只有當(dāng)防火墻能夠顯著減少風(fēng)險(xiǎn)，并且你能認(rèn)識(shí)到它們會(huì)引發(fā)擴(kuò)展性和可用性問(wèn)題時(shí)，才使用防火墻。適用情形:無(wú)論何時(shí)都適用。只對(duì)遵從PI和PCI等法規(guī)的重要數(shù)據(jù)采用防火墻。對(duì)價(jià)值低的靜態(tài)數(shù)據(jù)，不要采用防火墻。防火墻會(huì)降低可用性，造成不必要的護(hù)展瓶頸。雖然防火墻很有用，但它們通常會(huì)被濫用，如果設(shè)計(jì)或?qū)嵤┎划?dāng)，可用性和擴(kuò)展性都會(huì)受影響。

決定采用哪種安全措施最終應(yīng)該從利潤(rùn)最大化的方面考慮。通常安全措施只是減少風(fēng)險(xiǎn)的一種方法。而風(fēng)險(xiǎn)則是發(fā)生某個(gè)動(dòng)作且該動(dòng)作會(huì)造成影響或損害的可能性。防火墻通過(guò)減小事件發(fā)生的可能性來(lái)降低風(fēng)險(xiǎn)。采用防火墻會(huì)有些額外的開支，對(duì)可用性也會(huì)有一定的影響(從而也會(huì)影響到收益和客戶滿意度)，通常還會(huì)影響擴(kuò)展性，在網(wǎng)絡(luò)流量或事務(wù)數(shù)量方面造成擴(kuò)展瓶頸。遺憾的是，許多公司都把防火墻看作唯一的安全手段。他們?yōu)E用防火墻，卻沒有充分利用其他更安全的措施。


 
關(guān)于防火墻對(duì)可用性的影響，我們不能輕描淡寫一筆帶過(guò)。根據(jù)我們的經(jīng)驗(yàn)，造成站點(diǎn)故障停工的首要原因是數(shù)據(jù)庫(kù)故障，其次就是防火墻故障。同同樣地，這個(gè)原則就是要減少防火墻的數(shù)量。但是要記住，在你減少不必要的或多余的防火墻的同時(shí)，還有很多其他關(guān)系到安全性的事情要做。根據(jù)我們的經(jīng)驗(yàn)，應(yīng)把防火墻看做一種周邊安全設(shè)備。也就是說(shuō)，它會(huì)增加產(chǎn)品的感知成本和實(shí)際成本。就這一點(diǎn)而言，防火墻的功能與房間的門鎖相似。事實(shí)上，我們]認(rèn)為房子這個(gè)比喻很適合說(shuō)明如何看待防火墻，所以下面就以這個(gè)比喻為基礎(chǔ)進(jìn)行說(shuō)明

在你的房子中，有幾塊區(qū)域很可能沒有上鎖。例如，你可能不會(huì)給前院上鎖，還可能會(huì)把一些相對(duì)較廉價(jià)的東西放在前院里，如澆水的軟管和園藝工具。你還可能會(huì)把自行車放在前院中，雖然你知道把它放在車庫(kù)中，賊更不容易偷走它。更有可能，你給后門也上了鎖，甚至還有門栓，浴室和臥室可能也有小型的隱私鎖。而房子的其他房間，包括衣櫥等，可能都沒有鎖。為什么要區(qū)別對(duì)待不同的區(qū)域呢?

房子室外的區(qū)域，雖然對(duì)你來(lái)說(shuō)很有價(jià)值，但對(duì)別人來(lái)說(shuō)，卻沒有值得偷竊的價(jià)值。即使你很重視自己的前院，但是也不會(huì)認(rèn)為有人愿意拿著鐵锨來(lái)把它挖走，移到別處去。你可能會(huì)擔(dān)心有人騎車壓過(guò)它，破壞了草坪或花酒頭，但這種擔(dān)心還不足以讓你花錢用柵欄(并非裝飾性的那種)把它圍起來(lái)，破壞了自己和鄰居的良好視野。

室內(nèi)安裝鎖的目的只是為了保護(hù)隱私。大多數(shù)室內(nèi)的門并沒有為了防止好奇者的窺視而裝鎖。我們并沒有給大多數(shù)的室內(nèi)門上鎖或門栓，因?yàn)樗鼈冎粫?huì)給我們帶來(lái)麻煩，這些鎖帶來(lái)的安全感還抵消不了它們?cè)斐傻穆闊?br />
現(xiàn)在想想你的產(chǎn)品。有些方面的內(nèi)容，如靜態(tài)圖像、CSs文件、Javascript文件等，它們對(duì)你來(lái)說(shuō)雖很重要，但并不需要高端的安全措施。在許多情況中，都是通過(guò)外部網(wǎng)絡(luò)的邊緣緩存(或內(nèi)容分發(fā)網(wǎng)絡(luò))來(lái)傳輸這些屬性的。同樣地，不應(yīng)該讓這些對(duì)象再經(jīng)過(guò)額外的關(guān)節(jié)(防火墻)來(lái)降低全局可用性，由于額外的網(wǎng)絡(luò)瓶頸限制了擴(kuò)展性。確保通過(guò)私有IP地址和端口80與443傳遞這些對(duì)象，這不僅可以節(jié)省成本還能減少防火墻的負(fù)載。

