如今，API比以往任何时候都更加重要，尤其是对金融服务机构而言。这些机构依靠API为账户持有人处理日常交易付款、实现顺畅的在线开户等诸多业务。
此外，金融服务生态系统不断演变，通过API与金融科技公司开展合作已十分普遍，该行业对API的使用量正大幅增长。因此，金融服务机构比以往任何时候都更加依赖API。
然而，对API的依赖日益加深，也引起了攻击者的注意。
攻击者深知这些API发挥着关键作用，因此不断将其作为攻击目标，企图利用、滥用和入侵API，以访问系统并窃取关键数据。传统应用和API安全工具仅依赖基于流量的发现与检查，只能提供局部视图，而且只有在API部署到生产环境后才能发现它们，这进一步加剧了混合云和多云环境的复杂性及管理难题。
这些情况会带来严重的业务风险，包括大规模数据泄露、合规问题和高额监管罚款。然而，金融服务机构必须承担这些风险，因为客户需要快速办理业务、查看完整的账户信息并轻松转账，而这些功能实际上都由API提供支持。
本文将深入探讨在混合云和多云环境中运营的金融服务机构实施安全左移所带来的变革性优势，并说明为何这标志着金融服务API安全迈入下一个重要阶段。通过直接从代码库中及早发现API、全面了解API并提前编制文档，机构可以加强防御、弥补可见性方面的关键缺口、改进控制措施、满足合规要求和监管机构的要求，并在风险极高的行业中为API安全树立新的标准。
什么是左移，为什么它很重要？
安全范式中的“左移”理念已不只是一种趋势，而正逐渐成为确保可靠防护和风险管理的必要举措。对于API而言尤其如此，因为API的变更比传统Web应用更频繁，新增速度也快得多。
简而言之，如果只关注内联流量分析等传统安全控制措施，组织将无法发现并了解整个攻击面中的漏洞。这会使组织面临风险，在金融服务领域的API中尤其如此，因为安全盲区可能造成严重后果。在生产环境中修复漏洞和薄弱环节往往更困难、成本也更高，而且任何代码变更都可能带来额外风险。
“左移”策略的重要性不只是集成新技术，更在于从开发周期伊始就从根本上转变API安全的实施方式。
从编码阶段开始发现API并确保文档准确，组织可以更全面地了解自身的API全貌。这种主动方法支持在应用投入生产后进行测试、及早发现潜在漏洞，并通过相关规则、控制措施和策略立即加以解决。这为应用逐步投入生产奠定了坚实基础，同时不会拖慢开发人员的工作进度。之后，可在下一个发布版本中更新代码，从代码层面修复漏洞。开发人员无疑会乐于采用自动化的清单和文档流程，从而专注于开发下一个可能改变世界的出色功能。
采用左移策略的主要优势有哪些？
采用左移理念有诸多益处。团队可以在更充分地了解自身API并改善安全态势后进入生产环境，同时具备更完整的文档，并已制定先发安全策略，以应对测试中发现的任何漏洞。组织可以将这种从代码中发现API的方式作为起点，从而更轻松地识别异常以及未知或已弃用的僵尸API和影子API，并在进入生产环境后检测漂移，而无需在实际运行中（例如在生产环境中）边做边学。
与缺少初始文档、只能被动拼凑信息的方法相比，左移可确保组织提前做好准备，从容应对安全挑战。
其他优势包括：
- 限制生产环境中的漏洞暴露
- 改进API文档并加深对API的理解
- 推广安全编码实践，持续增强和改进API代码
- 通过采用持续的风险评估和修复闭环，减少工具集成方面的难题
在左移策略中实现早期漏洞检测时可考虑的新工具
对许多组织而言，管理应用和API安全解决方案本已是一项艰巨的任务。事实上，Datos Insights近期发布的一份由F5赞助的报告发现，仅API安全领域就有80多家解决方案提供商，而每个组织平均使用超过20,000个API！
因此，组织通常会采用来自不同供应商的多种技术来保护应用和API，这实际上使API安全演变为供应链安全。基于这一点，在选择API安全“左移”解决方案时，需要考虑以下几点：
- 通过扫描、侦察和测试功能在代码层面进行发现，从而更早检测代码中的CVE和API风险
- 由生成式AI驱动的智能自动化安全响应
- 自动创建并验证稳健的API架构
- 通过可操作的情报深入揭示API风险
- 全生命周期API安全：利用一款解决方案，作为更广泛的应用和API安全及交付能力组合的一部分，覆盖整个应用开发生命周期
左移方法的核心是采用前瞻性策略，从而更快、更准确地识别差异、影子API及其他问题。与可能遗漏文档或从一开始就缺乏全面了解的临时方法相比，这种方法更具优势。
采用左移策略并部署适当的技术，不仅能增强安全性，还能简化整个开发生命周期，让应用团队和风险团队都能从中受益。因此，对于具有前瞻性的金融服务机构而言，这是一项不可或缺的实践。
了解详情，了解左移如何为贵组织提供帮助。
本博客与其他聚焦不同行业领域的文章共享部分内容。
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。