采用安全左移策略，提升API防护能力

F5生态系统 | 2024年7月01日

在当今云优先的生态系统中，软件开发人员正大规模部署API。根据《F5 2024年应用策略现状（SOAS）报告》，超过三分之一的组织目前管理的API数量已与应用数量相当，一些大型企业管理的API数量多达10,000个。¹随着组织持续推进应用组合现代化，预计到2031年，使用中的API数量将超过10亿个。²

为何API数量增长如此迅速？

API已成为现代应用不可或缺的一部分，因为它们有助于提高效率和互操作性。API还能让不同的软件系统顺畅通信，帮助团队集成多种服务并简化流程。

AI的兴起推动了API的增长，因为数据处理、机器学习和自动化等功能高度依赖API。随着AI应用日益普及，对API的需求也将持续增长。

然而，快速扩张也带来了严峻的安全挑战。F5 SOAS报告显示，95%的组织使用API网关¹；但仅靠这种做法还不够。当前API安全面临两大关键问题：API发现，以及通过左移在开发流程的更早阶段引入安全措施。

API安全现状及其不足

目前，API防护措施的发展跟不上API使用量的快速增长。虽然API网关能够提供一定程度的控制，但无法满足API发现和全面安全策略这一根本需求。Gartner预测，到2025年，半数API将处于未受管理状态，带来严重风险。³ 由于此类影子API不在安全团队的可见和控制范围内，可能使组织面临未经授权的访问、数据泄露及其他威胁。影子API中存在的漏洞可能被攻击者利用，从而未经授权访问敏感数据。应对此类威胁的第一步，是发现组织环境中的影子API。

为发现影子API并管理相关的多云复杂性，团队可以先使用专为API发现而设计的工具，检查暴露在外的域空间。识别公司域内的所有端点有助于梳理API全貌。然而，在多云环境中，API分布于不同平台，而各平台采用不同的安全协议并有不同的治理要求，因此挑战更加严峻。面对这种复杂性，需要采取战略性方法来开展API管理与安全。

随着开发人员不断添加新的API，可以实施以下解决方案，例如Google Cloud的Apigee API管理和F5 Distributed Cloud API Security。这些解决方案可持续发现和监控API，帮助开发人员在开发周期早期纳入安全措施，并加强API治理。

API安全左移

据Gartner预测，到2026年，40%的组织将根据WAAP提供商的高级API保护和Web应用安全功能来选择提供商，而2022年这一比例还不到15%。⁴

尽管这是个好消息，但更多组织仍可通过安全左移，将安全实践融入CI/CD流水线，确保API从一开始就得到安全保护。这需要完善的API文档、自动化安全检查，以及面向开发人员和安全团队的持续培训。

缓解开发人员与安全团队之间的紧张关系

长期以来，专注于快速部署的开发人员与优先考虑安全的安全团队之间一直存在分歧。要缓解这种紧张关系，必须营造共同承担安全责任的文化。鼓励协作和相互理解，有助于统一目标并简化流程。

保护整个API生命周期

全面保护API生命周期，需要持续监控、定期更新、主动检测威胁、实施强有力的身份验证和授权机制，并采用利用AI检测和缓解威胁的高级安全工具。

F5和Google Cloud助您实现安全左移

提升API安全性的第一步是全面盘点所有API，识别未受管理或已过时的端点，并记录其功能和安全措施。组织应根据API的风险级别和潜在影响，确定API安全保护的优先级。F5 Distributed Cloud API Security和Apigee等互补解决方案有助于构建全面的安全框架，保护所有环境中的API，让开发者在日益互联的世界中更加安心。

因此，尽管API的增长为组织带来了机遇，团队仍须警惕其中的安全隐患。通过将安全左移、采用持续发现机制，并促进开发团队与安全团队之间的协作，组织可以更有效地管理API。

如需进一步了解F5和Google Cloud专家对API安全的见解，请观看左移：借助F5和Google Cloud革新API安全点播网络研讨会。还可访问Google Cloud Platform (GCP)，深入了解双方的合作。