应用安全并非易事。不要轻信任何声称并非如此的人。风险管理是一个持续的过程。您需要不断更新流程，并确保部署了合适的安全解决方案。那么，当解决方案供应商宣称其产品高效且易用时，该如何验证这些说法？是时候抛开华而不实的宣传了。这并不容易，但任何受托保护数字化企业核心资产（应用和API）的供应商，都必须具备一些核心能力。
最近，我与F5解决方案工程区域副总裁Gary Newe进行了交流，探讨了新指南《API与Web应用安全解决方案对比指南》如何帮助安全运营专业人员和云架构师围绕关键能力做出充分知情且有把握的安全决策。
Chad：为什么安全架构师和工程师很难选择合适的Web应用和API防护方案？
Gary：选择合适的Web应用和API保护（WAAP）解决方案，对安全与风险团队而言确实并非易事。市场上的选择多种多样，包括CDN供应商、云原生工具、专业安全产品和WAAP平台等，这让决策过程更加复杂。
每种解决方案的功能、能力和架构各不相同，因此难以进行有效评估和比较。这往往需要耗费大量时间开展调研，还可能有所疏漏，甚至选中不够完善的解决方案，使组织面临安全威胁。此外，理论与实践可能存在差距：实际表现如何？
Chad： 能否介绍一下新发布的“API与Web应用安全解决方案对比”，并说明其用途？
Gary：当然可以。这份新指南旨在帮助架构师和安全运营专业人员应对我之前提到的挑战。指南以清晰、有条理的方式对主流解决方案进行并列评估，重点介绍架构灵活性、策略可移植性、威胁适应能力、生命周期集成和安全有效性等关键要素。指南通过提供全面概览来简化决策流程，帮助专业人员确定实施应用安全的适当方法。
Chad： 对比指南如何简化决策流程？
Gary：该比较指南通过节省时间和降低复杂性，显著简化了决策流程。它以简洁、有条理的方式概述各类解决方案，并清晰比较每种方案的优势和不足。这有助于专业人员快速确定哪些解决方案符合其具体需求，尽可能减少疏漏，并为其独特的数字环境选择有效的保护方案。
Chad： 该比较指南重点关注哪些关键标准？能否举例具体说明这些标准为何重要？
Gary：当然可以。该指南重点关注几项关键标准。例如，在架构灵活性方面，F5 WAAP解决方案表现突出，因为无论应用和API位于何处，都能为其提供安全保护，无需重新设计、重构或迁移。对于采用分布式环境的组织而言，这种灵活性至关重要。随着基于API的架构和AI生态系统兴起，本地数据中心与多个云平台并存的分布式环境日益普遍。借助这种灵活性，安全策略可以一致地应用于所有环境，并通过人机协同的AI防御机制，在各处快速开展修复。相比之下，CDN产品通常要求通过其网络提供内容，可能不适合现代多云架构。这些平台相互独立，无法提供可在数据中心、公有云环境和边缘位置一致应用的统一安全堆栈。这一局限可能会阻碍敏捷部署和扩展，增加配置错误的可能性，并使本已宝贵的安全团队资源承受策略调优、事件响应和修复等额外负担，因此不太适合数字业务覆盖范围复杂的组织。
Chad：该指南还重点关注哪些其他关键标准？
Gary：是的，还有策略可移植性。F5 WAAP解决方案支持在云端和本地环境中一致地部署安全策略，因此可以在不牺牲安全性的前提下实施数字化战略。无论应用和API位于何处或需要部署到何处，都可使用同一个强大的单一安全堆栈。这种一致性可降低不同环境中策略不一致和配置错误的风险，并简化安全管理。相比之下，云原生解决方案通常局限于各自的环境，需要管理多个安全堆栈，增加了运营复杂性。由于缺乏单一安全堆栈的可移植性，安全策略可能变得碎片化，管理开销也会增加。
对威胁的适应能力是另一项关键标准。随着攻击者不断调整策略，F5 WAAP解决方案利用AI驱动的欺骗技术和机器学习来保持防护效力。这种适应能力对于应对复杂威胁、确保安全措施能够实时演进至关重要。然而，单一功能型安全解决方案往往侧重于特定风险和威胁，通常是最常见的风险和威胁，无法适应攻击者不断演变的策略，而如今攻击者的战术、技术和程序又因AI而加速升级。这种静态方法可能使组织容易受到新型和新兴威胁的攻击。
Chad：为什么此类比较指南很重要？
Gary：总而言之，《API与Web应用安全解决方案对比指南》是安全与风险团队的重要参考资料。该指南重点关注架构灵活性、策略可移植性和威胁适应能力等关键标准，简化决策流程，帮助组织根据自身环境选择更有效的Web应用和API安全解决方案。充分利用全面的指南和资源，对于做出明智的安全决策至关重要，并有助于组织在复杂且不断变化的威胁环境中增强安全态势。
查看详细对比表：API与Web应用安全解决方案对比指南
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。