F5 Viernes: Cómo la estandarización permite un enfoque personalizable por aplicación (microservicios) para la seguridad de las aplicaciones
He hablado , y hablado , y hablado un poco más sobre la creciente necesidad de que los servicios afines a las aplicaciones adapten las aplicaciones que protegen, escalan y optimizan. Así como los desarrolladores de aplicaciones están descubriendo que es más eficiente y ágil a escala dividir los monolitos en microservicios más enfocados y granulares, también la infraestructura debe reflejar este movimiento para continuar brindando el mismo nivel y calidad de servicio a escala.
Pero este enfoque no es sólo para arquitecturas de microservicios. También es para organizaciones que necesitan implementar políticas por aplicación a gran escala y hacerlo rápidamente. Consideremos una investigación que encontró que “el 85% de las empresas tienen una cartera de pedidos móviles de entre una y 20 aplicações, y la mayoría (50%) tiene una cartera de pedidos de entre 10 y 20 aplicaciones”. Esto se suma a la gran cantidad de aplicaciones existentes (nuestra investigación mostró que casi la mitad de las organizaciones tienen entre 1 y 200 aplicaciones, la otra mitad, más de 200, incluido el asombroso 10 % con más de 3000 aplicaciones con las que lidiar) que necesitan que se implementen actualizaciones.
La mayoría de los cuales requieren políticas muy específicas para garantizar su escala, seguridad y rendimiento. Tienes que escalar, pero tienes que escalar rápido para poder gestionarlo todo.
Una de las desventajas de un enfoque de servicio por aplicación, por supuesto, es que cada una debe adaptarse para cumplir con los requisitos únicos de la aplicación que está ofreciendo. Ese es el punto, por supuesto, pero sin un enfoque estratégico para escalar las operaciones detrás de la creación e implementación de políticas para satisfacer esa demanda, ese enfoque podría conducir potencialmente a tiempos de implementación más lentos, no más rápidos.
Es por esto que DevOps y su filosofía de infraestructura como código combinada con la atención a la automatización deberían considerarse no solo apropiados, sino deseables, para que las operaciones de seguridad los adopten. Porque solo desplazando la web security hacia la izquierda puede tener éxito un enfoque holístico de microservicios tanto en aplicaciones como en servicios de aplicaciones. Es fundamental, de hecho, que la seguridad pueda igualar la velocidad con la que hoy se espera que la TI preste sus servicios a los clientes a los que da soporte.
Eso es lo que impulsó a Catholic Education South Australia (CESA), que ofrece servicios de TI a más de 98 escuelas distribuidas en todo el sur de Australia, a adoptar la plataforma F5. CESA estaba luchando con los desafíos que surgían de los métodos tradicionales de aprovisionamiento e implementación que simplemente no les proporcionaban la escala horizontal necesaria para mantenerse al día con la demanda. Lo que necesitaban era un marco personalizable para implementar aplicações y automatizar las tareas asociadas. Y eso eventualmente incluyó la web security.
Simon Sigre, ingeniero senior de redes en CESA, explica por qué necesitaban hacer un cambio: “ Se nos pidió que comenzáramos a construir políticas de seguridad de capa 7 (L7) que se ajustaran como un guante a cada aplicación web ”.
CESA necesitaba ofrecer políticas por aplicación, pero necesitaba hacerlo rápidamente y a gran escala. Lo que significa que necesitaban automatización para lograr esta hazaña. Pero eso no era todo lo que necesitaban. Adaptar las políticas, especialmente aquellas que están tan estrechamente vinculadas a la aplicación que protegen, lleva tiempo. Pero no todo en una aplicação es único. Hay elementos comunes, en particular aquellos relacionados con los protocolos (como TCP y HTTP) y las plataformas (como el software del servidor web o de aplicaciones) que siguen siendo los mismos en muchas aplicações. Configurar políticas para proteger esos aspectos también lleva tiempo; tiempo que se duplica en múltiples aplicações.
Aquí es donde la estandarización viene al rescate. Una de las características distintivas de la estandarización es la capacidad de aprovechar los puntos en común de las API, plantillas, sistemas de comando y control y scripts para mejorar la eficiencia, lo que se traduce en menores costos operativos y un tiempo de comercialización más rápido. Eso es exactamente lo que hizo CESA cuando aprovechó la capacidad de programación de F5 no sólo para automatizar la escalabilidad sino para estandarizar las políticas de seguridad creando plantillas de alto nivel para tecnologías comunes en uso y luego personalizándolas para acomodar las diferencias en cada nuevo servicio. Pudieron desarrollar las políticas de seguridad por aplicación que necesitaban sin incurrir en los costos típicamente asociados con la personalización al tratar la infraestructura (web security) como código (plantillas), eliminando efectivamente los costos asociados con la recreación de la política base cada vez que necesitan implementar un nuevo servicio.
Puede leer más sobre la experiencia de CESA con F5 y sus tecnologías aquí, en esta historia de cliente.