標(biāo)準(zhǔn)基礎(chǔ)上的SOA實(shí)施注意安全威脅

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

關(guān)于SOA應(yīng)該自上而下還是自下而上的實(shí)施存在著許多不同的原則，闡述不同的觀點(diǎn)。不管你的看法如何，關(guān)鍵是你應(yīng)該以從事任何戰(zhàn)略項(xiàng)目的途徑去發(fā)起SOA倡議，建立總體治理模式并投入使用。否則，你可能會(huì)為公司帶來(lái)潛在的安全威脅。

隨著越來(lái)越多的交易通過(guò)網(wǎng)絡(luò)進(jìn)行，不只是首席信息官意識(shí)到了安全正逐漸成為公司的關(guān)注點(diǎn)。

日益增長(zhǎng)的憂慮是有道理的。網(wǎng)絡(luò)攻擊變得越來(lái)越復(fù)雜;數(shù)據(jù)更快，更廣的流向越來(lái)越多的用戶;新的網(wǎng)絡(luò)開(kāi)發(fā)模型，如：Web 2.0 和AJAX的出現(xiàn)… 網(wǎng)絡(luò)應(yīng)用程序和其支持的業(yè)務(wù)流程都變得愈加多樣化和復(fù)雜。網(wǎng)絡(luò)應(yīng)用程序中暴露的一個(gè)輕微漏洞日后都可能流失上百萬(wàn)條記錄。隨著這些漏洞逐漸失去控制，對(duì)業(yè)務(wù)產(chǎn)生的負(fù)面影響將不可估量。

引進(jìn)一個(gè)精密程度更高的IT架構(gòu)――面向服務(wù)架構(gòu)(SOA)也將安全的挑戰(zhàn)帶向了更高的層次。一個(gè)SOA架構(gòu)設(shè)計(jì)是為了更靈活、更快捷的業(yè)務(wù)流程，但在沒(méi)有恰當(dāng)治理的情況下創(chuàng)建服務(wù)可能迅速的失去控制，而成為一個(gè)管理上的惡夢(mèng)。

回顧歷史，由于國(guó)際互聯(lián)網(wǎng)的爆炸式增長(zhǎng)，應(yīng)用程序所有權(quán)保護(hù)障礙急劇退化，更不用提基礎(chǔ)代碼和平臺(tái)了，公司的技術(shù)和業(yè)務(wù)服務(wù)都被公開(kāi)。如今，同樣的服務(wù)概念被用于推動(dòng)創(chuàng)新性業(yè)務(wù)戰(zhàn)略。在基礎(chǔ)技術(shù)的支持下，這個(gè)以組件為基礎(chǔ)的應(yīng)用和再利用模式化的業(yè)務(wù)流程服務(wù)就是SOA。

關(guān)于SOA應(yīng)該自上而下還是自下而上的實(shí)施存在著許多不同的原則，闡述不同的觀點(diǎn)。不管你的看法如何，關(guān)鍵是你應(yīng)該以從事任何戰(zhàn)略項(xiàng)目的途徑去發(fā)起SOA倡議，建立總體治理模式并投入使用。否則，你可能會(huì)為公司帶來(lái)潛在的安全威脅。

安全第一

每一個(gè)公司都會(huì)制定與SOA有關(guān)的具體目標(biāo)和目的。SOA有三個(gè)好處是所有公司都達(dá)成共識(shí)的：提高生產(chǎn)力、簡(jiǎn)化業(yè)務(wù)流程、通過(guò)再利用降低所有權(quán)帶來(lái)的成本。

難點(diǎn)在于要將SOA的益處最大化，達(dá)到業(yè)務(wù)靈活性就需要公司、客戶和合作伙伴都愿意打破接線進(jìn)行信息共享。這將數(shù)據(jù)保護(hù)提到了一個(gè)優(yōu)先的地位。

