡像保證應用運行環境一致性，可移植性更好；
- 改善交付：?實現持續集成、持續交付、灰度部署及升級；
- 高彈：?應用負載高爆發使用場景，快速伸縮；
圖?7??容器與虛擬機對比
相比虛擬機及傳統環境，容器的最大優勢在于鏡像的使用。通過容器鏡像，將應用程序及運行依賴環境配置進行封裝，并通過標準化的鏡像封裝及使用流程，可以真正實現“一次發布、隨處運行（Build, Ship and Run Anywhere）”，實現開發環境、測試環境、生產環境的徹底統一，使得應用程序的開發和交付更加高效。
圖?8?容器應用開發流程
3）應用微服務化
微服務架構是將企業應用系統單體架構拆分為多個服務模塊，再將這些服務模塊按照一定邏輯串接起來，對外提供應用服務。
在微服務架構模式下，各服務組件獨立設計、開發、測試和運維，組件間通過標準API交互，從而實現應用程序的敏捷開發，以應對互聯網融合業務快速迭代與伸縮的巨大挑戰，業務應用也能夠依據業務負載，實現實時擴展。
微服務架構與容器技術相得益彰，兩大技術理念發展的時間點非常契合：容器技術的成熟運用為應用微服務架構改造提供了良好的基礎設施支撐；容器的輕量化、快速伸縮等特性為微服務應用提供最佳運行環境。
圖?9???微服務架構模式
微服務架構的特性：
- 解耦：模塊化；
- 微服務：規模小，專注于一件事/小功能；
- 封裝：服務自身的改變不改變外部接口；
- 自治：各模塊自主改變/升級；
- 后端資源服務化：服務化方式調用后端資源，規避硬件問題，降低環境依賴；
- 提升移植性：解耦硬件及操作系統，提升可移植性；
- 敏捷：實施敏捷開發及持續交付，灰度交付支撐；
4）應用DevOps
DevOps是指通過自動化方式打通軟件交付過程中涉及的基礎設施及IT工具，以無縫銜接軟件開發、構建、發布、測試等環節，使得應用軟件發布更為便捷。
DevOps是一組過程及方法的統稱，本質上是關于應用軟件發布的一套方法論，隨著信息化架構的云化，優化了信息化基礎架構及運維效率，使得軟件交付及部署變得更為高效和順暢，從而可以使得DevOps最大化發揮價值。
基礎架構的統一性是DevOps實踐的前提。版本控制、環境控制、變量控制、持續集成、自動化測試、壓力測試等環節，均對基礎架構（物理機、虛擬機、容器、軟件配置）的標準化管理和供應提出了嚴苛的需求，使得傳統的手工命令配置等方式不再適用?；趹矛F代化的基礎架構，通過聲明式和可編程式交付，可以輕松應對復雜的計算、存儲、網絡配置，實現基礎架構的統一。
圖10??DevOps對基礎架構有著極高的要求
此外，隨著云原生安全及內生安全的理念進一步深化，安全需求貫穿從開發和運營的DevOps生命周期每一個環節才能提供業務安全的有效保障。通過加強內部源代碼管理及審計、安全測試、漏洞發現、安全性能測試、滲透測試等工作，使安全問題在萌芽階段解決。相比在軟件產品交付后修復安全問題，可以大大縮減成本以及提升軟件產品安全性。
圖11??DevOps及DevSecOps
5. 應用現代化的業務價值
應用現代化的好處可以概括為提升新功能交付的速度、實現本地應用平臺云化，從而可以實現應用擴展和性能提升，以及數據中心和IT的長期戰略。
在競爭激烈的市場環境下，企業和組織為了競爭生存，業務敏捷性逐漸凸顯其價值和重要性，以數字化業務為重心的行業面臨諸多嚴峻的挑戰，包括瞬息萬變的市場環境推動業務戰略轉型、顛覆性技術推陳出新、數字化轉型壓力以及信息處理實時性進程加快。
業務應用系統轉型對于數字化轉型的目標實現至關重要，對于信息部門的挑戰也極其嚴峻，信息部門迫切需要改善現有信息化架構及基礎設施，以便更為快捷地提供業務部門所需的技術支撐，提升業務響應速度及業務創新能力。
