保护底层基础设施，保障应用和API安全

云的兴起与架构风险

云原生和多云应用日益普及，也带来了更高的风险，因为传统安全控制措施并非为保护动态且高度分布式的架构而设计。组织缺乏必要的可见性和控制能力，难以识别单次协同攻击活动可能引发的各种安全威胁，例如拒绝服务、协议欺骗、加密恶意软件，以及滥用配置错误的云API。

企业希望借助云基础设施提供商弥补这一差距，但不同云提供商的责任模型、安全态势和云原生工具各不相同。此外，将应用迁移到云端并不能消除关键网络协议和会话协议面临的风险，而所有数字流量都依赖这些协议。事实上，由于云原生基础设施通常缺乏足够的可观测性和安全防护，风险面很可能会扩大，形成严重的盲区，并为攻击者提供可乘之机，进而可能导致停机、服务中断和业务受损。

应用和基础设施现代化

应用和API通常通过由松耦合微服务组成的分布式架构交付，这种设计有助于快速交付新功能和集成。然而，现代化也会增加复杂性，并扩大攻击者可利用的威胁面。尽管许多组织了解应用安全的重要性，但业务逻辑底层的基础设施往往是整体安全中最薄弱的环节。

如果无法充分了解应用基础设施，组织的安全态势就会出现薄弱环节，包括网络和会话安全、容器、编排工具、虚拟机以及云提供商API等方面，从而增加系统遭入侵和数据泄露的风险。基础设施层面的漏洞和错误配置会使应用面临数据外泄、内核修改、未经授权的镜像、加密货币挖矿程序和凭据窃取等威胁。

数据泄露事件分析：架构风险

复杂攻击可能始于利用Web服务器上的漏洞，并以此为立足点远程执行代码。随后，攻击者可以提升权限，并横向移动至包含敏感信息的数据库。该数据库可能包含用户凭据，但更重要的是，其中可能存有内部东西向API的未受保护密钥。攻击者可利用此密钥修改安全控制措施，并窃取大量敏感数据。

许多组织的企业和应用架构、开发模式及业务模式正在同时发生转变，这些变化共同增加了复杂性和风险。随着攻击者利用多云架构等新型应用范式带来的更多可乘之机，增强可见性不可或缺。

保护从网络到云工作负载的整个数字架构

F5为应用和API所依赖的所有架构组件提供全面防护，帮助抵御拒绝服务攻击、清除加密恶意软件，并发现云工作负载中的异常可执行文件，从而主动防止系统遭到入侵。

图1：F5解决方案通过网络和会话加固、集中式解密以及云工作负载行为分析，帮助提升基础设施韧性并有效检测威胁。

F5如何保护应用基础设施？

F5解决方案可保护应用基础设施，帮助降低风险，并保护Web应用和API免受针对关键协议和云原生工作负载的攻击，同时为应用构建、部署和运行所依托的整个基础设施提供可观测性。该基础设施正日益演变为去中心化、分布式的多云架构。

F5解决方案提供云规模性能和协议处理能力，帮助抵御大流量DDoS攻击、DNS劫持，以及绕过复杂安全生态系统的加密威胁。

云工作负载保护为现代应用工作负载提供深度遥测和高效入侵检测，并结合规则与机器学习，在整个基础设施堆栈中实时检测攻击，包括云提供商API、虚拟机实例、容器和Kubernetes。借助基于行为的检测，F5解决方案可以识别云原生应用面临的内部威胁、外部威胁和数据丢失风险。

正如F5首席技术官办公室的Aditya Sood所写：“能够及早检测潜在攻击的可观测性策略，有助于快速响应并化解攻击。”¹  结合 Web App and API Protection后，组织可以采用纵深检测方法，应对跨应用、API及其运行所在的云原生基础设施的安全威胁。

结论

随着组织推进应用架构现代化，攻击面也随之扩大。技术手段高度复杂的恶意行为者会采用多种方式攻击Web应用和API，包括利用漏洞、滥用业务逻辑，以及使用可在云原生基础设施中横向传播的加密恶意软件。

云计算在带来诸多机遇的同时，也伴随着相当大的风险。在混合多云的数字世界中，不同环境的安全状况和控制措施各不相同，复杂性也随之增加。这种复杂性无法消除，但可以管理。技术领导者必须直面这一任务，而供应商也在努力提供相应的解决方案。²

脚注

¹ 主动式网络安全需求的演变

² 2022年应用策略现状：多云复杂性持续存在