数字化转型中的应用现代化与安全左移

• 新基建加快传统产业数字化转型。应用现代化已成为数字化转型的关键。
• 云原生、容器、DevOps、编排等新技术推动应用现代化转型，同时对网络安全带来严峻挑战。
• 信息资产价值不断提升，重新审视面向现代化架构的安全战略，保障基础设施、业务应用、数据资产的安全，成为组织的现实挑战。
• 面对应用现代化，安全防护需要“左移”，推动安全防护实现从“传统基于边界防护的安全”向“面向现代化的内生安全”模式转变。

1. 新基建加速数字化转型

目前，以智能化、数字化和网络化为特征的新一代信息化建设成为全球趋势。现有数字基础设施面临升级需求，实现算力、算法和数据等要素的提升，从而推动业务的智能转变。

今年以来，中央多次提出加快5G网络、数据中心等新型基础设施建设。新基建的提出标志着数字经济作为经济主引擎的地位进一步确立，以云计算、大数据、5G、人工智能等为代表的现代化、智能化、数字化新型基础设施，将会为新经济发展注入新动能。

作为数字化转型的底层支撑，新基建必将加快传统产业数字化转型，推动实现产品创新、供应链优化、业务模式创新和提升用户体验的数字化目标。

图1  数字化转型目标

2. 传统信息化架构之殇

面对市场竞争日趋激烈的环境，企业/组织业务部门要求IT基础设施具备资源弹性获取、可靠性、稳定性、高性能、安全性的特性，数据中心向云计算模式转型已是迫在眉睫。

传统信息化普遍面临交付与运维的挑战。在企业由传统IT向云计算模式转变的过程中，其在业务、应用、基础设施、安全设施等方面的需求与现实之间往往存在巨大的矛盾。

图2  现实与需求的矛盾

传统基础设施与应用程序的交付，往往需要数周到数月的周期。如果出现计划外变更，交付周期将会更加拉长。在市场环境高度竞争的背景下，业务部门对市场需求及创新嗅觉将会变得日益迟钝，最终可能会错失市场良机，对业务战略产生严重的不良影响。面临敏捷性需求的持续压力，业务要求应用程序具备较高的更新速率，对于基础设施和应用开发构建模式的压力与日俱增，企业/组织亟需更为行之有效的手段应对IT资源交付的压力。

图 3  传统IT交付模式

传统应用系统的构建大多基于IT视角，甚至于基础架构视角，对基础设施的可靠性、稳定性、故障恢复能力有近乎苛刻的需求，以商业银行、证券、运营商为代表的行业往往会投入高额的资金来实现应用系统的高可用和连续性。

传统IT架构的特性，决定了其运维工具大多面向专业设备及系统，无法涵盖纷繁复杂的IT环境，难以获取既有IT环境的全局视图，无法支撑动态信息化基础设施的需求。

图4  传统IT架构运维挑战

因此，在新业务模式及市场环境下，沿用传统信息化架构的组织面临更大的挑战：需要投入更多的投资（CapEX）、更长的等待时间（Waiting Time）、更多的手动任务（Manual Work）、更高的运维成本（OpEX）以及更长的安全真空期（Security Absence）。

3. 业务驱动信息化架构变革

根据知名IT咨询机构Gartner针对全球企业的研究，从传统架构转向应用现代化架构转变，大多数企业要经历以下三个阶段：IT支撑业务阶段，IT服务业务阶段和IT驱动业务阶段。

图5   数据中心云化之路

• IT支撑业务阶段： IT架构无法满足业务需求，僵化IT架构导致IT部门疲于应对，亟需对基础架构资源进行整合，并从全局视角统一运维IT基础架构。
• IT服务业务阶段： 云化基础基础架构建设，计算、存储、网络以及安全资源的虚拟化构建，初步实现全局运维和基础资源自动化交付，部分重型应用，如Microsoft Exchange、Oracle、SAP等应用也逐步迁移至云平台，IT架构服务于业务，可以较好地满足业务部门的需求。
• IT驱动业务阶段： 业务应用现代化构建模式，引入云原生、微服务、DevOps等技术，持续集成、持续部署、持续发布，IT架构可以驱动业务变革，如滴滴打车、外卖业务等。

在数据中心演进过程中，业务驱动作为最大的驱动因素，极大地促进了IT模式转变和技术变革，同时也促进了数据中心的现代化进程，促使企业/组织更快地上线业务应用，把握商业机会，应对瞬息万变的市场需求。同时，应用的现代化模式，以其更高效的技术理念及手段，提升了IT运行效率和优化了资源使用率，得到了互联网企业为代表的用户青睐。

4. 应用现代化转型的重点

应用现代化是利用现有遗产应用，实现应用平台基础设施、内部架构和功能现代化的过程。应用现代化的本质是对于业务应用程序传统编程方式的修正，使其更紧密地贴合业务敏捷需求。

