在现代软件开发领域，API安全是现代数字架构的重要支柱。随着企业之间的互联日益紧密，API成为连接这些系统的关键纽带。API发挥着基础性作用，但其核心地位也带来了重大的安全责任。生成式AI的兴起进一步推动了API的采用，因为无论采用何种用例，大多数AI应用都会将调用API端点作为主要通信方式。
保护API不只是防护单个软件组件，更关乎维护整个生态系统的完整性。这些接口向外提供核心业务逻辑、数据和功能，也可能成为引发严重安全事件的攻击途径，不仅造成经济损失，还会削弱外界对组织的信任。
不要沿用过去的战法
网络安全战场瞬息万变，API和AI驱动型攻击与传统威胁截然不同。如果仅根据以往的攻击来构建防御体系，就如同用过去的战术应对当前的战争，这种策略注定会失败。针对API和AI系统的猛烈攻击，与我们过去抵御的攻击存在根本差异。传统技术即使包括功能先进的Web应用防火墙（WAF），也难以应对当今API和AI漏洞的复杂特性。防御必须以攻击方式为依据，而新架构会暴露新的攻击面，这些攻击面并非传统流程最初设计时所要应对的问题。防御策略必须像所面临的威胁一样灵活且精细，并持续演进，以应对攻击模式的变化。
迎接新战线
如今，API安全已成为几乎所有软件开发的基础，API也是现代架构不可或缺的一部分。随着API优先开发策略的采用和AI模型的日益普及，对API的依赖大幅增加。事实上，在我们观察到的全球网络攻击中，92%针对API端点，这凸显了API对攻击者的吸引力。我们还发现，在机器人和自动化攻击领域，约90%的损害由攻击能力较强的10%攻击者造成。如果API安全策略不够完善，无论是现在还是未来，防御架构都将缺失关键一环。这不仅是一个缺口，更是一道巨大的鸿沟。
我们能做什么
在我看来，我们可以从以下几个重要方面着手：
认识到API攻击的普遍性及其新颖手法。应认识到，当前和未来的数字化框架都以API为基础。如今，API流量已占Web流量的大部分，因此不能忽视API安全。请深入研究、充分了解并优先处理API安全问题。
抵御不断演变的威胁。需要认识到，过去的防御措施已不足以应对当今的API和AI威胁。OWASP等组织之所以针对API和AI弱点推出新的十大风险榜单，正是因为架构和攻击手段正在发生变化，防御措施也必须随之调整。F5可提供帮助，通过分享有关这些现代攻击的特点以及F5为应对这些攻击而开发的解决方案，帮助强化基础设施。
了解局部解决方案的局限性。仅关注从代码到客户这一生命周期中某个环节的安全策略并不充分。可见性至关重要。如果无法全面掌握API所在位置，无论是在代码、流量还是第三方集成中，就无法充分了解、记录或测试这些API。这种认知不足会直接影响预判和响应意外输入的能力。在API攻击面随每次代码更新或基础设施变更而不断变化的环境中，必须时刻保持警惕。
获得端到端可见性并实现自动化。只有专门构建的端到端解决方案，才能提供必要的全面可见性，以跟上API环境的快速演变。仅靠人工操作已无法满足需求；必须借助自动化来捕捉持续变化，并确保全面监控和记录。此外，虽然单靠技术无法解决人员或流程问题，但经过周密考量的技术设计可以帮助组织内的多个利益相关方增进了解，让多个团队更轻松地协作配合。
保持警惕势在必行
总而言之，API安全领域不断变化，必须时刻保持警惕。随着数字环境不断演进，攻击者的手段也在不断变化。对于致力于保护数字资产的我们而言，必须及时掌握信息、灵活应对，并牢记攻击面主要取决于架构。安全不仅是技术挑战，也是文化挑战，应贯穿从API设计到部署的每个工作环节。为了不辜负客户的信任，并保障数字未来的安全，我们必须做到这一点。
在API安全领域，有一句警言始终适用：自满确实是大敌。我们必须保持警觉并主动应对，持续强化防御，以抵御下一波数字威胁，而不是上一波。数字世界的未来有赖于此。
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。