词汇表： 网络安全术语和定义

什么是 Web 应用程序和 API 保护 (WAAP)？

Web 应用程序和 API 保护 (WAAP) 是指一组集成的安全服务，它们协同工作以减轻来自 API 和 Web应用的安全风险。

WAAP 含义

WAAP 解决方案可防止因漏洞利用、机器人、自动攻击、拒绝服务、欺诈和滥用以及不安全的第三方 API 集成而导致的应用安全风险。 

集成的安全控制使组织能够通过可操作的见解提高可视性，从而阻止特定的攻击并识别跨越多个威胁载体的协调威胁活动。

Buu Lam 在 Brightboard 课程中讲解了 WAAP 是什么、它解决什么问题以及如何利用 WAAP。

什么是 API 和 API 网关？

应用编程接口 (API) 是在现代 IT 环境中将用户、应用和服务相互连接的最常用方式。 大多数现代应用程序都是使用 API 构建的，API 是一种软件接口，使应用或服务能够进行通信，并允许以请求和响应的形式实现产品和服务之间的交互。 然而，更多的 API 意味着更多的攻击面。 随着 API 变得越来越普遍并分布在微服务架构中，需要额外的基础设施来确保可扩展性和安全性。

对于基于微服务的应用，API 网关充当系统的单一入口点，负责请求路由、组合和策略实施。 它通过简单地将某些请求路由到适当的后端服务来处理它们，并通过调用多个后端服务并聚合结果来处理其他请求。

API 网关还具有内置的安全功能，以保护 API 免受常见威胁，并提供关键的安全功能，包括管理 API 的访问控制、身份验证和授权，确保只有经过身份验证和授权的用户才能访问它们。

API 网关可以部署在 Kubernetes 集群前面作为负载均衡器（多集群级别），部署在其边缘作为 Ingress 控制器（集群级别），或者部署在 Kubernetes 集群内部作为服务网格（服务级别）。 对于位于边缘和 Kubernetes 集群内的 API 网关部署，最佳做法是使用 Kubernetes 原生工具作为 API 网关。 此类工具与 Kubernetes API 紧密集成，支持 YAML，并可通过标准 Kubernetes CLI 进行配置。

将 API 网关与 WAAP 解决方案结合使用可以提供相互补充的额外安全层。  例如，API 网关主要专注于管理和保护对 API 的访问，而 WAAP 解决方案可保护 Web应用和 API 免受各种安全威胁，包括OWASP Top 10 漏洞、 DDoS 攻击和机器人流量，并提供威胁情报和基于行为的异常检测等高级功能。  

为什么 Web 应用和 API 保护如此重要？

以引人注目且安全的数字体验吸引客户是业务的当务之急，也是安全和风险领导者关注的重点。 在现代数字经济中，试图平衡安全性和可用性的风险与回报计算从未像现在这样困难、重要或有利可图。 

前所未有的选择、客户对摩擦或故障的低容忍度以及日益严格的监管影响，正在将安全性从成本中心转变为竞争性数字差异化因素。 此外，应用日益去中心化和分布式，部署在异构和多云架构中，并集成在复杂的软件供应链和 CI/CD 管道中。 

WAAP 图 1

图 1： 应用程序越来越去中心化和分布式

由于移动应用程序使用量的增加和现代应用程序的开发，机器人和自动攻击的日益复杂化以及 API 端点的激增极大地扩大了威胁面，并带来了来自第三方集成的不可预见的风险。

工业化攻击生命周期始于自动化，终于账户接管和欺诈。

WAAP 图 1

图 2： application攻击持久而复杂

 

WAAP 解决方案代表了WAF市场向相邻领域的演变，特别是机器人管理、API 安全和DDoS缓解。

与基于云的 DDoS 清洗中心集成的 WAF 在历史上被称为 WAAP，无论 WAF 是数据中心、私有云还是公共云中的硬件还是虚拟设备。 然而，市场正处于一个转折点，许多组织将更倾向于采用基于云的WAAP 平台，以“即服务”安全的形式。

有多种驱动因素促使人们对基于云的 WAAP 平台的兴趣日益浓厚：

  1. 需要专门的机器人管理技术来阻止欺诈和滥用
  2. API 发现和执行控制可以减轻第三方集成带来的风险
  3. 通过 API、开发框架和CI/CD 管道持续维护策略
  4. 使用人工人工智能实现自动保护和误报补救

基于设备的 WAF 与专注于业务成果的基于云的安全服务相结合，将继续成为银行和金融服务 (BFSI) 等受到严格监管的行业中的可行甚至是首选方案。

如何评估云 WAAP 服务

有效性和易用性通常被视为 WAAP 的关键购买标准。

一流的 WAAP 可帮助组织以业务速度改善其安全态势，在不产生摩擦或过多误报的情况下减轻危害，并降低运营复杂性，以持续保护混合、多云架构免受严重漏洞、业务逻辑滥用和不可预见的风险的影响。 

主要功能包括：

  • 跨云原生基础设施和完整应用堆栈的通用可观察性
  • 动态 API 发现和实施
  • 攻击者重组、升级和逃避时的恢复能力

Web 应用和 API 保护如何工作？

WAAP 解决方案通过集成各种安全控制来保护应用，从而降低入侵、数据泄露、帐户接管和应用停机的风险，其中包括：

  • Webapplication防火墙 (WAF)
  • 机器人管理
  • API 安全
  • DDoS 缓解

WAAP 解决方案有多种形式：

  1. 与基于云的安全服务集成的物理/虚拟 WAF 设备
  2. 与基于云的安全服务集成的基于微服务的 WAF 实例
  3. 基于云的 WAAP 平台，集成 WAF、Bot、API 和 DDoS 安全控制

WAAP 解决方案还包括客户端安全性（用于检测恶意脚本/数据窃取（例如Magecart 攻击））、安全控制（用于防止通过恶意聚合器进行攻击）以及帐户保护（用于防止帐户被手动欺诈接管）。

应用基础设施保护 (AIP) 解决方案通过动态漏洞发现和云工作负载安全进一步加强应用程序安全性并改进补救措施——通过与 WAAP 控制集成防止底层基础设施的利用和滥用。

F5 如何处理 Web 应用和 API 保护？

F5 WAAP 解决方案能够原生地适应任何架构、云和操作模型，为安全和风险团队提供通用的可视性和一致的策略实施，以保护从核心到云到边缘的传统和现代应用程序。 F5 WAAP 解决方案在部署模型和操作模型方面提供了灵活性和选择性。

F5 分布式云 WAAP提供无与伦比的可观察性，再加上大型真实世界数据湖和机器学习算法，使 F5 客户能够采用基于 AI 的增值服务 (VAS)，例如身份验证智能，它通过改善个性化和消除摩擦来优化合法客户交易，以提高保留率、转化率和忠诚度。

WAAP 图 1

图 3： F5 分布式云 Web 应用和 API 保护平台

F5 NGINX 还根据您的使用案例和部署模式提供了多种部署和操作 API 网关的选项。 通用工具包括F5 NGINX Plus ，它可以部署为跨云、本地和边缘环境的轻量级、高性能 API 网关。

Kubernetes 原生工具包括NGINX Ingress Controller ，它通过 API 网关、身份和可观察性功能管理 Kubernetes 集群边缘的应用程序连接。