在应用向现代化转型过程中，对现有信息化架构、运维模式、应用开发测试流程、业务数据管理模式、安全需求等都带来较为严峻的挑战。

1）不可变基础设施构建

不可变基础设施是一种保持基础设施实例不可修改，只能够进行整体替换的模式。人们通常会用 “宠物与牛”的经典比喻，来形象地阐释传统基础设施与不可变云计算基础设施截然不同的理念。

传统基础设施的专有性及个体重要性，需要不断更新或修改软硬件配置，以满足业务应用系统的需求。长期持续的手工修改和缺乏变更记录，导致在原基础设施出现问题时，新的初始化基础设施无法立即投入使用，极大影响业务连续性。

图6   宠物模式 VS. 奶牛模式

云计算不可变基础设施的设计理念与之截然不同。现代化应用要求基础设施实例完成交付后，即成为只读状态，相关配置不可再被更改，以保障基础架构的一致性和可靠性。如需升级或修改某些配置，只能生成新的基础设施实例对其进行整体替换。

不可变基础设施模式，意味着不用重复配置基础设施，这极大减少了配置工作量，简化了运维复杂性，对于应用所在环境差异的版本管理也更加便捷，使得应用系统的持续集成和部署变得更为顺畅。

2）容器化

一般场景下，“容器”指基于Linux内核与系统其他部分隔离的一系列进程的合集，运行容器所需的文件，由镜像文件提供。

容器提供进程级的隔离，且大多与进程为一比一关系，可以做到比虚拟机更轻量、更迅捷，由于其镜像文件的一致性，可移植性较之虚拟机也更好。

容器的特性如下：

• 轻量： 更轻更快，高整合比，更加符合微服务需求；
• 标准： 镜像保证应用运行环境一致性，可移植性更好；
• 改善交付： 实现持续集成、持续交付、灰度部署及升级；
• 高弹： 应用负载高爆发使用场景，快速伸缩；

图 7  容器与虚拟机对比

相比虚拟机及传统环境，容器的最大优势在于镜像的使用。通过容器镜像，将应用程序及运行依赖环境配置进行封装，并通过标准化的镜像封装及使用流程，可以真正实现“一次发布、随处运行（Build, Ship and Run Anywhere）”，实现开发环境、测试环境、生产环境的彻底统一，使得应用程序的开发和交付更加高效。

图 8 容器应用开发流程

3）应用微服务化

微服务架构是将企业应用系统单体架构拆分为多个服务模块，再将这些服务模块按照一定逻辑串接起来，对外提供应用服务。

在微服务架构模式下，各服务组件独立设计、开发、测试和运维，组件间通过标准API交互，从而实现应用程序的敏捷开发，以应对互联网融合业务快速迭代与伸缩的巨大挑战，业务应用也能够依据业务负载，实现实时扩展。

微服务架构与容器技术相得益彰，两大技术理念发展的时间点非常契合：容器技术的成熟运用为应用微服务架构改造提供了良好的基础设施支撑；容器的轻量化、快速伸缩等特性为微服务应用提供最佳运行环境。

图 9   微服务架构模式

微服务架构的特性：

• 解耦：模块化；
• 微服务：规模小，专注于一件事/小功能；
• 封装：服务自身的改变不改变外部接口；
• 自治：各模块自主改变/升级；
• 后端资源服务化：服务化方式调用后端资源，规避硬件问题，降低环境依赖；
• 提升移植性：解耦硬件及操作系统，提升可移植性；
• 敏捷：实施敏捷开发及持续交付，灰度交付支撑；

4）应用DevOps

DevOps是指通过自动化方式打通软件交付过程中涉及的基础设施及IT工具，以无缝衔接软件开发、构建、发布、测试等环节，使得应用软件发布更为便捷。

DevOps是一组过程及方法的统称，本质上是关于应用软件发布的一套方法论，随着信息化架构的云化，优化了信息化基础架构及运维效率，使得软件交付及部署变得更为高效和顺畅，从而可以使得DevOps最大化发挥价值。

基础架构的统一性是DevOps实践的前提。版本控制、环境控制、变量控制、持续集成、自动化测试、压力测试等环节，均对基础架构（物理机、虚拟机、容器、软件配置）的标准化管理和供应提出了严苛的需求，使得传统的手工命令配置等方式不再适用。基于应用现代化的基础架构，通过声明式和可编程式交付，可以轻松应对复杂的计算、存储、网络配置，实现基础架构的统一。

图10  DevOps对基础架构有着极高的要求

此外，随着云原生安全及内生安全的理念进一步深化，安全需求贯穿从开发和运营的DevOps生命周期每一个环节才能提供业务安全的有效保障。通过加强内部源代码管理及审计、安全测试、漏洞发现、安全性能测试、渗透测试等工作，使安全问题在萌芽阶段解决。相比在软件产品交付后修复安全问题，可以大大缩减成本以及提升软件产品安全性。