有一個(gè)清楚闡明的SOA遠(yuǎn)景，公司架構(gòu)不需要昂貴的淘汰更新過(guò)程，就可以支持大大小小的市場(chǎng)變化。但是，一個(gè)成敗關(guān)鍵的因素將仍然是公司對(duì)于數(shù)據(jù)保護(hù)和安全的政策。

SOA 安全領(lǐng)域許多新成員和近來(lái)在此市場(chǎng)中有過(guò)收購(gòu)案的更為成熟的廠商都承認(rèn)了這一需求的重要性。

在有這么多選擇的市場(chǎng)中，要選擇一款SOA安全工具似乎是很容易的。事實(shí)上恰恰相反。這是由于在談到SOA安全“產(chǎn)品”的角色，是一個(gè)單一裝置還是整套軟件工具，亦或是一個(gè)平臺(tái)方面還存在著許多模糊不清的地方。根據(jù)環(huán)境的不同，安全措施可能會(huì)包括其中一個(gè)或是所有這些情境。

SOA 安全裝置

SOA安全裝置代表公司SOA方案的一個(gè)重要因素。SOA裝置是易于安裝的硬件設(shè)備，可以通過(guò)扮演內(nèi)部以及外部網(wǎng)關(guān)的角色簡(jiǎn)化、保護(hù)并加速公司XML和Web服務(wù)配置。它門是集SOA管理和安全功能于一身的單一裝置。

快速增長(zhǎng)的SOA安全裝置應(yīng)歸因于其提供的功能與優(yōu)點(diǎn)，以下就是SOA中安全裝置的十大潛在價(jià)值：

節(jié)省時(shí)間和成本：SOA安全裝置能夠輕松快速的安裝，需要最低限度的維護(hù)。

支持規(guī)則：安全裝置能夠在簡(jiǎn)化現(xiàn)存SOA管理的同時(shí)幫助公司滿足一些強(qiáng)制要求――如健康保險(xiǎn)便利及責(zé)任法案 (HIPAA) 和支付卡行業(yè)(PCI)的數(shù)據(jù)安全標(biāo)準(zhǔn)。

提出關(guān)鍵的XML漏洞： SOA安全裝置能夠防止未經(jīng)授權(quán)的訪問(wèn)，破壞數(shù)據(jù)完整性或用戶保密性的企圖，對(duì)實(shí)際軟件和系統(tǒng)的襲擊或服務(wù)的拒絕。

提供集中的Web服務(wù)管理和監(jiān)控： 一個(gè)裝置能在加強(qiáng)SOA架構(gòu)整體性的同時(shí)保證只有經(jīng)過(guò)授權(quán)的用戶才能訪問(wèn)存貯器。

降低開(kāi)發(fā)成本： 將重心從實(shí)施SOA服務(wù)向單純開(kāi)發(fā)運(yùn)營(yíng)能力轉(zhuǎn)變，你就能降低開(kāi)發(fā)成本。

加速SOA部署：通過(guò)迅速的向經(jīng)過(guò)授權(quán)的第三方公開(kāi)安全服務(wù)，裝置將促使業(yè)務(wù)部門能夠迅速而容易的發(fā)現(xiàn)新的機(jī)遇。

主動(dòng)識(shí)別潛在威脅： SOA裝置能夠迅速的檢查流入信息，即時(shí)驗(yàn)證和授權(quán)，在無(wú)效請(qǐng)求進(jìn)入末端服務(wù)器之前將之?dāng)r在門外。

治理： 安全裝置通過(guò)簡(jiǎn)化和管理訪問(wèn)服務(wù)器以及Web服務(wù)存儲(chǔ)器請(qǐng)求支持SOA治理。

提高性能： SOA裝置能夠幫助改善許多核心流程，包括那些會(huì)導(dǎo)致高網(wǎng)站流量的流程，如財(cái)務(wù)交易、網(wǎng)上購(gòu)物、庫(kù)存優(yōu)化和同步多渠道產(chǎn)品等。

