无需工具泛滥，即可保护关键应用和API
F5 Application Delivery and Security Platform (ADSP)将Web应用防火墙（WAF）、API安全、机器人管理、DDoS缓解等关键防御能力整合到一体化Web应用和API保护（WAAP）解决方案中。随着AI、混合多云架构和API蔓延不断扩大攻击面，单点产品会造成防护缺口并增加管理开销。一体化WAAP可减少产品蔓延和复杂性，提高一致性，并保护关键数字体验免受不断演变的运行时攻击。
以WAF筑牢应用安全基础
以高效的WAF作为WAAP防护的核心策略执行点，阻止常见及新兴的应用层漏洞利用。
发现并保护每个API
发现并保护API，减少盲区，防止滥用，并保护敏感数据和业务逻辑。
应对不断演变的机器人和自动化攻击
利用多种信号检测复杂的自动化威胁，从而保护客户、减少欺诈并限制滥用。
确保抵御DDoS攻击的韧性
缓解导致应用服务中断的多向量攻击，保障分布式环境中的正常运行时间和性能。
探索WAAP用例
应用漏洞缓解
应用漏洞缓解
关键应用漏洞不断涌现，攻击者利用这些漏洞的速度也越来越快，往往在补丁发布前就已发起攻击。F5在本地、云和边缘环境中提供贴近应用的防护，帮助减少风险暴露。借助WAF防护和一致的策略管理，团队可以应用虚拟补丁来缓解OWASP十大风险并防范零日风险，同时简化混合多云部署中的运维。
了解详情
F5 WAF for Distributed Cloud
借助SaaS WAF，确保分布式应用和环境获得一致的保护
F5 WAF for BIG-IP
利用高级WAF控制和虚拟补丁保护应用
F5 WAF for NGINX
使用支持Kubernetes的WAF，保护在F5 NGINX上运行的现代应用和API
F5 Distributed Cloud Managed Services
全球SaaS交付的托管式WAF服务，全天候保护应用
API安全
全生命周期API安全
未知且清点不充分的API会扩大攻击面，并暴露敏感数据和业务逻辑。F5支持发现API端点并将其编入目录、建立正常行为基线，以及在从开发到运行时的整个过程中保护API。通过在混合多云环境中实现集中可见性和策略执行，组织可以减少API盲区、改进治理，并大规模保障现代应用开发和连接的安全。
了解详情
F5 Distributed Cloud API Security
利用行为分析发现并保护API端点
F5 NGINX One
使用NGINX工具管理并保护现代环境中的API流量
机器人防御
机器人和恶意自动化防御
机器人和恶意自动化攻击会探测弱点、滥用业务逻辑，并导致账户接管（ATO）和欺诈。F5利用多种信号和分析来帮助检测和缓解机器人及其他自动化威胁，仅在必要时实施增强验证。这有助于提升防护能力和韧性，同时避免影响客户体验，并支持分布式环境中的一致运营。
了解详情
F5 Distributed Cloud Bot Defense
利用多信号检测和自适应缓解措施阻止自动化攻击
F5 Distributed Cloud Data Intelligence
添加分析信号，以改进检测和调优，并提升安全成效
F5 Distributed Cloud Aggregator Management
管控第三方聚合商流量，减少滥用和业务风险
F5 Distributed Cloud Client-Side Defense
识别并缓解恶意浏览器端脚本和数据窃取
DDoS防护
防御DDoS攻击
DDoS攻击日益频繁，规模不断扩大，复杂程度也持续提升，影响应用可用性和性能。F5将防护能力集成到分布式架构和部署模式中，帮助抵御混合型、多向量DoS和DDoS攻击。通过适当结合本地和云端缓解措施，保护关键应用服务，同时保障用户体验并维持运营控制。
了解详情
F5 Distributed Cloud DDoS Mitigation
通过覆盖分布式环境的SaaS缓解服务，阻止多向量DDoS攻击
F5 DoS for NGINX
来自F5 NGINX的轻量级防护，可抵御第7层DoS和DDoS攻击
F5 BIG-IP AFM
通过本地部署或BIG-IP VE的高性能控制功能，检测并缓解DoS/DDoS攻击
虚拟补丁
通过虚拟补丁缩短风险暴露窗口
前沿AI模型可能在CVE披露之前，就将漏洞转化为可用的利用程序，而代码修复仍需数周才能完成开发、测试和部署流程。虚拟补丁可在运行时和数据路径中阻止漏洞利用尝试，避免恶意流量触达易受攻击的代码。F5将持续扫描的发现直接纳入WAF策略，在几分钟内针对每个已发现的漏洞实施精准防护，并在开发人员按照标准变更控制流程进行修复期间持续保护应用。
了解详情
F5 WAF for Distributed Cloud
借助SaaS WAF，为分布式应用和环境提供一致的防护
F5 Web Application Scanning
查找需要加固的应用和API，以及需要修复的漏洞
持续安全评估
通过持续安全评估降低暴露风险
随着应用和API遍布混合云和多云环境，未知或暴露的资产以及尚未修复的漏洞会增加风险。F5持续评估外部攻击面，通过自动化测试识别暴露的Web应用和API并发现漏洞。结合内联控制后，评估洞察可为确定修复优先级提供依据，并在实施修复期间减少暴露风险。
