F5 被 SecureIQLab 评为安全效能和运营效率方面的佼佼者

随着企业不断将业务转移到云端，部署强大的应用安全控制以应对这种环境的独特挑战和不断变化的威胁形势比以往任何时候都更加重要。 解决漏洞和违规行为的速度不够快就是此类挑战的一个典型例子。

2024 年F5application战略状况报告发现，50% 的受访者认为“向所有受影响的系统/软件推送修补和更新需要太长时间，并且缺乏快速应对零日攻击的工具或流程。” 因此，当谈到确保应用程序健康时，“速度”是安全即服务的首要优势，这并不奇怪。

SecureIQLab 最近发布了其2024 年云 WAAP 网络风险验证报告，并对许多供应商的Web应用防火墙和API 安全性进行了评估，包括F5 分布式云 Web应用和 API 保护(WAAP)。

他们专门测试了安全效力、运营效率、误报避免情况，并强调了每个技术供应商的关键区别因素。 SecureIQLab 通过将应用和API暴露于来自OWASP Top 10和MITRE ATT&CK等行业框架的 3500 次攻击来测试云WAAP解决方案。 他们验证了这些 WAAP 解决方案的 80 项功能，包括部署、管理和可扩展性，为 AMTSO 标准下的网络安全验证树立了新标准。

F5 分布式云 Webapplication和 API 保护 (WAAP)荣获 SecureIQLab 的“安全设计”评级，成为七家以满分通过 WAAP 漏洞评估的供应商之一。 其安全效能与运作效率均获得较高评价，实现：

• 总体安全评分为 98.54%（位列前两名）
• 运营效率评级93%（排名前三）
• WAF OWASP 最高得分为 99.37，且零误报

针对所评估的每个主要安全领域，对测试标准进行了更深入的分析：

API 保护

API 容易受到与 Web应用类似的攻击，因为它们存在注入缺陷、身份验证问题以及由于输入验证不充分和安全措施不足而导致的数据泄露风险等共同的漏洞。 API 安全测试使用2023 年 OWASP API 安全 Top 10中的 70 多种攻击，评估了F5 分布式云 API 安全在防止六种 API 协议中未授权访问敏感数据的有效性。 基于安全效力百分比的评级范围从 1 到 5，表示不同级别的保护，结果作为 WAAP 行业 API 安全标准的基准。 报告强调，F5 比平均水平的 OWASP API 安全保护表现更佳。

机器人防御

F5 的领域专家和数据科学家不断研究攻击者的工具以及行为和环境信号，并利用先进的 ML 快速检测攻击者的重新装备并部署更新的模型以实时缓解攻击。 F5 分布式云机器人防御针对五种类型的机器人攻击进行了测试，其中包括两种来自 OWASP 的攻击，源自亚洲和北美地区，结果显示地理位置不会影响产品的安全有效性，机器人攻击分数范围从 0% 到 100%。 F5 在机器人防护方面获得了满分，其表现明显优于该组平均水平。

DDoS防御

第 7 层分布式拒绝服务 (DDoS) 和第 7 层拒绝服务 (DoS) 攻击使用有效的 TCP 连接，对检测构成了挑战；对F5 分布式云 DDoS 缓解措施进行测试，抵御两次第 7 层DDoS 攻击和五次第 7 层 DoS 攻击，得分范围从 57% 到 100%。

运营弹性

F5 分布式云 WAAP 还针对采用 3 种独特攻击媒介的 103 个弹性测试用例进行了操作弹性测试，旨在阻止看不见的攻击；弹性分数表示阻止的攻击占总攻击的百分比，范围从 54.9% 到 99.3%，表明其能够抵御和吸收各种攻击变化。 F5 以 99.3% 的拦截率并列最高分，表现明显优于平均水平。

固有安全性

SecureIQLab 评估了云 WAAP 产品的安全性，以确保它不会增加受保护环境的攻击面并且其特权不会被利用。 F5 分布式云 WAAP 经过了 11 种漏洞评估技术的测试，12 种 WAAP 解决方案中有 7 种（包括 F5）在 WAAP 漏洞评估中获得了 100% 的满分。 由于获得 100% 的 WAAP 漏洞评估分数，SecureIQLab 将 F5 评为“设计安全”。

运营效率

运营效率对于有效部署和管理 WAAP 解决方案至关重要，可确保最少的资源分配和运营成本。 SecureIQLab 在各个领域验证了 WAF 和 API 安全运营效率，采用基于功能能力的评分系统为每个类别提供综合评级，指导组织选择在不中断业务工作流程的情况下优化安全性的解决方案。 SecureIQLab 重点介绍了 F5 在其 API 操作中如何表现出高于平均水平的运营效率，在七个类别中的两个类别中获得了满分。

避免误报

WAAP 解决方案必须有效区分合法商业交易和恶意活动，以避免可能扰乱业务运营的误报。 F5 基于 AI/ML 的恶意用户检测可根据行为和基于签名的属性对潜在威胁提供动态风险评估和评分。 通过模拟正常用户行为的 6500 多个误报案例测试，F5 分布式云 WAAP 准确区分良性流量与威胁的能力得到了评估，误报避免分数越高，对运营效率的影响就越小。