如何確保API 和第三方整合的安全

應用程式介面是現代應用程式的基礎。透過讓不同的系統協同工作，API 可以加快產品上市速度，並利用龐大的第三方生態系統提供更好的使用者體驗。另一方面，API 使用量的激增也分散了架構，帶來了未知的風險。這使得確保應用程式和API 的安全變得更加困難，反過來又使它們對攻擊者極具吸引力。隨著企業不斷對其應用程式組合進行現代化改造，並在新的數位經濟時代進行創新，預計到2031 年，API 的數量將達到10 億個。

主要優勢

分散式安全
F5 可在資料中心、雲端、邊緣、行動應用程式背後以及第三方整合中運行您的API。

持續保護
F5 解決方案提供全面的可視性、可操作的洞察力和高度訓練有素的機器學習，可持續發現並自動保護API 背後的關鍵業務邏輯。

一致的執法
F5 安全系統採用基於API 模式學習、自動風險評分和基於ML 的保護的積極安全模型。

了解應用程式介面的挑戰和潛在風險

不斷擴大的端點和整合結構所帶來的應用程式介面（API）蔓延，使得安全團隊使用手動方法識別和保護關鍵業務邏輯變得不切實際。 API 越來越多地分佈在異質基礎架構中，包括混合和多雲環境，導致關鍵業務邏輯暴露在集中安全控制範圍之外。此外，由於應用程式開發團隊迅速進行創新，API 呼叫可能最終隱藏在業務邏輯的深處，難以識別。

在如此強調創新速度的情況下，安全性往往被拋在後面。有時，在設計應用程式介面（API）時，安全問題就會被忽略。通常情況下，雖然考慮到了安全性，但由於維護跨越多個雲端和架構的應用程式部署的細微複雜性，策略會被錯誤配置。

由於應用程式介面（API）是為機器對機器的資料交換而設計的，因此許多應用程式介面（API）是獲取敏感資料的直接途徑，通常不需要與使用者為導向的網路表單輸入驗證相同的風險控制。然而，這些端點也會受到困擾網路應用程式的相同攻擊：即漏洞利用、業務邏輯濫用和繞過存取控制，從而導致資料外洩、停機和帳戶接管（ATO）。

API 端點不僅應與網路應用程式一樣進行風險控制評估，還需要額外的考慮，以降低不在安全團隊權限範圍內或已基本廢棄的端點（如影子和殭屍API）帶來的意外風險。

應用程式介面受到的攻擊與網路應用程式相同

由於應用程式介面容易受到許多已知的針對網路應用程式的相同攻擊，應用程式介面安全事件已成為一些最引人注目的資料外洩事件的起因。弱身份驗證/授權控制、設定錯誤、業務邏輯濫用和伺服器端請求偽造（SSRF）等風險對網路應用程式和應用程式介面都有影響。漏洞利用以及機器人和惡意自動化的濫用是最受關注的問題：

• 注入和跨站點腳本(XSS)可導致未經授權的資料存取。
• 分散式阻斷服務（DDoS）可中斷關鍵的創收服務。
• 憑證填充和其他自動攻擊可導致資訊外洩、資料外洩和詐欺。

應用程式介面在整個設計和實施過程中引入了意外風險

應用程式正朝著日益分散和分散化的模式發展，而應用程式介面（API）則起到了相互連接的作用。行動應用程式和第三方整合可提高業務價值，已成為在網路世界中成功競爭的賭注。F5實驗室的研究詳細說明了隨著越來越多的產業採用現代應用架構，API如何成為越來越多的攻擊目標，部分原因是API結構更合理，攻擊者更容易操作

在沒有整體治理策略的情況下，當應用程式介面廣泛分佈時，風險就會增加。在持續的應用生命週期過程中，由於與複雜的供應鏈整合以及透過CI/CD 管道實現自動化，應用和API 會隨著時間的推移而不斷變化，從而加劇了這種風險。

介面的多樣性和潛在的風險暴露意味著安全團隊需要保護前門以及代表現代應用程式構成的所有視窗。

應用程式介面安全解決方案

機器學習的進步使得動態發現API 端點並自動映射其相互依存關係成為可能，從而提供了一種實用的方法來分析隨時間推移的API 通訊模式，並識別會增加風險的影子或無文件API。

此外，持續的端點監控和分析可自主建立安全基線，提供即時偵測、自動風險評分和惡意使用者緩解，而不會不必要地增加安全團隊的工作量。

這種持續、自動的保護可產生高度校準的策略，可在所有架構中一致地應用於所有應用程式介面–緩解漏洞、阻止機器人和濫用，並執行模式、協定合規性和存取控制。

企業需要對傳統應用程式進行現代化改造，同時利用現代架構和第三方整合開發新的使用者體驗。從核心到雲端再到邊緣，保護API 的整體治理策略可支援數位轉型，同時降低已知和未知風險。

F5 解決方案為企業應用生態系中的API 提供保護

主要特點和優點

動態API發現
偵測整個企業應用程式生態系統中的API 端點。

API定義導入
根據OpenAPI 規範建立並實施積極的安全模型。

策略自動化
整合到開發框架和安全生態系統中。

異常檢測
使用自動風險評分和機器學習識別可疑行為和惡意使用者。

協議和身份驗證合規性
支援基於REST、GraphQL 和gRPC 的API、各種身份驗證類型以及JSON Web 令牌(JWT)。

視覺化和見解
建立API 關係圖並評估端點指標。

靈活的API 安全範式

F5 解決方案提供在任何環境下運作的靈活性。通用可見性和基於機器學習的自動化保護可最大限度地提高效率並減輕安全團隊的負擔。 F5 可以整合純/利基解決方案並持續保護混合和多雲環境，以提高彈性和修復能力。

部署API 安全性的主要考量包括：

1.混合和多雲支援
通用可見性和一致的策略執行可降低複雜性、工具蔓延和配置錯誤的風險，並提高修復速度。

2.與現有開發流程整合
安全團隊可以透過本機terraform 註冊表將安全策略整合到CI/CD 管道中，從而跟上應用程式生命週期的步伐。

3.積極的安全模型
F5 解決方案透過積極的安全模型簡化策略，該模型使用OpenAPI 定義、Swagger 檔案和零信任原則強制實施架構。

4.自動防禦
基於機器學習的異常檢測可修復漏洞利用、業務邏輯濫用和拒絕服務，而不會給安全團隊帶來跨環境策略調整的負擔或過多的誤報。

5.豐富的可視化
安全儀表板可深入支援API 使用基線，幫助操作員關聯見解並簡化事件回應。

6.安全彈性
持久的遙測和訓練有素的機器學習可實現更有效率、更有效的安全，與數位業務的發展速度保持同步，並緩解新興的對抗性人工智慧攻擊。

結論和要點

F5 解決方案透過持續發現並自動保護跨雲端和架構的業務邏輯與第三方整合，確保整個企業產品組合中的 API 安全。

全面且一致的安全策略與基於機器學習的彈性防禦相結合，使組織能夠將API 安全性與數位策略保持一致。這使企業能夠改善風險管理、充滿信心地創新並簡化營運。

資料來源：F5官網