借助NGINX和F5 Distributed Cloud WAAP实现多云API安全

NGINX | 2023年8月01日

如今，问题已不再是企业是否使用云，而是使用多少个云。大多数企业已经认识到，不存在“一种云适合所有场景”的解决方案，因此已转向混合云或多云架构。根据F5的《2023年应用策略现状》报告数据，85%的企业在两种或更多不同架构上运行应用。

这给开发和API团队带来了巨大压力。他们需要在复杂的分布式环境中安全地大规模交付API。连接不再只是客户端与后端服务之间的连接，还包括部署在不同云、区域、数据中心或边缘位置的应用之间的连接。同时，无论API部署在何处，也无论使用哪些工具交付和保护API，每个API都必须满足组织的安全与合规要求。

要在这些高度分布式的环境中保护API，需要一套独特的能力和最佳实践。我此前曾撰文介绍双管齐下的API安全方法的重要性：通过“左移”从一开始就将安全融入其中，并通过一套全局安全态势管理实践实现“右侧防护”。本文将探讨如何在云、本地和边缘环境中安全交付API，同时将这一策略付诸实践。

混合云和多云API安全参考架构

混合云和多云架构具有诸多显著优势，尤其是在敏捷性、可扩展性和韧性方面，但也增加了一层复杂性。事实上，F5的《2023 年应用策略现状》报告显示，复杂性增加是当今组织面临的最常见挑战。第二常见的挑战是什么？实施一致的安全防护。

当前的问题是，某些安全解决方案（例如部分WAF）缺少API所需的上下文信息和保护能力。与此同时，专用API安全解决方案无法创建和实施策略来阻止攻击。您需要一种解决方案，将架构和技术视为相互关联的整体，涵盖发现、可观测性、管理和策略实施。

在实践中，需要将API安全融入以下三个层级，以便在API流量经过关键基础设施节点时提供保护：

全局层：在边缘防御机器人和DoS攻击，并提供发现与可见性
站点层级，为单个云、数据中心或边缘部署提供内部保护
应用层级：部署在API运行时附近的精细化访问控制和威胁防护

以下参考架构概述了F5 Distributed Cloud Services与F5 NGINX如何协同工作，为多云和混合架构提供全面的API保护：

在此参考架构中，F5 Distributed Cloud为边缘、云和本地部署提供全局保护层。NGINX Plus与NGINX App Protect WAF结合使用，通过集成到软件开发生命周期中实施运行时安全，在站点层和/或应用层提供精细化保护。

下面来了解此架构中各组件提供的安全防护。

使用 F5 Distributed Cloud 进行 API 发现和监控

首先，来自公共客户端的API流量会经过部署在边缘的F5 Distributed Cloud Web Application and API Protection (WAAP)。重要的是，这可在全球范围内防御DDoS攻击、机器人滥用和其他漏洞利用行为。此外，还可提供重要的全局可见性，帮助了解进入不同云、本地数据中心和边缘部署的API流量。

API流量正在快速增长，而大多数API攻击会在数周甚至数月内缓慢展开。要从海量的常规API请求和响应中发现恶意流量，如同大海捞针。为解决这一问题，F5 Distributed Cloud利用人工智能（AI）和机器学习（ML）深入分析API流量，包括API发现、端点映射，以及主动学习和检测可能代表新兴威胁的异常情况。

作为应用和API安全的全局层，F5 Distributed Cloud WAAP可提供以下优势：

自动发现API discovery ，检测并映射API，全面呈现您的生态系统，包括第三方API和影子API、身份验证状态等。
敏感数据泄露防护：检测、识别并掩码社会保障号码、信用卡号及其他个人身份信息（PII）等敏感数据，防止其泄露。
监控和异常检测：利用AI和机器学习工具持续检查和分析流量，以检测异常和漏洞。
增强API可见性，观察流量如何在所有API端点之间流动，以了解边缘API、内部服务与第三方集成之间的连接关系。
跨环境实施安全防护采用正向安全模型，强制执行架构验证和速率限制，并阻止不需要的流量或恶意流量。

要开始使用F5 Distributed Cloud WAAP，可以申请免费企业试用F5 Distributed Cloud Services，试用内容包括API安全、机器人防御、边缘计算和多云网络。

使用F5 NGINX实现访问控制和运行时保护

API流量经过全局层后，会到达站点层和/或应用层。全局层通常由IT网络和安全团队管理，而站点层和应用层中的各个API则由软件工程团队构建和管理。

在访问控制方面，API网关是一种常见选择，因为开发人员可以将一些最常见的安全要求交由应用上层的共享基础设施层处理，从而减少重复工作（例如，无需每位开发人员或每个团队自行构建身份验证和授权服务）。

F5 NGINX Management Suite API Connectivity Manager支持平台工程和DevOps团队提供对API网关、开发者门户等共享基础设施的访问，而无需开发者填写申请工单或使用其他繁琐的系统。

借助API Connectivity Manager，可以设置安全策略，将NGINX Plus配置为API网关，并配置和监控NGINX App Protect WAF策略。这些功能共同提供关键的API运行时保护，包括：

实施访问控制，管理对API端点的精细化访问（身份验证和授权），并创建访问控制列表，根据IP地址或JWT声明允许或拒绝流量。
加密并掩码敏感数据，使用mTLS和端到端加密保护API之间的通信，并检测和掩码API响应中的信用卡号等敏感数据。
检测并阻止威胁，不仅防范OWASP API 安全十大风险，还可通过高级防护抵御7,500多种威胁活动和攻击特征。
大规模监控WAF和API流量，使用NGINX App Protect WAF直观呈现所有API网关的API流量，以检测误报和潜在威胁。

可以开始免费试用NGINX API Connectivity Stack 30天，以使用NGINX Management Suite及其API Connectivity Manager、Instance Manager和Security Monitoring模块，还可使用NGINX Plus作为API网关，并使用NGINX App Protect提供WAF和DoS防护。