Shift (Web アプリ) セキュリティ Lefter

適切な IT 問題に対する「シフトレフト」の概念が広まっています。 基本的な考え方は、アプリ開発配信パイプライン機能にさらにシフトすることです。これを早期に適用すると、結果として得られるコードの安定性とセキュリティが向上します。 セキュリティは、生産中に発生する競合やエラーを減らし、企業が費やしたくない時間とコストを削減する点で大きなメリットをもたらす機能の 1 つです。

ほとんどの場合、「シフトレフト」の準備ができていると提案されているセキュリティ機能は、脆弱性スキャン、自動パッチ適用、侵入検知などのサービスなど、コードに直接関連するものです。 めったに言及されないのは (実際、おそらくこの投稿までは一度も言及されたことがなかったのですが)、Web アプリケーション ファイアウォール機能を左にシフトすることの利点です。

この種の機能を左にシフトすることには、アプリケーション アフィニティという適切なロジックがあります。 Web アプリケーションのセキュリティ、負荷分散、最適化などのアプリケーションに非常に関連したサービスは、アプリケーションに固有です。 HTTP のようなプロトコルではなく、実際のアプリケーション自体です。 特に、アプリケーションのセキュリティと最適化には、特定の URI (RESTful API 呼び出しなど)、交換されるデータの種類 (およびその形式) を理解し、アプリまたはアプリの特定の部分に固有のユーザーとデバイスを識別する必要がある構成が含まれることがよくあります。

つまり、Web アプリケーションのセキュリティ ポリシーは、ほぼアプリケーションに基づいているため、そのポリシーはそのアプリケーションのみに適用されます。 データと URI を一致させると、エラーが発生する可能性があり、その結果、アプリケーションが壊れることになります。 そのエラーが本番環境で初めて発生した場合、責任者の首が切られます。 時間は費やされ、お金は無駄になり、1週間のカフェイン予算は急増し、残りの月は誰もが色のついた水を飲んでいることになります。 全然良くない。

これらのアプリケーション アファイン ポリシーの構成とテストを左側のテストに移行すると、ほとんどの (できればハイゼンベルグ以外のすべての) 競合やエラーを排除し、生産パイプラインを通じてよりスムーズで高速かつ複雑さの少ない展開を保証するという点で大きなメリットが得られます。

従来の Web アプリケーション ファイアウォール サービスのソフトウェアおよび仮想エディションの利用可能性が高まるということは、より広範な環境でこれらのサービスをプロビジョニングし、展開パイプラインの残りの部分でより高いレベルのアクセスを確保できることを意味します。 Web アプリケーション セキュリティを左にシフトすると、テスト中のアプリケーションを保護しながら、Web アプリケーション セキュリティ サービスに脆弱性スキャンを適用できるようになります。これにより、セキュリティ運用担当者と開発者は、両者の相互作用をより深く理解できるようになり、適切な (期待される、望ましい) 動作を確実に実行できるようにポリシーを微調整する機会も得られます。 ポリシー、特にテンプレート形式でカプセル化される可能性のあるポリシーは、環境間での移動が容易で、コードとして扱うことができ、リポジトリに保存して将来の使用のためにバージョン管理することができます。

API とテンプレートが利用可能になり、従来はネットワークでホストされていたアプリケーション アフィン サービスの仮想化も可能になったため、組織はセキュリティを左にシフトし、生産パイプライン プロセスの最適化で実質的な利益を達成できるようになりました。