如何保护API和第三方集成
保护数字业务的基础架构
API是现代应用的基础，也是连接AI应用的通道。API让不同的系统和生态系统能够协同工作，并借助庞大的第三方生态系统缩短产品上市时间、改善用户体验。另一方面，API使用量激增和生成式AI兴起，推动架构走向分散化，增加了复杂性，也带来了重大风险。这使应用和API的安全防护更加困难，因而对攻击者极具吸引力。随着各组织不断推进应用组合现代化，并在新数字经济中持续创新，API数量预计到2031年将达到10亿个。
主要优势
分布式安全
无论API位于数据中心、跨云环境、边缘、移动应用后端，还是第三方集成中，F5都能在相应环境中运行。
持续防护
F5解决方案提供全面的可见性、可付诸行动的洞察和经过充分训练的机器学习能力，可持续发现并自动保护API背后的关键业务逻辑，覆盖从代码、测试到生产的整个流程。
一致执行
F5安全功能采用正向安全模型，该模型基于API架构学习、自动风险评分和基于机器学习的防护。
到2031年，可能有超过10亿个API需要保护。
了解API面临的挑战和潜在风险
由端点和集成构成的网络不断扩展，导致API无序蔓延，安全团队难以通过手动方式识别和保护关键业务逻辑。API日益分散在异构基础设施中，包括利用数据中心、公有云和边缘站点的混合云及多云环境，致使关键业务逻辑暴露在集中式安全控制范围之外。此外，由于应用开发团队快速推进创新，API调用可能深藏于业务逻辑中，并引用不安全的代码，因此难以得到保护。
由于过于强调创新速度，安全往往未能得到同步重视。有时，API本身在设计时就忽视了安全性。即使考虑了安全性，在维护跨多个云和架构的应用部署时，也常常会因其中复杂而细微的差异导致策略配置错误。
由于API专为机器间数据交换而设计，许多API可直接访问敏感数据，却往往缺少面向用户的Web表单输入验证所具备的同等风险控制措施。然而，这些端点同样会遭受困扰Web应用的各类攻击，包括漏洞利用、业务逻辑滥用和访问控制绕过，并可能导致数据泄露、停机和账户接管（ATO）。
不仅应采用与Web应用相同的风险控制措施来评估API端点，包括通过代码分析、渗透测试和威胁建模来降低业务逻辑攻击风险，还需要考虑其他因素，以降低安全团队监管范围之外或实际上已被弃用的端点所带来的意外风险，影子API和僵尸API便属于此类情况。
API 优先架构对攻击面的影响仍未得到广泛理解。
API会遭受与Web应用相同的攻击
由于API容易遭受许多针对Web应用的同类攻击，部分备受关注的数据泄露事件正是由API安全事件引发的。身份验证和授权控制薄弱、配置错误、业务逻辑滥用以及服务器端请求伪造（SSRF）等风险都会影响Web应用和API。漏洞利用以及机器人和恶意自动化滥用是主要关注事项：
- 注入和跨站脚本（XSS）可能导致未经授权的数据访问。
- 分布式拒绝服务（DDoS）可能会中断关键的创收服务。
- 凭据填充和其他自动化攻击可能导致系统失陷、数据泄露和欺诈。
API在整个设计和实施过程中会引入意外风险
应用正日益转向分布式和去中心化模式，并通过API互联。要在网络世界中保持竞争力，能够提升业务价值的移动应用和第三方集成已成为基本要求。F5 Labs研究详细说明了随着越来越多的行业采用现代应用架构，API如何日益成为攻击目标。部分原因在于API结构更加规范，攻击者更容易利用。
如果API广泛分布，却缺乏整体治理策略，风险就会增加。持续的应用生命周期流程会进一步加剧这一风险，因为复杂供应链的集成以及通过CI/CD管道实现的自动化，会使应用和API不断发生变化。
接口种类繁多且可能带来风险暴露，因此安全团队不仅需要保护前门，还要保护代表现代应用和AI应用构建模块的所有窗口，并采取主动、动态且持续的防护措施。
API安全解决方案
机器学习技术的进步使动态发现API端点并自动映射其相互依赖关系成为可能，无论是在测试环境还是生产环境中。这为持续分析API通信模式，以及识别会增加风险的影子API或未记录API提供了一种切实可行的方法。
此外，通过持续监控和分析端点，可自动构建安全基线，从而实现实时检测、自动风险评分并缓解恶意用户带来的威胁，同时避免不必要地增加安全团队的工作负担。
这种持续的自动化保护可生成经过精细调整的策略，并在软件开发生命周期的各个阶段，针对所有API一致应用于各种架构，从而缓解漏洞利用、遏制业务逻辑攻击，并强制执行架构和协议合规性以及访问控制。
企业需要对旧版应用进行现代化改造，同时利用现代架构和第三方集成打造全新的用户体验。采用覆盖核心、云端和边缘的整体治理策略来保护API，有助于推动数字化转型，同时降低已知和未知风险。
全面的治理策略可在支持数字化转型的同时，降低已知和未知风险。
主要功能
发现面向公众的Web应用和API中的已知风险，并借助AI增强型洞察识别测试中的漏洞，帮助进行修复。
动态API发现
检测整个企业应用生态系统中的API端点。
API定义导入
根据OpenAPI规范创建并实施正向安全模型。
策略自动化
集成到开发框架和安全生态系统中。
异常检测
利用自动风险评分和机器学习识别可疑行为和恶意用户。
协议与身份验证合规性
支持基于REST、GraphQL和gRPC的API、各种身份验证类型以及JSON Web Token（JWT）。
可视化与洞察
构建API关系图并评估端点指标。
灵活的API安全范式
F5解决方案可灵活适用于任何环境。全面的可视性和基于机器学习的自动化防护可充分提升效能，并减轻安全团队的负担。F5可整合单一功能型和细分领域解决方案，持续保护混合云和多云环境，从而增强韧性并提升修复能力。
部署API安全时的主要考虑因素包括：
- 混合云和多云支持
全面的可见性和一致的策略实施可降低复杂性、工具蔓延和配置错误风险，并加快修复速度。 - 与现有开发流程集成
安全团队可在测试期间主动发现风险，并通过原生Terraform Registry将安全策略集成到CI/CD流水线中，从而跟上应用生命周期的节奏。 - 正向安全模型
F5解决方案采用正向安全模型，通过OpenAPI定义、Swagger文件和零信任原则实施架构约束，从而简化策略。 - 自动化防御
基于机器学习的异常检测可修复漏洞利用、业务逻辑滥用和拒绝服务问题，同时无需安全团队跨环境调整策略，也不会产生过多误报。 - 丰富的可视化功能
安全仪表板支持深入查看API使用基线，帮助运维人员关联分析洞察，简化事件响应。 - 安全韧性
持久可靠的遥测数据和经过充分训练的机器学习技术有助于更高效、更有效地保障安全，跟上数字业务的发展速度，并缓解新兴的对抗性AI攻击。
保障应用安全，就是保护您的业务、客户和收入来源。
结论
F5解决方案通过持续发现并自动保护跨云和架构的关键业务逻辑及第三方集成，为整个企业产品组合中的API提供保护。
全面一致的安全策略与具备韧性的机器学习防御能力相结合，可帮助组织使API安全与数字化战略保持一致，从而改进风险管理，更有信心地开展创新，并简化运营。