来做个小测验。以下哪些端点属于API，哪些属于应用？
https://www.example.com/product
https://www.example.com/product
如果感到困惑、难以判断，也很正常。这正是关键所在。应用和API端点看起来几乎一样。从技术角度看，这是因为如果它们采用RESTful架构（大多数确实如此），调用方式也相同：通过HTTPS，通常使用GET方法。两者通常不同的是随请求发送的有效负载。对于API，有效负载通常包含JSON或XML格式的数据，而Web应用请求则可能什么也不包含。
不过，我们的年度研究中的一项重要发现表明，组织在安全方面对待API和应用的方式有所不同。我们之所以得出这一推断，是因为研究发现，41%的组织所拥有的API数量至少与应用数量相同，甚至更多，但对用于保护二者的同类安全服务重视程度却较低。
您可能会好奇，为什么组织的API数量会超过应用数量。这个问题问得好！用于内部服务间通信（例如微服务）的API固然与其支持的服务紧密耦合，但用于提供外部接口的API未必如此。
API从何而来？
在我们2021年的研究中，61%的受访者表示，他们采用“添加一层API以支持现代用户界面”的方式实现现代化。2022年，这一比例为45%。这意味着，支持现代用户界面的API不一定是直接附加到应用的构件。它们可能是用于支持现代用户界面和应用的外观层，例如移动应用和数字服务；也可能是用于支持合作伙伴和供应链通信的外观层。这些用例可通过API网关和负载均衡器中的第7层路由来实现。它们通常具备一定的转换能力，可将API端点转换为应用端点，从而构建API外观层，就像美国西部老建筑的临街假立面一样，让建筑看起来远比实际更宏伟。
当然，还有相当一部分API是与应用关联的公共接口，可通过Web（通常为HTTPS）访问。
无论这些API因何对外公开，它们都会面临许多与应用相同的攻击。涉及机器人程序时尤其如此，因为完善的API文档会让攻击者更容易编写脚本，发起大规模攻击。
例如，2023年，受F5 Distributed Cloud Bot Defense保护的交易中，略高于13%是自动完成的。也就是说，这些交易由脚本或软件执行，而不是由用户通过Web浏览器或移动应用完成。这些交易既通过API发生，也通过应用发生。其中一部分此类自动交易无疑来自“恶意机器人”，我们的安全服务阻止了它们实施企图进行的恶意活动。（可在这份F5 Labs报告中深入了解它们企图实施的活动）
因此，我们根据受访者自行报告的API数量，分析了他们对机器人管理的看法。结果令我们颇感意外：机器人管理的重要性排名相当靠后。
从这些直观的条形图可以看出，对API网关的重视程度似乎与所管理的API数量相匹配，但机器人管理却并非如此。事实上，情况恰恰相反！随着API数量增加，对机器人管理的重视程度似乎在迅速下降。
当然，也有可能其中大多数API都是内部API。也就是说，它们是微服务之间的东西向API，不会暴露给可能是恶意机器人的外部参与者。
但话说回来，这些API也可能对外开放。过去一年，我读过很多关于攻击者通过API获取访问权限的文章，因此我猜测，对外开放的API数量可能远超我们的想象。
因此，有必要提醒大家：虽然有不少令人头疼的机器人（如“圣诞怪杰”机器人、球鞋机器人等）会抢购紧俏商品，扰乱企业经营，但也有相当多的机器人专门用于探查漏洞并发起攻击，而且攻击目标包括API和应用。
因此，建议组织采用全面的安全措施来保护API，并最终保障业务。机器人管理无疑是其中一项安全措施，应视为任何安全策略的关键组成部分。
归根结底，机器人并不在意端点属于应用还是API，两者都会成为攻击目标。
这意味着，组织需要通过检测机器人程序并阻止其实施恶意行为，同时保护应用和API。
想了解机器人防御的实际效果，请查看此演示。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
2023年应用策略现状：成本与复杂性是推动多云网络发展的首要因素
多云网络解决方案可在核心、云和边缘环境之间实现无缝、安全的互联，为解决当今混合IT面临的挑战提供支持，因而备受业界关注。