近年来，API已成为构建现代应用经济的事实标准。这些软件接口已成为系统、应用和设备进行通信并共享海量数据与功能的主要方式。从本质上讲，API已成为现代信息丝绸之路，让客户能够充分利用融合不同供应商优势工具的解决方案。
在MuleSoft年度《连接性基准报告》调查的组织中，80%使用公共API和/或私有API。受访组织报告的益处包括生产力提升（54%）、创新能力增强（47%）和成本节省（34%）等。调查显示，API还为发布API的公司带来了可观收入，平均占总收入的31%。
但情况并非一片乐观。F5 Labs 的研究发现，2020年上半年的API安全事件数量预计将超过此前两年的事件总数。DevOps团队面临的一项重大挑战是，API安全存在诸多薄弱环节，包括API端点前端完全没有身份验证、身份验证失效、授权失效以及基本配置错误。
现在的问题是：如何保护所有API活动？本博客将介绍以“安全即代码”为核心的方法如何借助NGINX App Protect为API保护发挥关键作用，并与您信赖的其他安全厂商解决方案一起无缝融入CI/CD流水线。
API同时服务于员工和合作伙伴
据ProgrammableWeb统计，目前使用的私有API、合作伙伴API和公共API已超过20,000个，为我们日常依赖的应用提供支持。API的吸引力在于，它们可以向广泛的用户开放软件功能和数据，包括企业员工以及所有战略和商业合作伙伴。API运行于基于容器的微服务中或与之连接，因此这些微服务也具备同样的优势。（这种方式自然也对DevOps团队颇具吸引力，因为他们可以根据具体需求选择合适的供应商。）
例如，许多企业利用私有API和合作伙伴API实现自助式IT。通过提高IT资产的可发现性和可复用性，组织内更多成员无需事事依赖DevOps，即可完成更多工作。自助式IT若实施得当，可以提高敏捷性、加快产品上市速度、借助多家供应商提供以客户为中心的解决方案，同时提升效率、促进创新并增加高利润率收入。
这种动态也存在于开发和生产环节：容器化软件和API使DevOps团队能够与众多合作伙伴协作。其中包括身份和访问管理（IAM）合作伙伴，例如Okta、AuthO和Microsoft；以及生命周期管理合作伙伴，例如MuleSoft、Akana和Kong。
安全即代码，策略即防护
在当今快节奏、动态变化的CI/CD环境中，开发人员和DevOps团队需要采用整体方法来保护Web应用和API，并借助应用安全工具快速、安全地实施解决方案和发布软件。团队既要保护代码安全，又要与其选择的访问管理和生命周期管理合作伙伴保持紧密集成。
过去几年，随着DevOps逐步向DevSecOps转型，业界开始推动将安全本身代码化。换言之，企业开始认识到，需要将安全融入新软件的各个方面，而不是等所有编码工作完成后再附加安全措施。其中包括以下实践：
- 尽可能实现安全自动化，将安全直接嵌入CI/CD流水线
- 将安全机制构建为护栏，而非关卡（即提供指导和工具，而不只是授予或拒绝访问权限）
- 与多家合作伙伴协作，确保安全解决方案保持一致、集中管理，并可通过自助服务用于任何环境，包括分布式容器化环境
“安全即代码”是指将安全融入新软件的各个方面，而不是等到最后才附加上去。
面向现代应用基础设施的高级API安全
F5积极倡导采用安全即代码的方法，使应用安全更具适应性、可扩展性和可靠性，而NGINX App Protect在实现这一目标方面发挥着重要作用。NGINX App Protect将API安全与F5广受市场认可的高级Web应用防火墙（Advanced WAF）和机器人防护的基础功能相结合，帮助DevOps团队：
- 将安全团队授权的非中断式安全控制集成到自动化和CI/CD流程中
- 在容器和微服务等分布式环境中部署和管理应用安全控制措施
- 实施经济高效的安全控制，同时避免对发布速度或应用性能造成负面影响
借助 NGINX App Protect，您可以将应用安全功能部署为轻量级软件包，且不受底层基础设施限制。因此，软件开发人员可以利用声明式策略（“安全即代码”），保护进出 API 网关或其他 Ingress 控制器的所有流量。在此模式下，即使 API 本身默认并不安全，也可以在多个位置应用 NGINX App Protect 的安全防护，包括入口处、Kubernetes Pod 内或跨服务。
F5和NGINX与客户优先选择的其他行业领先企业携手合作，并积极支持全球DevOps团队已在使用的供应商和产品，致力于为整个应用生态系统提供前沿解决方案。
结语
随着API成为信息共享的新丝绸之路，并让您能够以前所未有的方式与用户建立联系，NGINX App Protect可帮助保护应用和数据，应对各种潜在威胁。NGINX App Protect专为您的应用交付方式而设计，并可与合作伙伴生态系统紧密集成。该解决方案可在各种DevOps环境中无缝运行，将非侵入式安全控制贯穿DevOps自动化和CI/CD流程，确保应用安全从一开始就融入其中，而不是事后补充或作为临时措施附加在外。
准备亲自试用NGINX App Protect？立即开始30天免费试用，或联系我们，讨论您的用例。
相关博客文章
NGINX Plus R26 正式发布
NGINX Plus R26通过缓存JSON Web密钥集加快JWT验证，并强化TLS握手，从而提升安全性。NGINX JavaScript的新功能包括增强对异步函数的支持，以及实现WebCrypto API。
使用NGINX App Protect DoS保护gRPC应用，抵御严重的DoS攻击
gRPC具备开发人员设计和部署现代应用所需的速度与灵活性，但其开放性也使其极易受到第7层DoS攻击。NGINX App Protect DoS可保护gRPC应用免受此类破坏性攻击。
Ingress Controller 选型指南（第 2 部分）：风险与面向未来的规划
了解选择错误的Ingress控制器可能带来的风险，以及如何从关键方面着手，让您的选择更好地适应未来需求。
NGINX Plus R19 正式发布
NGINX Plus R19扩展了监控功能，不仅提供更多指标，还新增了指标分析方式；增加试运行模式，用于测试限速效果；增强键值存储，以支持IP地址范围；并使限速更加动态。
NGINX现已正式加入F5
NGINX现已正式成为F5的一部分。Gus Robertson现任F5 NGINX业务部门负责人。他阐述了两家公司在人才、文化和愿景方面融合的价值，以及双方将如何携手增强NGINX的开源产品和商业产品。