同時，隨著信息化技術的變革，企業IT架構逐步從傳統物理架構向面向服務的云計算架構變遷，最終形成基于IT即服務（ITaaS）模式，按照業務需求，可以便捷、穩定、高效、持續地提供信息化基礎設施服務、應用平臺服務、云原生服務、以及安全能力服務。
圖12??業務驅動信息化變革
通過面向應用現代化信息架構變革，提升了基礎設施的利用率、健壯性及敏捷性，使企業可以將更多資源的投入基于應用現代化的業務創新嘗試，從容應對海量用戶請求及應用負載，保障應用高可用及業務連續性，抓住轉瞬即逝的市場機會，占據競爭先機。
6. 應用現代化的安全建設思考
信息化架構現代化轉型的深入，為應用提供了高效的開發、測試、部署環境，同時因為特征屬性的變化，而引入了新的暴露面，給企業安全體系建設帶來全新的挑戰。
信息化架構面向云的現代化轉型，為應用和業務創新，提供了高效的開發、測試以及部署平臺，相對于傳統信息化環境，有以下幾點主要的特征轉變：
表1??傳統環境與現代化環境對比
數字化轉型背景下，信息資產價值不斷提升，重新審視面向現代化架構的安全戰略，以保障基礎設施、業務應用、數據資產的安全，成為企業/組織至關重要的使命。
在智能電網應用場景中，每小時會產生包括用電信息、電網負荷信息等數以TB級的數據，這些海量數據通過5G邊緣計算節點以及云數據中心的云原生應用收集并處理，并與終端設備及其他智能應用進行數據交互，傳統基于邊界以及劃分固定安全域的安全策略在此場景下已經無從應對。
此外，在網絡空間安全新背景下，信息化基礎設施與安全體系分別建設的思路已經不再適用。安全體系建設理念必須從“查漏補缺”向“系統規劃”進化，即安全規劃必須在信息化基礎設施規劃中同步考慮，做到同步規劃、同步建設、同步運營。
對于應用現代化過程的安全防護，需要遵循和實施以下原則：
- 云網絡全方位感知：?云環境下，通過物理網絡及虛擬網絡的總體感知、調度及分析，對外部邊界及內部邊界的精細化管控以及動態策略調整，實現通用防護策略（基于容量的拒絕服務攻擊）與精細化訪問控制策略（某容器/POD的對外端口限制）的統一融合管理。
- 零信任模型的深入應用：?云環境要求各類資源動態變化、遷移，這就對細顆粒度的隔離管控、權限管控、安全策略跟隨提出了更高的標準。同時，云管理的控制平面與數據平面分離的模式，可以更為方便地支持多種認證及授權機制（RBAC授權、ABAC授權及動態授權）。
- 默認不可信以及最低授權：?云底層資源計算及網絡隔離是云環境的原生支持機制，只有具備明確的授權后才能對相關資源，如虛擬機、容器、POD等進行訪問，同時提供精細化訪問控制策略，縮減暴露面。
- “安全左移“及自動化、標準化：?應用交付生命周期中，從需求導入、代碼審計、開發測試到部署上線，安全需要持續存在以及發揮能效，且安全資源完成軟件化、組件化、服務化改造，以便結合DevSecOps的自動化手段，實現從代碼到應用的全流程安全介入，增強業務應用的安全性。
- 持續安全運營：?云資源的高度動態特性，要求實現云網資產的實時的全局可見性，并需具備結合威脅情報服務對威脅進行實時監測及分析的能力，從而實現威脅預測、防御、監測及響應處置的自適應安全能力。
“吾恐季孫之憂，不在顓臾，而在蕭薔之內也”，隨著云原生、容器、DevOps、編排等技術的不斷發展，應用現代化的安全戰略也需要完成從“傳統基于邊界防護的安全”模式向“面向現代化的內生安全”模式的轉變。
作者：虎符智庫專家、資深云安全產品經理 曾達
本文轉載自：虎符智庫