Ter aplicativos demais está ampliando sua superfície de ataque?
“É possível ter aplicativos demais? Quantos seriam demais? Você sabe ao menos quantos aplicativos tem ou — pior ainda — quem tem acesso a eles? Um estudo recente da IDG constatou que uma empresa tem, em média, 1.742 aplicativos, sendo que cerca de 60% do desenvolvimento é realizado internamente. Com o aumento contínuo do número de aplicativos, as empresas estão buscando autoatendimento, automação e gerenciamento centralizado.”
Uma superfície de ataque em expansão
É claro que os aplicativos são essenciais para a operação da sua empresa. Quando bem desenvolvidos, eles podem tornar praticamente qualquer tarefa ou processo mais rápido e fácil. Mas será que é possível ter algo bom em excesso? Ao que tudo indica, sim. Os profissionais de operações de TI estão tendo dificuldades para acompanhar as constantes mudanças nas arquiteturas de aplicativos, nas plataformas e nos padrões tecnológicos modernos. Como resultado, a segurança, a visibilidade e a conformidade dos aplicativos estão se tornando preocupações cada vez maiores.
Sem dúvida, uma grande empresa de transporte constatou que esse era o caso. Mesmo quando a proliferação de aplicativos ainda não era reconhecida como um problema, essa gigante dos serviços de transporte e escritório avaliou seu portfólio de aplicativos e percebeu que tinha mais de 2.600 deles, consequência tanto de uma intensa onda de aquisições quanto do rápido crescimento. Igualmente preocupante foi a identificação de mais de 14.000 interfaces personalizadas para esses aplicativos. A superfície de ataque gerada por tantos aplicativos representa um enorme risco para qualquer empresa enfrentar por conta própria — e esse é apenas um dos muitos riscos significativos associados a esse tipo de proliferação de aplicativos.
“Um estudo recente da IDG constatou que uma empresa tem, em média, 1.742 aplicativos, sendo que cerca de 60% do desenvolvimento desses aplicativos é realizado internamente.”
Riscos e soluções
Agora, graças a um ambiente extremamente propício ao desenvolvimento de aplicativos, é possível transformar uma ideia inicial em uma prova de conceito em poucas semanas. Uma das consequências dessa agilidade é que a responsabilidade pelas decisões de desenvolvimento e implantação de aplicativos — inclusive aquelas que afetam a segurança e a conformidade — vem sendo deslocada para etapas mais iniciais do processo, ficando a cargo dos desenvolvedores em vez dos profissionais de redes e segurança. Embora isso seja excelente para acelerar o processo — liberando o potencial de inovação até então inexplorado e melhorando a posição competitiva das organizações —, ainda existem ameaças significativas à segurança, requisitos de conformidade e preocupações operacionais.
As novas partes interessadas priorizam opções nativas da nuvem e de código aberto de baixo custo em detrimento de soluções mais robustas gerenciadas por especialistas no domínio. Isso decorre de uma preocupação legítima de que a dependência de outras equipes possa gerar atritos no processo, reduzindo o ritmo da inovação. No entanto, problemas comuns dessa abordagem incluem a proliferação de ferramentas de segurança e gerenciamento, a falta de visibilidade sobre o desempenho das aplicações e desafios significativos para atender aos requisitos de conformidade regulatória.
Proliferação de ferramentas de segurança e gerenciamento
Como cerca de 87% das empresas utilizam implantações em várias nuvens, de acordo com nosso Relatório sobre o Estado dos Serviços de Aplicações de 2019, há uma tendência de usar quaisquer ferramentas disponibilizadas pelo provedor de nuvem. Isso significa usar várias interfaces nativas para resolver essencialmente o mesmo problema, o que acaba gerando dificuldades relacionadas a diferentes recursos, políticas e interfaces de gerenciamento, aumentando o risco para a empresa.
