如何持续发现、监控和保护API
检测和内联执行是F5 Distributed Cloud API Security的重要组成部分，有助于加强对API行为的控制、缓解恶意或不必要的活动（包括自动化威胁），并防止敏感数据泄露。
检测漏洞，并为API、API支持的服务及其访问的系统和数据实施关键防护
在当今的数字环境中，API是现代应用的支柱，可实现服务之间的集成和数据交换。随着组织日益依赖API来增强功能并提供创新解决方案，未受保护的API所带来的风险也急剧上升。网络犯罪分子会主动攻击这些端点。此类端点不仅承载关键业务功能，也是进入组织内部的入口。攻击者会利用漏洞访问敏感数据、破坏服务、滥用业务逻辑实施欺诈，以及发起拒绝服务（DoS）、注入等攻击。
为保护数字资产并维护客户信任，组织必须优先保护API。为API实施强有力的安全措施，不仅能降低不断扩大的威胁面所带来的风险，还有助于确保满足受监管行业的合规要求。API安全有助于增强组织的数字服务、基础设施和客户体验的韧性。
API安全解决方案必须具备发现、漏洞检测、监控以及实时缓解机器人和其他威胁的能力。内联策略执行至关重要。要求组织暂停开发并立即修复API代码中的每个漏洞，或在代码达到完善之前停止发布代码，并不现实。这正是内联API检测和防护能力发挥作用之处。
主要优势
降低API漏洞暴露风险
通过内联执行和控制（包括正向安全功能），实时响应攻击及其他API漏洞利用行为，尽可能降低OWASP API安全十大风险所涵盖威胁可能造成的损害。
阻止未经授权的访问并减少数据丢失
深入洞察API使用情况及敏感数据（包括个人身份信息（PII））的暴露情况，并可通过掩码、限制或阻止API来避免关键数据暴露。
监控API端点并提升可见性
通过集中式控制台持续监控API端点，检测异常活动和恶意活动，从而改进响应策略、优化控制措施并强化API保护策略。
轻松实施一致的防护和策略管理
通过统一的控制机制集中管理API安全，简化策略实施，并确保所有API获得一致的保护。
通过内联执行控制、监控和保护API端点
强大的API安全堆栈依赖多层执行与控制机制来提供全面保护。OWASP API安全十大风险重点介绍了广泛的威胁，包括API面临的特有漏洞和安全风险。其中包括试图泄露或窃取数据、消耗或滥用资源的攻击（如DoS攻击），以及常见的注入攻击、访问控制和身份验证缺陷与安全配置错误。由于API会暴露关键端点，而这些端点往往是自动化攻击和恶意行为者的主要目标，因此，这些利用手段和API的独特属性需要专门的检测与保护措施，否则可能增加未经授权访问关键系统和敏感数据的风险。如果未得到妥善执行和持续监控，复杂的身份验证与授权机制还可能进一步加剧安全风险。此外，API通常需要处理动态业务逻辑并与第三方服务集成，因此必须采取额外的安全措施，以抵御API特有的各种威胁和利用手段。
借助F5® Distributed Cloud API Security，组织可以使用一套强大的执行功能，帮助保障API端点的安全。Distributed Cloud API Security将全球API发现、内联检测与Web应用和API保护（WAAP）的执行能力相结合。API与其支持的应用一样，容易遭受各类注入攻击，包括SQL注入和命令注入等注入漏洞。因此，传统Web应用防火墙（WAF）功能在保护现代应用及其所依赖的API方面仍发挥着重要作用。F5 Distributed Cloud Services搭载F5核心WAF，其强大的攻击特征码引擎包含8,500多个针对常见漏洞和披露（CVE）的特征码，以及F5 Labs发现的已知漏洞和攻击技术，为API抵御已知威胁奠定了坚实的保护基础。
这些端点承载着关键业务功能，也是进入组织内部的入口，因此成为网络犯罪分子主动攻击的目标。他们利用漏洞访问敏感数据、破坏服务并滥用业务逻辑。