F5 Web Application Scanning
发现需要加固的应用和API，以及需要修复的漏洞
F5 Distributed Cloud Client-Side Defense
监控并降低第三方脚本和注入脚本带来的客户端风险
成果与认可
行业洞察
银行、金融服务和保险
保护金融数据，维护客户信任
金融服务数据是网络犯罪分子觊觎的高价值目标之一。随着银行采用AI并拓展数字服务，应用和API已成为主要攻击面，敏感数据、客户信任和监管合规性因此面临风险。
F5为金融服务提供AI驱动的应用和API安全防护，保护本地、混合云和多云环境中的银行业务工作负载。通过将安全防护直接嵌入CI/CD流水线，F5帮助金融机构防范漏洞利用，避免其引发欺诈、账户接管、监管罚款、服务中断或声誉受损。
医疗保健
保护医疗应用和患者数据
AI正在推动医疗健康行业转型，但应用和API的快速扩展也在增加安全风险。随着网络攻击日益增多，医疗健康机构不能仅满足于合规要求，还必须保护患者数据、确保系统可用性并支持创新。
F5 Web Application and API Protection (WAAP)可保护本地、混合和多云环境中的医疗保健应用及API。F5帮助医疗服务提供商满足HIPAA、HITECH和PCI-DSS要求，同时抵御漏洞利用、业务逻辑滥用、勒索软件和拒绝服务攻击，在不减缓创新的同时维护患者信任。
公共部门
面向政府的零信任网络安全
随着政府机构采用AI、云和数字服务，应用和API安全对于保护敏感数据及维护公众信任至关重要。不断扩大的攻击面、遗留系统和持续演变的威胁，需要超越基础安全措施的防护能力。
F5 Web Application and API Protection (WAAP)可保护本地、混合和多云环境中的应用及API。F5以零信任为基础，采用AI驱动的主动安全控制措施，支持满足FISMA、CJIS和NIST SP 800-53要求，帮助应用及API抵御漏洞利用、API滥用、拒绝服务攻击和数据外泄，确保任务连续性。
零售与电子商务
保护客户数据和数字零售触点
随着网络犯罪分子利用AI加速攻击并扩大攻击规模，全渠道零售应用和API持续面临风险，包括漏洞利用、业务逻辑滥用、客户端威胁，以及针对电子商务Web应用、移动应用和后端API的自动化攻击。
F5 Web Application and API Protection (WAAP)提供覆盖数据中心、云和边缘的统一安全平台。通过集成由人工辅助的AI机器人管理功能，F5帮助零售商阻止账户接管、凭据填充、欺诈和数据泄露，在保障客户数据安全和电子商务工作流韧性的同时，避免影响客户体验或减缓创新步伐。
报告
Forrester TEI：电子商务和零售欺诈防范
Forrester Consulting通过5家零售客户评估了F5 Distributed Cloud Bot Defense面临的挑战、总体拥有成本和投资回报率
技术联盟
资源
分析师报告
近期新闻
常见问题
WAAP是一种融合式主动应用保护方法，以WAF为核心，并将API安全、机器人管理和DDoS缓解整合到同一解决方案中。传统WAF主要侧重于缓解应用层漏洞利用（例如注入攻击和应用层DoS）。WAAP将覆盖范围扩展至API发现、检测和保护、自动化威胁缓解（机器人和自动化攻击），以及抵御DDoS攻击的韧性。与分别管理多个单点产品相比，WAAP有助于减少安全缺口和运维开销。
撞库和账户接管尝试通常采用自动化方式。有效的防御措施会结合检测、风险评分和处置措施，在保护账户的同时，尽量减少对合法用户的干扰。机器人防御可利用多种信号（客户端、设备、浏览器、身份和行为）区分人工攻击与自动化攻击，并采取自适应缓解措施。在F5的ADSP中，机器人缓解与防御功能可跨环境集成（包括BIG-IP和NGINX），并利用遥测数据和分析结果，随着攻击者改变策略而相应调整。
可见性是维护安全API清单的关键起点。提高可见性后，可以识别已知、未知和影子API，并结合WAF与API安全控制措施，更有效地进行验证和保护（尽可能采用基于架构或定义的验证，同时辅以行为监控和异常检测）。整体安全防护可确保在混合多云部署中一致应用策略，更轻松地监控敏感数据暴露和错误配置，并在设置使用阈值时提供更强的控制能力，从而降低滥用和DoS风险。集中式管理和集成监控有助于避免工具过度分散造成的防护缺口。
BOLA（对象级授权失效）是一种API特有的威胁，攻击者会利用对对象的未授权访问。WAAP通过将WAF策略执行与更深入的API安全能力相结合来应对此类威胁，包括端点发现和清点、持续流量监控、行为分析及异常检测，以识别误用、滥用和访问违规行为。对于可能不经过传统边界WAF的API间流量，WAAP还有助于减少安全盲区，确保跨接口和环境提供一致的运行时保护。
选择集成式平台时，应确保其具备4项核心能力：WAF、API保护、机器人缓解和DDoS缓解。需要重点关注的能力包括：强大的API发现和安全态势可见性、行为异常检测、利用多种信号（而非仅依赖CAPTCHA）的机器人防御、既能以SaaS形式部署又能支持本地需求的部署选项、集中式管理和报告、低延迟内联策略执行，以及有助于减少误报和告警疲劳的运维功能（例如，分析和AI/ML辅助的优先级排序）。