过来一年里，因为受到新冠疫情影响，企业被迫在前所未有的范畴内近程办公，尝试应用新办法来利用技术服务客户。统计显示，进行现代化革新的企业数量比2020年减少了133%。实现利用现代化的办法有很多，通过 API 启用古代接口无疑是具备老本效益的一种。而随着 API 的激增，如何实现API平安加固就成为企业关注的焦点。那么明天咱们就来聊聊API网关的平安加固架构与F5 API加固解决方案。
API网关平安加固架构
从攻打的角度来看，API网关的平安加固架构与传统利用的平安加固架构相似，分为网络层、交付与传输层、应用层。在API网关的平安加固架构的利用层面，次要关注机器人攻打和破绽类攻打两个方面：
机器人攻打：目前互联网上50%以上的流量产生于机器人BOT，机器人能够模仿失常的业务申请来拜访零碎，造成API网关零碎的资源耗费在无意义的申请上。当大量机器人模仿失常的业务拜访来申请API网关时，这种应用层DDoS攻打会对API网关带来微小的性能开销，导致API网关零碎的不可用。故在应用层，须要部署WAF类产品，来辨认和进攻机器人攻击行为，升高机器人攻打对API网关带来的攻打威逼。
破绽类攻打：WAF类产品除了对机器人攻打进行进攻以外，还须要可能辨认针对利用零碎的破绽攻打，例如注入类攻打，跨站类攻打，扫描探测类攻打等等，在解决攻打的同时，WAF须要检测API内容，发现嵌入在API Payload中的攻打代码。部署在API网关前的WAF须要具备可编程能力，实现零日攻打的疾速进攻。
Advanced WAF(API平安-新一代WAF)高级应用层防护模块
对于F5 API加固解决方案，次要波及：AFM高级防火墙模块、LTM负载平衡模块、SSLO 加解密流量编排模块、Advanced WAF(API平安-新一代WAF) 高级应用层防护模块、APM 认证受权策略管理模块、HSL高速日志引擎。本文将谈判到Advanced WAF(API平安-新一代WAF)应用层防护相干的内容。
针对API的防护，首先须要理解数据和API利用的构造，F5 Advanced WAF(API平安-新一代WAF) 反对将OpenAPI及Swagger配置文件导入，依据配置文件主动生成门路策略，并按不同的API门路提供不同深度的爱护。通过向导式配置办法，极大进步了防护部署的便捷性。
机器人进攻：基于多个维度进行机器人的防护，通过机器人特色库，疾速屏蔽歹意机器人攻打；对于API接口，Advanced WAF(API平安-新一代WAF)利用X-Security-Update-URL报文头将JavaScript脚本插入到API利用返回的第一个回复报文中，后续通过X-Security-Request判断其API拜访是申请的合法性。在整个API拜访的过程中，Advanced WAF(API平安-新一代WAF)会继续递进通过中地检测API交互，确保机器人BOT无奈绕过检测，使得API网关不被机器人攻打所影响。
应用层DDoS攻打防护：API DDoS攻打通常模仿失常的API拜访流程，瞄准耗费API网关性能较高的资源进行攻打，从而达到使API网关瘫痪，业务中断的目标。Advanced WAF(API平安-新一代WAF)防护模块能够通过多个维度来检测API DDoS攻打，通过Java script来无效管制API的拜访频率，达到升高DDoS攻打影响的目标。同时，Advanced WAF(API平安-新一代WAF)还会基于API网关返回的提早状况来判断API网关是否存在异样，网络中是否存在攻打。当API网关返回的提早高于设定的阈值时，Advanced WAF(API平安-新一代WAF)模块会被动染指，对流量进行被动检测和攻打的防护。
Advanced WAF(API平安-新一代WAF)应用层防护的性能不止以上两点。此外，还能协定内容查看、拜访形式限定、扫描阻断、暴力破解防护、反对自定义数据的暗藏、IP地址信用库防护以及新建API接口防护策略的灵便调用。
API 的遍及对利用平安和交付技术具备重大影响。API 容易蒙受攻打，因为从其定义来看，它们将应用逻辑和敏感数据公开给其余利用或第三方。F5 Advanced WAF(API平安-新一代WAF) 产品具备AS3模块，平安运维人员能够将API利用分类，按不同类型制订进攻策略的模板，API利用在开发流程中可通过AS3模块主动调用Advanced WAF(API平安-新一代WAF)上相干的进攻策略模板，从而实现平安部署与业务公布效率的并行。