Some-se a isso não apenas o enorme número de aplicativos que as organizações gerenciam, mas também a complexidade desses aplicativos, e o resultado é uma superfície de ataque maior — ou seja, uma área mais ampla de possíveis vulnerabilidades de segurança — que empresas como a sua precisam enfrentar. Hoje, é necessário lidar com diferentes frameworks web, como node.js e HTML5, entre outros, além de servidores de aplicações e servidores web. Diferentes navegadores têm acesso a diferentes aplicações. A cada nova camada de complexidade, surgem mais vulnerabilidades e mais riscos a serem gerenciados.
Então, como gerenciar esse risco? Mudando o foco.
Sempre nos preocupamos em proteger a rede. Mas também chegou a hora de focar na segurança das aplicações. Os firewalls de aplicações web, em particular, são uma forma comum de gerenciar a segurança das aplicações. Isso porque os invasores estão mirando mais do que apenas a rede. Afinal, mesmo com uma rede segura, se houver uma brecha em uma aplicação, eles conseguirão entrar.
Tomemos novamente aquela transportadora como exemplo. Qualquer pessoa no mundo pode acessar o site para atender às suas necessidades de envio. Estamos falando de bilhões de pessoas. Mesmo que a rede esteja completamente protegida, o aplicativo pode ser a porta de entrada, já que qualquer pessoa está autorizada a usá-lo. Portanto, o maior risco estaria nesse aplicativo, e não na rede cuidadosamente protegida. Para muitas empresas, o aplicativo é atualmente o elo mais fraco. E os hackers sabem disso.
O que você precisa fazer é criar serviços de aplicações padronizados que possam ser federados globalmente sem impedir a inovação das equipes descentralizadas de desenvolvedores. Adote e viabilize a automação para garantir que a segurança seja incorporada desde o início, com políticas de segurança definidas e gerenciadas por especialistas na área e armazenadas como artefatos em repositórios de código-fonte para uso em pipelines de automação de CI/CD, em vez de serem codificadas diretamente ou configuradas manualmente como algo secundário. Para acelerar ainda mais, e com segurança, o lançamento das aplicações no mercado, é fundamental programar apenas o necessário e aproveitar serviços de infraestrutura reutilizáveis, como autenticação e firewalls de aplicações web.
“Quer saber um segredo chocante? A maioria das organizações não consegue dizer o que está acontecendo com seus aplicativos em um determinado momento. Elas não sabem quantos aplicativos têm, muito menos onde eles estão hospedados ou quem tem acesso a eles.”
Falta de visibilidade dos aplicativos
Em março de 2019, havia mais de 2,1 milhões de aplicativos disponíveis para usuários do Android. A loja de aplicativos da Apple
oferece mais de 1,8 milhão de aplicativos. E isso sem contar os milhões de aplicações empresariais que foram desenvolvidas e implantadas. No total, provavelmente estamos falando de mais de um bilhão de aplicações em uso no mundo todo atualmente.
Quer saber um segredo chocante? A maioria das organizações não consegue dizer o que está acontecendo com seus aplicativos em um determinado momento. Elas não sabem quantos aplicativos têm, muito menos onde eles estão hospedados ou quem tem acesso a eles. Mesmo no caso dos aplicativos mais importantes, as organizações raramente têm uma visibilidade consistente do desempenho deles (por exemplo, disponibilidade e latência para o usuário final) ou sabem onde procurar quando algo dá errado.
Seja qual for a sua estratégia, o objetivo deve ser descobrir como implantar e gerenciar aplicações de maneira consistente em todos os seus diferentes silos de infraestrutura. A melhor forma de fazer isso — e obter visibilidade dos caminhos percorridos por todas as suas aplicações — é utilizar um conjunto consistente de serviços de aplicações multinuvem. Ferramentas comuns ajudarão a reduzir riscos, aumentar a repetibilidade e diminuir falhas por meio da reutilização de serviços consistentes sempre que possível, especialmente em arquiteturas multinuvem. Quando implantados em todo o ambiente de aplicações, esses serviços consistentes devem permitir a inspeção completa de todo o tráfego no caminho dos dados, facilitando a solução de problemas quando eles surgirem, bem como a interceptação e o bloqueio de tráfego malicioso.
Essa consistência e a visibilidade proporcionada por essa abordagem também ajudam a reduzir os atritos entre as diferentes equipes operacionais que precisam colaborar para manter os aplicativos seguros e com alto desempenho.
