標準基礎上的SOA實施注意安全威脅

申請免費試用、咨詢電話：400-8352-114

關于SOA應該自上而下還是自下而上的實施存在著許多不同的原則，闡述不同的觀點。不管你的看法如何，關鍵是你應該以從事任何戰(zhàn)略項目的途徑去發(fā)起SOA倡議，建立總體治理模式并投入使用。否則，你可能會為公司帶來潛在的安全威脅。

隨著越來越多的交易通過網(wǎng)絡進行，不只是首席信息官意識到了安全正逐漸成為公司的關注點。

日益增長的憂慮是有道理的。網(wǎng)絡攻擊變得越來越復雜;數(shù)據(jù)更快，更廣的流向越來越多的用戶;新的網(wǎng)絡開發(fā)模型，如：Web 2.0 和AJAX的出現(xiàn)… 網(wǎng)絡應用程序和其支持的業(yè)務流程都變得愈加多樣化和復雜。網(wǎng)絡應用程序中暴露的一個輕微漏洞日后都可能流失上百萬條記錄。隨著這些漏洞逐漸失去控制，對業(yè)務產生的負面影響將不可估量。

引進一個精密程度更高的IT架構――面向服務架構(SOA)也將安全的挑戰(zhàn)帶向了更高的層次。一個SOA架構設計是為了更靈活、更快捷的業(yè)務流程，但在沒有恰當治理的情況下創(chuàng)建服務可能迅速的失去控制，而成為一個管理上的惡夢。

回顧歷史，由于國際互聯(lián)網(wǎng)的爆炸式增長，應用程序所有權保護障礙急劇退化，更不用提基礎代碼和平臺了，公司的技術和業(yè)務服務都被公開。如今，同樣的服務概念被用于推動創(chuàng)新性業(yè)務戰(zhàn)略。在基礎技術的支持下，這個以組件為基礎的應用和再利用模式化的業(yè)務流程服務就是SOA。

關于SOA應該自上而下還是自下而上的實施存在著許多不同的原則，闡述不同的觀點。不管你的看法如何，關鍵是你應該以從事任何戰(zhàn)略項目的途徑去發(fā)起SOA倡議，建立總體治理模式并投入使用。否則，你可能會為公司帶來潛在的安全威脅。

安全第一

每一個公司都會制定與SOA有關的具體目標和目的。SOA有三個好處是所有公司都達成共識的：提高生產力、簡化業(yè)務流程、通過再利用降低所有權帶來的成本。

難點在于要將SOA的益處最大化，達到業(yè)務靈活性就需要公司、客戶和合作伙伴都愿意打破接線進行信息共享。這將數(shù)據(jù)保護提到了一個優(yōu)先的地位。

有一個清楚闡明的SOA遠景，公司架構不需要昂貴的淘汰更新過程，就可以支持大大小小的市場變化。但是，一個成敗關鍵的因素將仍然是公司對于數(shù)據(jù)保護和安全的政策。

SOA 安全領域許多新成員和近來在此市場中有過收購案的更為成熟的廠商都承認了這一需求的重要性。

在有這么多選擇的市場中，要選擇一款SOA安全工具似乎是很容易的。事實上恰恰相反。這是由于在談到SOA安全“產品”的角色，是一個單一裝置還是整套軟件工具，亦或是一個平臺方面還存在著許多模糊不清的地方。根據(jù)環(huán)境的不同，安全措施可能會包括其中一個或是所有這些情境。

SOA 安全裝置

SOA安全裝置代表公司SOA方案的一個重要因素。SOA裝置是易于安裝的硬件設備，可以通過扮演內部以及外部網(wǎng)關的角色簡化、保護并加速公司XML和Web服務配置。它門是集SOA管理和安全功能于一身的單一裝置。

快速增長的SOA安全裝置應歸因于其提供的功能與優(yōu)點，以下就是SOA中安全裝置的十大潛在價值：

節(jié)省時間和成本：SOA安全裝置能夠輕松快速的安裝，需要最低限度的維護。

支持規(guī)則：安全裝置能夠在簡化現(xiàn)存SOA管理的同時幫助公司滿足一些強制要求――如健康保險便利及責任法案 (HIPAA) 和支付卡行業(yè)(PCI)的數(shù)據(jù)安全標準。