与任何网络或计算资源一样，API也容易遭到滥用和DoS攻击。F5 Distributed Cloud Services提供第7层DoS防护和速率限制功能，帮助维持Web应用和API的服务可用性。组织可以精确控制API端点的连接和请求速率，识别、监控并完全阻止特定客户端和连接，或应用自定义阈值。这种对API连接和请求的精细控制既可在单个API级别实施，也可在整个域中实施。
缓解机器人和自动化流量是任何全面API安全策略的重要组成部分。借助Distributed Cloud Services，组织可以使用F5 Distributed Cloud Bot Defense，获得强大的自动化威胁防护。攻击者利用机器人直接利用OWASP API安全十大漏洞中的三类漏洞：身份验证失效、资源消耗不受限制，以及对敏感业务流程的访问不受限制。十大漏洞中的其他七类漏洞，包括安全配置错误、资产清单管理不善和授权失效等，也与机器人间接相关：攻击者依靠机器人高效发现并快速利用这些漏洞。许多API端点，例如登录、结账、信用卡验证和预订端点，尤其容易受到机器人的攻击。
主要优势
确保全面的运行时保护
将内联应用和API安全功能与Web应用防火墙（WAF）及机器人防护相结合，利用丰富的客户端信号和机器学习（ML），实现出色防护效果，并将误报率降至接近于零。
保护敏感数据
通过限制数据传输或完全阻止会暴露任何形式数据的API端点，对API请求中暴露的敏感数据（包括API保护规则）进行掩码处理。
实施正向API安全策略
利用学习生成、自动生成或现有的OpenAPI规范（OAS）文件，自动实施正向安全模型，并根据有效的端点、参数、方法、身份验证和有效负载详细信息，强制执行所需的API行为。
执行行为分析和异常检测
利用基于机器学习的分析，识别使用最频繁和遭受攻击最多的API端点，评估包括行为异常在内的使用模式，并识别已暴露的敏感数据。
实施实时威胁检测和风险评分
通过持续检查流量、监控威胁和识别漏洞，确定身份验证状态、敏感数据暴露情况和行为异常，从而精准识别最常遭受攻击的API和高风险端点。
此外，Distributed Cloud Services提供先进的机器学习（ML）和行为分析功能，可持续跟踪和监控API端点。借助此功能，组织可以建立API行为基线、验证身份验证状态，并直观呈现API使用情况随时间的变化，从而简化通信模式检测以及正常行为与异常行为的关联分析。随着API不断演变，这种方法有助于组织识别可疑活动并采取行动，包括API通信中敏感数据和个人身份信息（PII）的暴露。
敏感数据经常在不知情或无意的情况下通过API暴露或传输，因此必须识别可能导致个人身份信息（PII）及其他敏感数据面临风险的Web应用和API端点，以便保护这些数据并防范潜在的数据泄露。Distributed Cloud API Security可帮助组织掌控其API环境，并了解可能通过Web应用和API暴露的敏感数据。
组织可以轻松配置敏感数据策略，以发现、标记和报告其API中暴露的关键数据。这些策略包括：用于识别常见个人身份信息（PII）的基本策略（包括信用卡号、实际地址、电子邮件地址和电话号码）；适用于20多项关键合规框架的特定策略，其中包含数百种与PCI-DSS、HIPAA、GDPR和SOC2等框架相关的预定义数据类型；以及特定组织独有的自定义敏感数据。该服务可以通过代码存储库和流量分析，自动发现并记录组织的API，详细呈现每个API的各个端点。
Distributed Cloud API Security还提供自定义敏感数据检测器，支持用户定义和搜索不常见或独特的模式，这些模式可能表明API请求和响应中存在其他类型的敏感数据。此功能可用于搜索需要检测和保护的组织特有数据，并持续监控API流量，以识别意外泄露或可疑活动。
