標(biāo)準(zhǔn)基礎(chǔ)上的SOA實施注意安全威脅

申請免費試用、咨詢電話：400-8352-114

關(guān)于SOA應(yīng)該自上而下還是自下而上的實施存在著許多不同的原則，闡述不同的觀點。不管你的看法如何，關(guān)鍵是你應(yīng)該以從事任何戰(zhàn)略項目的途徑去發(fā)起SOA倡議，建立總體治理模式并投入使用。否則，你可能會為公司帶來潛在的安全威脅。

隨著越來越多的交易通過網(wǎng)絡(luò)進行，不只是首席信息官意識到了安全正逐漸成為公司的關(guān)注點。

日益增長的憂慮是有道理的。網(wǎng)絡(luò)攻擊變得越來越復(fù)雜;數(shù)據(jù)更快，更廣的流向越來越多的用戶;新的網(wǎng)絡(luò)開發(fā)模型，如：Web 2.0 和AJAX的出現(xiàn)… 網(wǎng)絡(luò)應(yīng)用程序和其支持的業(yè)務(wù)流程都變得愈加多樣化和復(fù)雜。網(wǎng)絡(luò)應(yīng)用程序中暴露的一個輕微漏洞日后都可能流失上百萬條記錄。隨著這些漏洞逐漸失去控制，對業(yè)務(wù)產(chǎn)生的負(fù)面影響將不可估量。

引進一個精密程度更高的IT架構(gòu)――面向服務(wù)架構(gòu)(SOA)也將安全的挑戰(zhàn)帶向了更高的層次。一個SOA架構(gòu)設(shè)計是為了更靈活、更快捷的業(yè)務(wù)流程，但在沒有恰當(dāng)治理的情況下創(chuàng)建服務(wù)可能迅速的失去控制，而成為一個管理上的惡夢。

回顧歷史，由于國際互聯(lián)網(wǎng)的爆炸式增長，應(yīng)用程序所有權(quán)保護障礙急劇退化，更不用提基礎(chǔ)代碼和平臺了，公司的技術(shù)和業(yè)務(wù)服務(wù)都被公開。如今，同樣的服務(wù)概念被用于推動創(chuàng)新性業(yè)務(wù)戰(zhàn)略。在基礎(chǔ)技術(shù)的支持下，這個以組件為基礎(chǔ)的應(yīng)用和再利用模式化的業(yè)務(wù)流程服務(wù)就是SOA。

關(guān)于SOA應(yīng)該自上而下還是自下而上的實施存在著許多不同的原則，闡述不同的觀點。不管你的看法如何，關(guān)鍵是你應(yīng)該以從事任何戰(zhàn)略項目的途徑去發(fā)起SOA倡議，建立總體治理模式并投入使用。否則，你可能會為公司帶來潛在的安全威脅。

安全第一

每一個公司都會制定與SOA有關(guān)的具體目標(biāo)和目的。SOA有三個好處是所有公司都達(dá)成共識的：提高生產(chǎn)力、簡化業(yè)務(wù)流程、通過再利用降低所有權(quán)帶來的成本。

難點在于要將SOA的益處最大化，達(dá)到業(yè)務(wù)靈活性就需要公司、客戶和合作伙伴都愿意打破接線進行信息共享。這將數(shù)據(jù)保護提到了一個優(yōu)先的地位。

有一個清楚闡明的SOA遠(yuǎn)景，公司架構(gòu)不需要昂貴的淘汰更新過程，就可以支持大大小小的市場變化。但是，一個成敗關(guān)鍵的因素將仍然是公司對于數(shù)據(jù)保護和安全的政策。

SOA 安全領(lǐng)域許多新成員和近來在此市場中有過收購案的更為成熟的廠商都承認(rèn)了這一需求的重要性。

在有這么多選擇的市場中，要選擇一款SOA安全工具似乎是很容易的。事實上恰恰相反。這是由于在談到SOA安全“產(chǎn)品”的角色，是一個單一裝置還是整套軟件工具，亦或是一個平臺方面還存在著許多模糊不清的地方。根據(jù)環(huán)境的不同，安全措施可能會包括其中一個或是所有這些情境。

SOA 安全裝置

SOA安全裝置代表公司SOA方案的一個重要因素。SOA裝置是易于安裝的硬件設(shè)備，可以通過扮演內(nèi)部以及外部網(wǎng)關(guān)的角色簡化、保護并加速公司XML和Web服務(wù)配置。它門是集SOA管理和安全功能于一身的單一裝置。

快速增長的SOA安全裝置應(yīng)歸因于其提供的功能與優(yōu)點，以下就是SOA中安全裝置的十大潛在價值：

節(jié)省時間和成本：SOA安全裝置能夠輕松快速的安裝，需要最低限度的維護。

支持規(guī)則：安全裝置能夠在簡化現(xiàn)存SOA管理的同時幫助公司滿足一些強制要求――如健康保險便利及責(zé)任法案 (HIPAA) 和支付卡行業(yè)(PCI)的數(shù)據(jù)安全標(biāo)準(zhǔn)。

