增强AWS API Gateway安全性：API管理实践指南

F5生态系统 | 2024年4月09日

API让服务集成、数据连接或更新变得更加容易，因此在现代应用中十分普遍。随着各组织不断推进应用组合现代化，预计到2031年，使用中的API数量将超过10亿个。¹跟踪所有这些API已是一项挑战，更不用说确保其安全了。因此，各组织不得不应对其环境中大量未受管理的“影子”API。

遗憾的是，攻击者已经意识到，API往往比应用更容易成为攻击目标。F5分析显示，90%的Web网络攻击都以API端点为目标。²未受管理的API会带来特殊风险，因为无法保护不可见的对象。此外，许多API与应用由不同团队甚至不同公司构建，因此难以全面了解潜在风险。

应对API与共同责任模型

要有效管理和保护大量API，需要采用多层解决方案。对于AWS用户，Amazon API Gateway是一项全托管服务，可帮助开发人员创建、发布、维护、监控和保护任意规模的API。API Gateway支持多种后端集成，可用于容器化、无服务器和传统的基于实例的工作负载。

不过，安全是AWS与其客户的共同责任。AWS负责保护基础设施和服务，客户也必须保护自己的数据和应用。

AWS建议遵循以下安全设计原则。³

缓解分布式拒绝服务（DDoS）攻击的影响
使用Web应用防火墙（WAF）实施检查和保护
通过近实时监控实现审计和可追溯性
自动实施安全最佳实践
在所有层面实施安全防护，构建纵深防御体系

使用F5保护AWS上的API

作为AWS合作伙伴，F5提供可与Amazon API Gateway配合使用的安全防护，帮助保护应用和API。F5 BIG-IP Advanced WAF或F5 Distributed Cloud WAF可以识别试图访问Amazon API Gateway或API服务的恶意流量。您可以将WAF部署在Amazon API Gateway之前或之后。不过，将其部署在网关之前还可以阻止会产生费用的恶意API调用。

F5 WAF解决方案利用行为分析准确识别威胁，并提供第7层DoS缓解、应用层加密和威胁情报服务。部署WAF可保护应用和API免受攻击，包括OWASP十大安全风险中所列的攻击。

API保护的另一项重要要求是发现。将F5 Distributed Cloud API Security与CI/CD管道集成，可在不中断开发流程的情况下捕获API变更。上传现有API架构，以强制执行适当的API行为，并根据应用间和API间的模式自动生成策略。F5 Distributed Cloud API Security还可控制连接并监测API流量中的异常行为，从而阻止可疑活动。

机器人程序对API安全构成另一项重大威胁。在OWASP API安全十大威胁中，有多项弱点很容易被机器人程序利用，例如不受限制的资源消耗或身份验证失效。添加F5 Distributed Cloud Bot Defense后，可结合人工专家与机器学习来检测恶意机器人流量，同时允许合法用户和有益机器人访问。

获得多层API安全防护

F5提供保护API所需的一切功能，并通过F5 Distributed Cloud Web App and API Protection（WAAP）提供统一管理的多层安全防护。Distributed Cloud WAAP可为应用和API提供一致的安全防护，无论它们部署在AWS、其他公有云或私有云、本地环境还是边缘位置。

在AWS Marketplace上查找F5 Distributed Cloud WAAP，轻松添加防护，并履行共享责任模型中由您承担的责任。

访问f5.com/aws，了解有关F5 AWS解决方案的更多信息。