过来一年里，因为受到新冠疫情影响，企业被迫在前所未有的范畴内近程办公，尝试应用新办法来利用技术服务客户。统计显示，进行现代化革新的企业数量比 2020 年减少了 133%。实现利用现代化的办法有很多，通过 API 启用古代接口无疑是具备老本效益的一种。而随着 API 的激增，如何实现 API 平安加固就成为企业关注的焦点。那么明天咱们就来聊聊 API 网关的平安加固架构与 F5 API 加固解决方案。
API 网关平安加固架构
从攻打的角度来看，API 网关的平安加固架构与传统利用的平安加固架构相似，分为网络层、交付与传输层、应用层。在 API 网关的平安加固架构的利用层面，次要关注机器人攻打和破绽类攻打两个方面：
机器人攻打：目前互联网上 50% 以上的流量产生于机器人 BOT，机器人能够模仿失常的业务申请来拜访零碎，造成 API 网关零碎的资源耗费在无意义的申请上。当大量机器人模仿失常的业务拜访来申请 API 网关时，这种应用层 DDoS 攻打会对 API 网关带来微小的性能开销，导致 API 网关零碎的不可用。故在应用层，须要部署 WAF 类产品，来辨认和进攻机器人攻击行为，升高机器人攻打对 API 网关带来的攻打威逼。
破绽类攻打：WAF 类产品除了对机器人攻打进行进攻以外，还须要可能辨认针对利用零碎的破绽攻打，例如注入类攻打，跨站类攻打，扫描探测类攻打等等，在解决攻打的同时，WAF 须要检测 API 内容，发现嵌入在 API Payload 中的攻打代码。部署在 API 网关前的 WAF 须要具备可编程能力，实现零日攻打的疾速进攻。
Advanced WAF(API 平安 - 新一代 WAF) 高级应用层防护模块
对于 F5 API 加固解决方案，次要波及：AFM 高级防火墙模块、LTM 负载平衡模块、SSLO 加解密流量编排模块、Advanced WAF(API 平安 - 新一代 WAF) 高级应用层防护模块、APM 认证受权策略管理模块、HSL 高速日志引擎。本文将谈判到 Advanced WAF(API 平安 - 新一代 WAF) 应用层防护相干的内容。
针对 API 的防护，首先须要理解数据和 API 利用的构造，F5 Advanced WAF(API 平安 - 新一代 WAF) 反对将 OpenAPI 及 Swagger 配置文件导入，依据配置文件主动生成门路策略，并按不同的 API 门路提供不同深度的爱护。通过向导式配置办法，极大进步了防护部署的便捷性。
机器人进攻：基于多个维度进行机器人的防护，通过机器人特色库，疾速屏蔽歹意机器人攻打；对于 API 接口，Advanced WAF(API 平安 - 新一代 WAF) 利用 X -Security-Update-URL 报文头将 JavaScript 脚本插入到 API 利用返回的第一个回复报文中，后续通过 X -Security-Request 判断其 API 拜访是申请的合法性。在整个 API 拜访的过程中，Advanced WAF(API 平安 - 新一代 WAF) 会继续递进通过中地检测 API 交互，确保机器人 BOT 无奈绕过检测，使得 API 网关不被机器人攻打所影响。
应用层 DDoS 攻打防护：API DDoS 攻打通常模仿失常的 API 拜访流程，瞄准耗费 API 网关性能较高的资源进行攻打，从而达到使 API 网关瘫痪，业务中断的目标。Advanced WAF(API 平安 - 新一代 WAF) 防护模块能够通过多个维度来检测 API DDoS 攻打，通过 Java script 来无效管制 API 的拜访频率，达到升高 DDoS 攻打影响的目标。同时，Advanced WAF(API 平安 - 新一代 WAF) 还会基于 API 网关返回的提早状况来判断 API 网关是否存在异样，网络中是否存在攻打。当 API 网关返回的提早高于设定的阈值时，Advanced WAF(API 平安 - 新一代 WAF) 模块会被动染指，对流量进行被动检测和攻打的防护。
Advanced WAF(API 平安 - 新一代 WAF) 应用层防护的性能不止以上两点。此外，还能协定内容查看、拜访形式限定、扫描阻断、暴力破解防护、反对自定义数据的暗藏、IP 地址信用库防护以及新建 API 接口防护策略的灵便调用。
API 的遍及对利用平安和交付技术具备重大影响。API 容易蒙受攻打，因为从其定义来看，它们将应用逻辑和敏感数据公开给其余利用或第三方。F5 Advanced WAF(API 平安 - 新一代 WAF) 产品具备 AS3 模块，平安运维人员能够将 API 利用分类，按不同类型制订进攻策略的模板，API 利用在开发流程中可通过 AS3 模块主动调用 Advanced WAF(API 平安 - 新一代 WAF) 上相干的进攻策略模板，从而实现平安部署与业务公布效率的并行。