既然您已了解API安全的重要性……

F5生态系统 | 2019年12月26日

（如需快速了解API安全如何成为当前行业热点，请参阅这篇近期博客文章。以下指南将在此基础上，帮助您梳理可采取的应对措施。）

使用安全网关增强API网关

API的爆发式增长正在推动API网关和API安全市场的发展。尽管二者未来可能会整合，但目前可以在API网关前部署功能完善的Web应用防火墙（WAF），以缓解威胁。WAF可利用IP情报、攻击特征、恶意机器人检测和OWASP十大风险规则集等开箱即用的功能，在已知恶意流量到达API网关之前将其阻止。功能更成熟的WAF（例如F5 Advanced WAF）具备专用功能，并可自定义安全策略，以保护单个域中的多个API，而不只是为每个域应用一套全局规则集。

在应对当前及新出现的需求时，请牢记以下三点：

API网关已成为战略控制点。随着技术转型带来更多非人类流量，API成为业务的核心。API网关位于边缘，是所有API流量的入口。要实现有效的API安全，需要更丰富的上下文、分析、调用方身份识别和关联分析能力。
API网关与API安全产品之间存在显著差距。传统应用安全厂商缺少版本控制、编排和计量等基本的API网关功能。大多数API网关解决方案也缺少多数WAF解决方案提供的标准安全控制。要获得足够的功能和安全性，两者缺一不可。
可通过安全网关弥合这一差距。 增加具备API保护功能的Advanced WAF，有助于弥补大多数API网关在安全方面的不足。F5 Advanced WAF已将安全功能扩展至API和微服务。虽然它无法取代API网关的扩展功能，但可以改进并实施常见的安全控制。F5 Advanced WAF还支持声明式API，可在敏捷环境中编排和自动执行API安全策略。

安全网关可以弥补安全疏漏，但不能因此放松警惕

随着技术日趋成熟，API网关将有助于解决更多API安全问题，但目前尚未完全实现。短期内，合理规划并遵循最佳实践，将大有助于为API提供充分保护。要有效保护API，请务必：

始终使用安全网关。 不要允许客户端未经身份验证直接访问API。强制所有流量通过能够丢弃已知恶意流量的安全网关或代理。如果已有WAF，请充分利用。即使是基础WAF，也可在考虑更全面的解决方案期间作为应急之选。
保持简单。让DevOps和SecOps团队就一套API开发标准（例如OpenAPI/Swagger）达成一致。这些标准有助于记录和测试API。OpenAPI 3.0提供可重复使用的专用安全组件，有助于实施安全设计。采用OpenAPI标准还可以使用Crunch42等审计和合规性工具，实现设计和安全测试自动化。
定义安全要求。API要求的范围通常仅包括API所需的功能，即定义API应具备哪些能力。API要求还应包括安全要求（API不应具备哪些能力）。将安全要求纳入设计规范后，安全性也会成为API功能测试的一部分。
为API服务创建威胁模型 （API客户端和服务器）。对拟议系统进行威胁建模有助于识别关键资产、组件和威胁类别。随后可添加安全设计要求，以缓解已识别的威胁。确保控制措施与API和应用所需的风险模型保持一致。
卸载身份验证和授权。利用API网关实现现代身份验证和授权。部署时，所有API都需要启用身份验证。无需在应用本身中构建此功能（这也并非良好实践，因为将未经身份验证的流量直接转发到API可能使其容易受到攻击）。可采用多种身份验证方式，并可根据风险选择合适的方式。OAuth 2.0通常被视为REST API的合适选择。F5 BIG-IP APM是实施这些控制措施的合适解决方案。
加密所有内容。没有理由不使用加密。互联网流量采用SSL/TLS的比例正接近100%。所有公共API流量都需要加密。如条件允许，请使用临时密钥来增强安全性（还记得Heartbleed吗？）。如果API网关因性能或价格因素无法处理加密工作负载，可考虑将该工作负载卸载到专用系统，例如F5 SSL Orchestrator。
避免开发人员在安全方面“自行创新”。安全工作很难做到万无一失。安全社区已为此努力了数十年，但仍不断发现缺陷。开发人员或许才华出众，但如果他们要自行设计定制安全控制措施（例如新的加密模型），务必格外谨慎。为避免此类安全“创新”，应为DevOps提供标准化且经过充分验证的基线安全控制措施。如需专门定制安全控制措施，应咨询SecOps团队。