除上述检测功能外，Distributed Cloud Services还提供敏感数据掩码和泄露检测等多种功能，帮助组织保护在API中识别出的敏感数据。组织可以借此制定API数据保护策略，定义如何处理API响应中的数据，包括限制、阻止或掩码数据。用于控制API中数据暴露和掩码的策略可轻松应用于特定API端点、端点组、特定路径或整个域，从而确保即使攻击者获得特定API流量的访问权限，敏感数据仍能得到保护且无法被理解。除掩码功能外，该服务还会持续监控所有API并分析全部传输数据，帮助检测和报告API响应中的意外泄露或可疑活动。
在应对访问和授权威胁方面，Distributed Cloud API Security 可增强API网关功能，提升对API行为、身份验证和访问的可见性、监督与控制能力。这有助于组织识别身份验证缺口、实施访问控制，并阻止未经授权访问API、后端系统和敏感数据的尝试。该服务通过持续发现来学习、建模和映射所有应用及API端点，包括其身份验证状态。它还可通过直接代码分析和基于流量的发现，了解并记录身份验证类型和API端点详细信息。该服务利用学习或上传的OAS文件实施身份验证要求，并在边缘阻止未经身份验证的流量，从而减少请求处理对API网关和服务器的依赖。
该服务还提供JSON Web Token（JWT）验证功能，支持组织上传身份验证密钥，并在边缘验证JWT登录请求。借助此功能，组织无需在服务器上存储会话状态，也无需从数据库或缓存中检索用户信息。即时验证无需查询源站进行核验，有助于提升API可扩展性，并提供更快速的用户体验。
F5 Distributed Cloud API Security为API提供多层保护，使组织能够在发现漏洞、疑似攻击或滥用行为时快速检测并采取行动，其中包括针对暴露API的自动化威胁。
组织还可以利用Distributed Cloud API Security，根据有效的架构定义，使用自动生成或导入的OAS文件来强制实施正确的API行为。该服务会根据记录的API特征（包括数据类型、长度限制、允许的字符和有效值范围）验证输入和输出数据，以确保合规。通过持续监控API流量，该服务可自动执行验证、阻止操作或实施保护规则，从而对各个API端点、API组或规范文件中定义的基础路径实施精细的访问控制。
F5可扩展的SaaS型Distributed Cloud平台提供高级API保护能力及配套的WAAP功能。Distributed Cloud API Security为API提供多层保护，帮助组织快速检测并响应漏洞、疑似攻击和滥用行为。该解决方案简化了关键API安全控制措施的部署和管理，并通过提供集中可见性和管理功能的统一控制台，保护应用的整个生态系统，包括数量日益增长的API。
结论
随着组织采用由API驱动的现代应用，暴露的端点也随之增多，因而更容易受到网络威胁，也凸显出加强API保护的必要性。API是数据交换、服务支持和事务执行的关键通道，因此成为网络犯罪分子的主要攻击目标。随着组织日益依赖API来增强功能和简化运营，API缺乏保护所带来的风险也大幅上升。漏洞可能导致未经授权的访问、数据泄露和服务中断，最终危及敏感信息并损害客户信任。由于身份验证机制复杂且API具有动态特性，传统安全措施往往不足以应对，因此需要专门的保护措施。
通过优先加强API保护，企业可以更有效地抵御不断演变的威胁，确保服务和数据的完整性，并在不影响创新速度的情况下持续遵守行业法规。
Distributed Cloud API Security正是为此而生：提供组织实施强大API保护所需的平台和工具，帮助缓解这些风险，并增强现代数字基础设施和生态系统的韧性。通过优先保护API，企业可以更有效地抵御不断演变的威胁，确保服务和数据的完整性，并在不影响创新速度的情况下持续遵守行业法规，从而在快速演进的数字生态系统中安全释放全新现代应用的全部潜力。
通过优先保护API，企业可以更有效地抵御不断演变的威胁，确保服务和数据的完整性，并在不影响创新速度的情况下持续遵守行业法规。