提出關(guān)鍵的XML漏洞： SOA安全裝置能夠防止未經(jīng)授權(quán)的訪問，破壞數(shù)據(jù)完整性或用戶保密性的企圖，對實際軟件和系統(tǒng)的襲擊或服務(wù)的拒絕。

提供集中的Web服務(wù)管理和監(jiān)控： 一個裝置能在加強SOA架構(gòu)整體性的同時保證只有經(jīng)過授權(quán)的用戶才能訪問存貯器。

降低開發(fā)成本： 將重心從實施SOA服務(wù)向單純開發(fā)運營能力轉(zhuǎn)變，你就能降低開發(fā)成本。

加速SOA部署：通過迅速的向經(jīng)過授權(quán)的第三方公開安全服務(wù)，裝置將促使業(yè)務(wù)部門能夠迅速而容易的發(fā)現(xiàn)新的機遇。

主動識別潛在威脅： SOA裝置能夠迅速的檢查流入信息，即時驗證和授權(quán)，在無效請求進入末端服務(wù)器之前將之?dāng)r在門外。

治理： 安全裝置通過簡化和管理訪問服務(wù)器以及Web服務(wù)存儲器請求支持SOA治理。

提高性能： SOA裝置能夠幫助改善許多核心流程，包括那些會導(dǎo)致高網(wǎng)站流量的流程，如財務(wù)交易、網(wǎng)上購物、庫存優(yōu)化和同步多渠道產(chǎn)品等。

降低對IT的依賴性： 裝置能簡化架構(gòu)、提高性能并且確保SOA更高層次的安全性。

優(yōu)選的SOA安全裝置應(yīng)該通過公開服務(wù)促進與現(xiàn)存應(yīng)用程序的整合，明確和實施XML安全、數(shù)據(jù)轉(zhuǎn)化和數(shù)據(jù)驗證。

安全軟件――身份管理同等重要

作為SOA安全裝置的補充，安全軟件能夠增強SOA支持的業(yè)務(wù)流程的應(yīng)變能力。在整合架構(gòu)中首要的角色是協(xié)助管理員和人員進行監(jiān)控、管理、保全并控制SOA為基礎(chǔ)的服務(wù)和應(yīng)用程序組件端對端實施。公司越來越重視通過共享和傳播信息來推動業(yè)務(wù)發(fā)展，這個戰(zhàn)略也變得越來越重要，不久終端用戶將不再忍受不可理的整合習(xí)慣。

此外，商務(wù)方面需要簡單的進行交易而不需要在通過每一個門戶時都停下來進行身份驗證。為此，身份管理軟件應(yīng)該為互用提供以政策為基礎(chǔ)的整合安全管理以確保在不需要在雙方公司獲取身份的情況下安全的獲取信息和服務(wù)，從而節(jié)省時間并降低成本。除此以外，單一的SOA登錄工具可以幫助在應(yīng)用程序間整合安全，不管它們是現(xiàn)場的或是虛擬存在以支持公司擴大業(yè)務(wù)、合并資產(chǎn)或修正其在法律遵從和治理方面的做法。

拼湊一個安全平臺---七大安全指導(dǎo)方針

既然SOA實施的關(guān)鍵動力在于再利用和利用公司現(xiàn)存IT投資，支持和將強SOA架構(gòu)的環(huán)境應(yīng)該符合以下7個標(biāo)準(zhǔn)：

集中處理和存儲安全數(shù)據(jù)以改善整體安全操作和信息風(fēng)險管理

為Web 服務(wù)提供強制安全點

對事件進行自動識別、調(diào)查和反應(yīng)

為管理供應(yīng)、驗證和授權(quán)提供集中平臺

提供綜合報告，包括歷史報告、自我審核和追蹤能力

在易于適應(yīng)公司現(xiàn)有和未來安全基礎(chǔ)架構(gòu)要求的模塊化架構(gòu)基礎(chǔ)上提供多種實施選擇

提供環(huán)境支持管理安全服務(wù)，通過自動化和快速實施來降低運營成本

由于安全問題是公司SOA成敗的關(guān)鍵所在，在基礎(chǔ)架構(gòu)中囊括裝置和軟件是至關(guān)重要的。然而，這并不意味著公司應(yīng)該丟棄他們現(xiàn)存的技術(shù)投資或是與首席信息觀討要額外預(yù)算。

在建立在標(biāo)準(zhǔn)基礎(chǔ)上的SOA幫助下，額外的安全用具能夠輕易的整合，不會對公司現(xiàn)有應(yīng)用程序和硬件造成負(fù)面影響，也不需要大量時間和金錢投資。但重要的是SOA戰(zhàn)略中應(yīng)該包括公司長期目標(biāo)，并通過使用公司商務(wù)和IT方面團隊的技能和專業(yè)知識來設(shè)計、創(chuàng)建和部署實施。（IT專家網(wǎng)）