从单体应用向微服务生态系统的转型，使API成为具有战略意义的关键控制点。尽管Web应用防火墙（WAF）一直是保护基于HTTP的应用的主要工具，但API一直缺乏同等的控制措施，难以充分满足合规、安全和审计要求。随着API和非人类流量超过Web应用流量，安全控制措施也需要随之升级。安全负责人应把握这些新兴趋势，深入了解如何保护API，并以此推动组织内部改进API安全。
API激增已成为普遍现象，API的数量将持续增长。此外，发布API的可能不只是DevOps团队。组织内的其他部门（例如营销团队）也可能发布自己的API，甚至在营销活动中使用第三方API。对于安全团队而言，准确盘点正在使用的API是关键的第一步。
协作是关键安全团队需要与DevOps合作，设计并实施充分的API安全控制措施。DevOps希望快速推进工作。安全团队需要了解DevOps的工作方式，并建立可集中管理且可集成到CI/CD流程中实现自动化的安全控制措施。
API网关安全防护相对滞后，如今的API网关通常侧重于身份验证、版本控制和分析（用于计量和计费）。尽管这些安全控制措施很重要，但无法为API提供全面保护。充分的API安全防护需要抵御针对身份验证服务的攻击、应用层DoS攻击、数据外泄、漏洞利用、注入攻击和异常行为。
API直面攻击，仍存在安全隐患
API是当今数字业务平台的核心，也是关键控制点。API通常设计为对外开放，可供业务合作伙伴、客户和微服务访问。与Web应用一样，API也可能成为访问敏感数据的入口，因此需要得到充分保护。Venmo、Facebook和Salesforce等组织近期发生的API相关事件，说明了API安全的重要性。F5 Labs还重点介绍了其他值得关注的API问题，详见此处。
与许多技术进步一样，安全往往相对滞后，API安全也不例外。随着API驱动型经济不断发展，API安全工作的规模、节奏和复杂性可能令安全专业人员难以应对。
API仍将大规模增长。随着应用成为企业业务的核心，API数量将继续激增。Programable Web API目录中发布的API数量在2019年快速增长（每月新增数百个API）。我们预计这一数字将继续上升，尤其是在各行业推动基于API的互操作性之际。欧盟PSD2（修订版支付服务指令）就是一个很好的例子。
安全必须跟上CI/CD流水线的步伐。支持“版本控制”的API网关可让API提供商持续添加新功能和特性，同时不影响现有客户端集成。这对CI/CD非常有利，但如果安全措施拖慢流程，就会直接影响业务，并抵消敏捷开发带来的优势。为适应此类环境，必须实现安全控制自动化并将其集成到发布流程中，使安全团队能够集中实施通用控制，同时不影响发布周期。
API安全责任归属分散也是一个影响因素。API广泛应用于整个组织，包括移动应用、微服务、云端和本地环境。组织整体的可见性和API清单管理能力仍在完善，导致部分API未纳入安全团队的监管范围。需要帮助跨组织的领导层和利益相关者了解如何实施一致的安全实践和控制措施。
API网关安全尚不成熟。目前，许多供应商都在提供API网关，例如MuleSoft、Google (Apigee)、Kong、Istio和Oracle。这些产品提供版本控制、路由、分析和计量、身份验证等API网关必备功能。每种产品都有各自的优势和附加价值，但仍需结合其他安全网关服务，实施全面的安全控制，以防范访问违规、注入、DoS和漏洞利用。
_____
背景已经介绍完毕，敬请关注下周发布的博客（在此添加链接），届时我们将深入探讨如何应对上述挑战……
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。