再回頭看看防火墻的價(jià)值和成本，讓我們研究一個(gè)體系，利用該體系，可以決定何時(shí)何地應(yīng)該實(shí)施防火墻。我們已經(jīng)介紹過(guò)，防火墻會(huì)讓我們付出以下的代價(jià)，即購(gòu)買防火墻的建設(shè)成本。有了防火墻，還要對(duì)它進(jìn)行額外的擴(kuò)展，而上且它在事務(wù)的關(guān)鍵路線上增加了設(shè)備，有可能出故障或引發(fā)問(wèn)題，從而對(duì)可用性也造成了影響。我們也介紹過(guò)防火墻的價(jià)值，即它可以阻止或者妨礙那些想偷竊或者損害我們產(chǎn)品的行為。

首先是數(shù)據(jù)對(duì)攻擊者的價(jià)值與實(shí)施防火墻的成本基本上成反比。雖然兩者關(guān)系并非總是如此，但對(duì)我們?cè)S多客戶的產(chǎn)品來(lái)說(shuō)確實(shí)如此。靜態(tài)對(duì)象引用是頁(yè)面上的主要對(duì)象請(qǐng)求，通常也是頁(yè)面上最多的元素。因此，隨著事務(wù)處理速度和吞吐量的增加，防火墻的成本會(huì)增加。在你想到它們對(duì)攻擊者來(lái)說(shuō)毫無(wú)價(jià)值時(shí)，就會(huì)覺得防火墻更貴?？紤]到防火墻會(huì)對(duì)可用性產(chǎn)生的影響以及購(gòu)買防火墻的成本，而這種數(shù)據(jù)又不是攻擊者的主要目標(biāo)所以該種數(shù)據(jù)不值得如此投咨。對(duì)干這種數(shù)口要F保它們使用的是私有IP空間(如10.X.Y.Z)，并且只有通過(guò)端口80和443的請(qǐng)求才能訪問(wèn)它們即可。

不過(guò)，另一方面，我們還有諸如信用卡號(hào)、銀行賬戶信息和社會(huì)保障編碼這樣的數(shù)據(jù)。這些數(shù)據(jù)對(duì)攻擊者具有很高的價(jià)值。保護(hù)這種數(shù)據(jù)的成本相對(duì)于保護(hù)其他對(duì)象來(lái)說(shuō)較低，因?yàn)樗鼈兊恼?qǐng)求頻率比其他對(duì)象低。這種對(duì)象，我們絕對(duì)應(yīng)該鎖定。

對(duì)于我們的平臺(tái)所服務(wù)的其他請(qǐng)求，沒有必要確保所有的客戶搜索都經(jīng)過(guò)防火墻。那么我們保護(hù)什么，服務(wù)器自身嗎?我們可以保護(hù)自己的資產(chǎn)，通過(guò)包過(guò)濾、路由器和運(yùn)營(yíng)商關(guān)系等，使它們免于受到分布式拒絕服務(wù)之類的攻擊。利用限制訪問(wèn)系統(tǒng)的端口的方式可能會(huì)失敗。如果攻擊者對(duì)這些服務(wù)并沒有極大興趣，那么我們也沒有必要把它當(dāng)作皇冠上的珠寶，花費(fèi)大量的金錢，以降低可用性為代價(jià)來(lái)保護(hù)它們。

簡(jiǎn)而言之，不要假設(shè)所有數(shù)據(jù)都需要同等級(jí)別的保護(hù)。是否采用網(wǎng)站設(shè)計(jì)防火墻是一項(xiàng)商業(yè)決定，該決定要能夠在犧牲可用性增加成本的情況下降低風(fēng)險(xiǎn)。太多公司把防火墻看作一元的決定，即如果我們的站點(diǎn)有防火墻，那么所有請(qǐng)求都要經(jīng)過(guò)防火墻，但事實(shí)是，防火墻只是眾多用于降低風(fēng)險(xiǎn)的工具之一。在你的產(chǎn)品中，并非所有數(shù)據(jù)都值得通過(guò)增加成本及犧牲可用性來(lái)保護(hù)。與其他任何一項(xiàng)商業(yè)決定一樣，是否采用防火墻也需要權(quán)衡，而不是在實(shí)施中采用千篇一律的方法?？紤]到防火墻的特性，從產(chǎn)品的擴(kuò)展方面來(lái)看，它很容易成為最大的瓶頸。