提出關鍵的XML漏洞： SOA安全裝置能夠防止未經授權的訪問，破壞數(shù)據(jù)完整性或用戶保密性的企圖，對實際軟件和系統(tǒng)的襲擊或服務的拒絕。

提供集中的Web服務管理和監(jiān)控： 一個裝置能在加強SOA架構整體性的同時保證只有經過授權的用戶才能訪問存貯器。

降低開發(fā)成本： 將重心從實施SOA服務向單純開發(fā)運營能力轉變，你就能降低開發(fā)成本。

加速SOA部署：通過迅速的向經過授權的第三方公開安全服務，裝置將促使業(yè)務部門能夠迅速而容易的發(fā)現(xiàn)新的機遇。

主動識別潛在威脅： SOA裝置能夠迅速的檢查流入信息，即時驗證和授權，在無效請求進入末端服務器之前將之攔在門外。

治理： 安全裝置通過簡化和管理訪問服務器以及Web服務存儲器請求支持SOA治理。

提高性能： SOA裝置能夠幫助改善許多核心流程，包括那些會導致高網(wǎng)站流量的流程，如財務交易、網(wǎng)上購物、庫存優(yōu)化和同步多渠道產品等。

降低對IT的依賴性： 裝置能簡化架構、提高性能并且確保SOA更高層次的安全性。

優(yōu)選的SOA安全裝置應該通過公開服務促進與現(xiàn)存應用程序的整合，明確和實施XML安全、數(shù)據(jù)轉化和數(shù)據(jù)驗證。

安全軟件――身份管理同等重要

作為SOA安全裝置的補充，安全軟件能夠增強SOA支持的業(yè)務流程的應變能力。在整合架構中首要的角色是協(xié)助管理員和人員進行監(jiān)控、管理、保全并控制SOA為基礎的服務和應用程序組件端對端實施。公司越來越重視通過共享和傳播信息來推動業(yè)務發(fā)展，這個戰(zhàn)略也變得越來越重要，不久終端用戶將不再忍受不可理的整合習慣。

此外，商務方面需要簡單的進行交易而不需要在通過每一個門戶時都停下來進行身份驗證。為此，身份管理軟件應該為互用提供以政策為基礎的整合安全管理以確保在不需要在雙方公司獲取身份的情況下安全的獲取信息和服務，從而節(jié)省時間并降低成本。除此以外，單一的SOA登錄工具可以幫助在應用程序間整合安全，不管它們是現(xiàn)場的或是虛擬存在以支持公司擴大業(yè)務、合并資產或修正其在法律遵從和治理方面的做法。

拼湊一個安全平臺---七大安全指導方針

既然SOA實施的關鍵動力在于再利用和利用公司現(xiàn)存IT投資，支持和將強SOA架構的環(huán)境應該符合以下7個標準：

集中處理和存儲安全數(shù)據(jù)以改善整體安全操作和信息風險管理

為Web 服務提供強制安全點

對事件進行自動識別、調查和反應

為管理供應、驗證和授權提供集中平臺

提供綜合報告，包括歷史報告、自我審核和追蹤能力

在易于適應公司現(xiàn)有和未來安全基礎架構要求的模塊化架構基礎上提供多種實施選擇

提供環(huán)境支持管理安全服務，通過自動化和快速實施來降低運營成本

由于安全問題是公司SOA成敗的關鍵所在，在基礎架構中囊括裝置和軟件是至關重要的。然而，這并不意味著公司應該丟棄他們現(xiàn)存的技術投資或是與首席信息觀討要額外預算。

在建立在標準基礎上的SOA幫助下，額外的安全用具能夠輕易的整合，不會對公司現(xiàn)有應用程序和硬件造成負面影響，也不需要大量時間和金錢投資。但重要的是SOA戰(zhàn)略中應該包括公司長期目標，并通過使用公司商務和IT方面團隊的技能和專業(yè)知識來設計、創(chuàng)建和部署實施。（IT專家網(wǎng)）