【IT专家网独家】随着XML等基于web的语言逐步进入到系统架构中，所有的企业都必须要找到保证web服务安全的工具。在最近召开的Burton Group Catalyst会议上进行的一次采访中，Burton Group机构架构经理Chris Haddad讨论了企业正在越来越多地使用XML网关设备和其它工具保证服务互动安全的问题。他说，开发人员现在有工具制作Web服务。在机构的数据中心和整个应用程序领域有许多没有管理的和不安全的Web服务。企业正在认识到他们必须要控制这个环境。在这次访谈中，Haddad谈了有关SOA的发展、Web服务的推出和早期应用者如何选择保证应用程序和系统之间发送的基于Web的信息的安全。

　　问：谈到SOA应用的发展，许多企业目前处在什么阶段?安全在哪些方面适合这种情况?

　　Chris Haddad:在过去的两年里，机构一直处在计划阶段。他们一直在教育自己了解他们要过渡的那个领域的安全威胁和风险。他们一直在制定面向服务的安全战略。他们正在理解他们的技术如何能够填补这个空缺以及他们需要在什么时候购买新的基础设施和采用新的安全协议。我们最近几个月看到机构正在脱离这个计划阶段，进入基础设施选择和部署阶段。他们已经渡过了RFP(请求提出建议)阶段，正在采购各种产品以保证其服务信息通讯的安全。

　　问：企业正在考虑哪些Web服务安全产品?安全是企业首先考虑的问题吗?

　　Haddad:自从我们开始把我们的业务系统扩展到合作伙伴、客户和供应商以来，安全一直是最重要的问题，因为我们将把我们敏感的商业资产暴露给外部世界，暴露给我们正常的防火墙以外的地方。当你向面向服务的领域发展时，你在系统周围建立的坚固的围墙突然就消失了。边界和周边环境都消失了。机构一直担心这种服务可能带来的风险。他们将采用额外的技术保证他们的服务互动的安全，例如，在基础设施组合中引进XML网关、XML虚拟专用网、XML防火墙。

　　问：厂商的状况如何?早期的一些投资是什么?

　　Haddad: 我们已经看到大型企业在大量采用XML网关。我们已经看到这个领域的大量的产品转变在今年年初爆炸式地增长，这种情况仍将继续。许多产品种类的增长是由领先的新兴企业被收购推动的(如，IBM在2005年收购XML网络厂商DataPower。思科今年2月宣布计划以1.35亿美元现金收购XML网关厂商Reactivity)。这些收购为销售这些产品带来了额外的市场营销和配置非常好地销售取代。

　　问：XML网关是什么?为什么XML网关对于企业的Web服务安全战略是重要的?

　　Haddad: XML网关是一种硬件设备，能够为加密和数字信号能力提供硬件支持的加速。有许多昂贵的操作能够从你的服务平台转移到专用的设备上。XML网关服务器能够作为一个中新阻击点，在这里监视、控制和保护网络通讯的安全并且对那个通讯使用安全服务，如身份识别、授权、加密、特征处理、证书镜像、消息扫描和防御拒绝服务攻击等。有许多功能齐全的、丰富的、以安全为重点的设备。除此之外，他们有许多其它的增值功能，如服务监视、在客户机和服务器之间配置政策。他们还提供一个中心地方通过定义这些系统的政策来控制你的安全态势。这些政策然后将发布到你的全部端点作为宣布的政策在你的整个环境中强制执行。

　　问：为什么通过传统的安全不能缓解Web服务的威胁?

　　Haddad: 我们正在网络应用程序平台本身寻找缓解这些攻击的方法。我们正在寻求在这些攻击到达我们的应用服务器之前拦截这些攻击信息，并且在传统的网络技术的水平之上检测到这些攻击信息。不是让现有的防火墙理解如何防止拒绝服务，我们正在寻求检查XML信息本身来理解这个信息的意图。

　　问：企业正开始部署WS-Security OASIS标准吗?

　　Haddad: 企业目前正在把WS-Security作为做生意的主流方法。过去，让企业采用WS-Security一直是很困难的，因为执行这个技术规范的工具还不成熟。你必须是一个火箭科学家使用这个技术规范把.Net服务客户机与一个J2EE服务连接起来。XML网关和XML虚拟专用网等Web服务安全产品的推出已经使团队能够以更方便的方式执行这个技术规范。

　　问：WS-Security和SSL有什么区别?它们对于保护消息通讯是足够好的协议吗?

　　Haddad: SSL的意思是安全套接层。它是对客户机和服务之间的消息通讯进行加密的一种方法。这种加密是在网络层进行的。这仅仅对于一个特定的客户机和一台特定的服务器是好的。它建立了这两台设备之间的非常严密的连接。如果这个消息离开线路，或者路由到另一个服务提供商，这个安全环境就消失了。WS-Security等安全协议能够把安全环境扩大到人们能够检查这个消息的多种媒介，并且可以路由和继续发送那个消息。这正是提供了在网络之上的更高一级的保护的地方，即使在这个消息离开线路的时候也能够让你保留我放置的加密措施。

　　此文章中文版权归TechTarget和天极公司所共有，任何第三方不得转载。

　　查看本文国际来源>>