降低對(duì)IT的依賴性： 裝置能簡(jiǎn)化架構(gòu)、提高性能并且確保SOA更高層次的安全性。

優(yōu)選的SOA安全裝置應(yīng)該通過(guò)公開(kāi)服務(wù)促進(jìn)與現(xiàn)存應(yīng)用程序的整合，明確和實(shí)施XML安全、數(shù)據(jù)轉(zhuǎn)化和數(shù)據(jù)驗(yàn)證。

安全軟件――身份管理同等重要

作為SOA安全裝置的補(bǔ)充，安全軟件能夠增強(qiáng)SOA支持的業(yè)務(wù)流程的應(yīng)變能力。在整合架構(gòu)中首要的角色是協(xié)助管理員和人員進(jìn)行監(jiān)控、管理、保全并控制SOA為基礎(chǔ)的服務(wù)和應(yīng)用程序組件端對(duì)端實(shí)施。公司越來(lái)越重視通過(guò)共享和傳播信息來(lái)推動(dòng)業(yè)務(wù)發(fā)展，這個(gè)戰(zhàn)略也變得越來(lái)越重要，不久終端用戶將不再忍受不可理的整合習(xí)慣。

此外，商務(wù)方面需要簡(jiǎn)單的進(jìn)行交易而不需要在通過(guò)每一個(gè)門戶時(shí)都停下來(lái)進(jìn)行身份驗(yàn)證。為此，身份管理軟件應(yīng)該為互用提供以政策為基礎(chǔ)的整合安全管理以確保在不需要在雙方公司獲取身份的情況下安全的獲取信息和服務(wù)，從而節(jié)省時(shí)間并降低成本。除此以外，單一的SOA登錄工具可以幫助在應(yīng)用程序間整合安全，不管它們是現(xiàn)場(chǎng)的或是虛擬存在以支持公司擴(kuò)大業(yè)務(wù)、合并資產(chǎn)或修正其在法律遵從和治理方面的做法。

拼湊一個(gè)安全平臺(tái)---七大安全指導(dǎo)方針

既然SOA實(shí)施的關(guān)鍵動(dòng)力在于再利用和利用公司現(xiàn)存IT投資，支持和將強(qiáng)SOA架構(gòu)的環(huán)境應(yīng)該符合以下7個(gè)標(biāo)準(zhǔn)：

集中處理和存儲(chǔ)安全數(shù)據(jù)以改善整體安全操作和信息風(fēng)險(xiǎn)管理

為Web 服務(wù)提供強(qiáng)制安全點(diǎn)

對(duì)事件進(jìn)行自動(dòng)識(shí)別、調(diào)查和反應(yīng)

為管理供應(yīng)、驗(yàn)證和授權(quán)提供集中平臺(tái)

提供綜合報(bào)告，包括歷史報(bào)告、自我審核和追蹤能力

在易于適應(yīng)公司現(xiàn)有和未來(lái)安全基礎(chǔ)架構(gòu)要求的模塊化架構(gòu)基礎(chǔ)上提供多種實(shí)施選擇

提供環(huán)境支持管理安全服務(wù)，通過(guò)自動(dòng)化和快速實(shí)施來(lái)降低運(yùn)營(yíng)成本

由于安全問(wèn)題是公司SOA成敗的關(guān)鍵所在，在基礎(chǔ)架構(gòu)中囊括裝置和軟件是至關(guān)重要的。然而，這并不意味著公司應(yīng)該丟棄他們現(xiàn)存的技術(shù)投資或是與首席信息觀討要額外預(yù)算。

在建立在標(biāo)準(zhǔn)基礎(chǔ)上的SOA幫助下，額外的安全用具能夠輕易的整合，不會(huì)對(duì)公司現(xiàn)有應(yīng)用程序和硬件造成負(fù)面影響，也不需要大量時(shí)間和金錢投資。但重要的是SOA戰(zhàn)略中應(yīng)該包括公司長(zhǎng)期目標(biāo)，并通過(guò)使用公司商務(wù)和IT方面團(tuán)隊(duì)的技能和專業(yè)知識(shí)來(lái)設(shè)計(jì)、創(chuàng)建和部署實(shí)施。（IT專家網(wǎng)）