Desafios de conformidade
Atualmente, muitas organizações, especialmente aquelas que operam aplicações em várias nuvens (como a grande maioria das organizações já faz ou planeja fazer), enfrentam desafios significativos para atender aos requisitos de conformidade regulatória.
Como muitas cidades modernas, as necessidades digitais da Cidade de Bellevue cresceram drasticamente. Há uma década, apenas alguns profissionais de tecnologia usavam a VPN da cidade para acessar sistemas remotamente. Hoje, todos os 1.600 funcionários estão habilitados para trabalhar remotamente. Para a força policial da cidade, permitir o acesso a dados confidenciais de antecedentes criminais significa que os sistemas devem estar em conformidade com diretrizes federais rigorosas, incluindo a política federal de segurança dos Serviços de Informações da Justiça Criminal (CJIS) e a norma federal relacionada de processamento de informações (FIPS). A conformidade com o CJIS e o FIPS é verificada por meio de uma auditoria federal anual. Sem atender à norma, os policiais ficam limitados quanto às informações que podem acessar em campo. Em última análise, a cidade precisava oferecer acesso seguro e em conformidade a todos os serviços municipais.
A solução? Sem querer parecer repetitivo, mas voltamos novamente à questão da consistência. Políticas de segurança consistentes e auditáveis, integradas ao pipeline de CI/CD, simplificam a conformidade e eliminam um dos principais obstáculos que retardam a adoção de práticas e ferramentas de DevOps.
Quando as aplicações são criadas e implantadas, o fluxo de trabalho de CI/CD garante que elas sejam disponibilizadas sempre de forma protegida e em conformidade.
“Seja qual for a sua estratégia, o objetivo deve ser descobrir como implantar e gerenciar aplicações de maneira consistente em todos os seus diferentes silos de infraestrutura.”
Olhando para o futuro
Não há dúvida de que os aplicativos estão se proliferando. Alguns profissionais de TI podem usar os termos TI “paralela” ou “clandestina”, pois muitos desses aplicativos são introduzidos na organização por usuários das áreas de negócios, e não pela TI. No entanto, termos pejorativos não resolvem os problemas que surgem quando esses usuários assumem a responsabilidade de adquirir (ou desenvolver) aplicativos. Em vez disso, encare isso como uma TI liderada pelas áreas de negócios — uma parceria entre os usuários dessas áreas e a TI para cumprir da melhor forma possível a missão da empresa.
A proliferação de aplicações exige um controle consistente, automatizável e centralizado. Hoje, é comum que as empresas tenham seus ativos de aplicações distribuídos por diversas plataformas: na nuvem, em seus data centers privados, localmente e em vários ambientes SaaS. As empresas estão começando a ter uma visão unificada de todo o seu portfólio de aplicações. Com esse tipo de controle, os riscos se tornam muito mais fáceis de gerenciar.
O amplo e abrangente portfólio de serviços de aplicações da F5 e sua plataforma onipresente permitem que as organizações centralizem e gerenciem serviços auditáveis de segurança e infraestrutura de nível empresarial em diversos ambientes, reduzindo o custo das mudanças e permitindo que os desenvolvedores se concentrem na inovação.
Conteúdo relacionado
E-BOOK
O labirinto multicloud: 5 princípios para o sucesso
Assim como a virtualização revolucionou a infraestrutura de TI, a ascensão da nuvem mudou mais uma vez o cenário.
BLOG
São 22h. Você sabe onde estão seus aplicativos?
Os aplicativos são o meio pelo qual as empresas fornecem produtos e serviços. Boas-vindas à era do Capital de Aplicações.
WEBINAR
Como lidar com o gerenciamento de aplicativos multinuvem empresariais com a F5
Está lidando com a proliferação de aplicativos? Saiba como simplificar a implantação consistente de segurança de nível empresarial em todos os seus aplicativos.
ARTIGO
Simplifique o gerenciamento de aplicações multicloud
É hora de implementar uma estratégia de gerenciamento de políticas que atenda às necessidades da sua organização e dos seus aplicativos. A F5 pode ajudar.