图11  DevOps及DevSecOps

5. 应用现代化的业务价值

应用现代化的好处可以概括为提升新功能交付的速度、实现本地应用平台云化，从而可以实现应用扩展和性能提升，以及数据中心和IT的长期战略。

在竞争激烈的市场环境下，企业和组织为了竞争生存，业务敏捷性逐渐凸显其价值和重要性，以数字化业务为重心的行业面临诸多严峻的挑战，包括瞬息万变的市场环境推动业务战略转型、颠覆性技术推陈出新、数字化转型压力以及信息处理实时性进程加快。

业务应用系统转型对于数字化转型的目标实现至关重要，对于信息部门的挑战也极其严峻，信息部门迫切需要改善现有信息化架构及基础设施，以便更为快捷地提供业务部门所需的技术支撑，提升业务响应速度及业务创新能力。

同时，随着信息化技术的变革，企业IT架构逐步从传统物理架构向面向服务的云计算架构变迁，最终形成基于IT即服务（ITaaS）模式，按照业务需求，可以便捷、稳定、高效、持续地提供信息化基础设施服务、应用平台服务、云原生服务、以及安全能力服务。

图12  业务驱动信息化变革

通过面向应用现代化信息架构变革，提升了基础设施的利用率、健壮性及敏捷性，使企业可以将更多资源的投入基于应用现代化的业务创新尝试，从容应对海量用户请求及应用负载，保障应用高可用及业务连续性，抓住转瞬即逝的市场机会，占据竞争先机。

6. 应用现代化的安全建设思考

信息化架构现代化转型的深入，为应用提供了高效的开发、测试、部署环境，同时因为特征属性的变化，而引入了新的暴露面，给企业安全体系建设带来全新的挑战。

信息化架构面向云的现代化转型，为应用和业务创新，提供了高效的开发、测试以及部署平台，相对于传统信息化环境，有以下几点主要的特征转变：

表1  传统环境与现代化环境对比

数字化转型背景下，信息资产价值不断提升，重新审视面向现代化架构的安全战略，以保障基础设施、业务应用、数据资产的安全，成为企业/组织至关重要的使命。

在智能电网应用场景中，每小时会产生包括用电信息、电网负荷信息等数以TB级的数据，这些海量数据通过5G边缘计算节点以及云数据中心的云原生应用收集并处理，并与终端设备及其他智能应用进行数据交互，传统基于边界以及划分固定安全域的安全策略在此场景下已经无从应对。

此外，在网络空间安全新背景下，信息化基础设施与安全体系分别建设的思路已经不再适用。安全体系建设理念必须从“查漏补缺”向“系统规划”进化，即安全规划必须在信息化基础设施规划中同步考虑，做到同步规划、同步建设、同步运营。

对于应用现代化过程的安全防护，需要遵循和实施以下原则：

• 云网络全方位感知： 云环境下，通过物理网络及虚拟网络的总体感知、调度及分析，对外部边界及内部边界的精细化管控以及动态策略调整，实现通用防护策略（基于容量的拒绝服务攻击）与精细化访问控制策略（某容器/POD的对外端口限制）的统一融合管理。
• 零信任模型的深入应用： 云环境要求各类资源动态变化、迁移，这就对细颗粒度的隔离管控、权限管控、安全策略跟随提出了更高的标准。同时，云管理的控制平面与数据平面分离的模式，可以更为方便地支持多种认证及授权机制（RBAC授权、ABAC授权及动态授权）。
• 默认不可信以及最低授权： 云底层资源计算及网络隔离是云环境的原生支持机制，只有具备明确的授权后才能对相关资源，如虚拟机、容器、POD等进行访问，同时提供精细化访问控制策略，缩减暴露面。
• “安全左移“及自动化、标准化： 应用交付生命周期中，从需求导入、代码审计、开发测试到部署上线，安全需要持续存在以及发挥能效，且安全资源完成软件化、组件化、服务化改造，以便结合DevSecOps的自动化手段，实现从代码到应用的全流程安全介入，增强业务应用的安全性。
• 持续安全运营： 云资源的高度动态特性，要求实现云网资产的实时的全局可见性，并需具备结合威胁情报服务对威胁进行实时监测及分析的能力，从而实现威胁预测、防御、监测及响应处置的自适应安全能力。

“吾恐季孙之忧，不在颛臾，而在萧蔷之内也”，随着云原生、容器、DevOps、编排等技术的不断发展，应用现代化的安全战略也需要完成从“传统基于边界防护的安全”模式向“面向现代化的内生安全”模式的转变。

作者：虎符智库专家、资深云安全产品经理 曾达

本文转载自：虎符智库