借助最新版F5 Distributed Cloud Services，主动应对API安全风险

Ian Dinno高级产品营销经理 | F5

随着API不断发展并成为现代应用（尤其是AI应用）的基石，组织在保护API免受新兴安全风险影响方面面临日益严峻的挑战。对于任何由API驱动的企业而言，保持可见性、检测漏洞并确保强有力的保护都是不可或缺的。

作为F5 Application Delivery and Security Platform (ADSP)的一部分，我们在最新的F5 Distributed Cloud Services版本中推出了多项新增强功能，旨在以更高的灵活性和效率直接应对这些挑战。此版本带来了令人期待的全新API发现选项、更丰富的测试场景和更强的检测能力，旨在降低API安全风险，同时提升整体可见性和合规性。

下面详细了解这些新功能。

扩展的API发现选项

有效发现API对于应对不断变化的API清单至关重要，尤其是随着影子API和未受管理API日益增多，它们可能成为安全盲区。现在，F5 ADSP针对F5 BIG-IP、F5 NGINX、其他代理和网关以及气隙环境推出了更多发现选项，使组织能够更灵活地发现并保护各种应用和环境中的API。每个新的发现选项都针对独特的应用和基础设施要求量身设计，为组织提供更全面的功能，以提升API可见性。

• BIG-IP的API发现：对于使用BIG-IP TMOS的组织，我们正在扩展F5 Distributed Cloud API Security的发现功能，新增带外API发现选项。借助此功能，使用15.1及更高版本的BIG-IP客户可以检查经由其虚拟服务器处理的API流量，并在Distributed Cloud Services控制台中清晰直观地查看相关信息。通过此集成，BIG-IP客户可以检测未知、影子和已弃用的API，利用准确且最新的文档完善API清单，并通过单一供应商提供的统一解决方案无缝管理API安全，从而全面掌控其API。（可在此处查看实际运行效果。）
• 支持更多代理和网关的API发现（抢先体验）： API请求通常会流经各种代理和网关，因此组织难以全面了解整个API生态系统。全面掌握所有API，无论其部署位置、前端服务，还是请求在基础设施中的流转方式，都有助于组织监控行为、检测潜在威胁，并更有效地应对API蔓延问题。这种可见性对于在多样化环境中保持一致的API安全至关重要。
  
  在此版本中，我们通过经过验证的集成，将带外API发现功能扩展至NGINX OSS、NGINX Plus、Kong和Apigee代理，并推出了通用发现解决方案。该解决方案可从几乎任何网关或代理收集日志，帮助组织分析API活动、检测未受管理的API，并在Distributed Cloud Services控制台中集中呈现其API生态系统。
  
  此功能目前处于抢先体验阶段，使用各种网关和代理技术的组织可借此测试如何增强API安全态势。
• 本地API发现（抢先体验）： 在此最新版本中，我们面向因合规或安全限制而无法对外共享数据的隔离网络和受监管环境，推出了本地API发现功能。通过部署配有专用控制台的本地API发现软件，组织可以完全在本地深入了解流经其BIG-IP虚拟服务器的API，无需向云端发送任何敏感数据。本地API发现专为在严格管控或云使用受限环境中运营的行业而设计。
  
  此功能目前也处于抢先体验阶段，采用隔离网络环境的组织可借此测试如何增强API安全态势，并满足合规或监管要求。

这些扩展的API发现功能可帮助企业检测影子（未知）、未受管理或被遗忘的API，生成OpenAPI架构和文档，并通过敏感数据检测和风险洞察丰富API清单。

这些新选项可灵活满足多样化的应用架构以及安全与合规要求，帮助组织轻松应对不断变化的API安全挑战，而无需为了保障API安全而更改应用、做出重大架构决策或在合规方面作出取舍。

新增场景，扩展API测试套件

本次发布继续增强通过F5 Distributed Cloud API Security提供的主动安全功能，拓展了服务中的API测试范围，涵盖OWASP API十大安全风险中列出的更多漏洞。具体而言，新增的场景支持组织测试API1（对象级授权失效）和API4（不受限制的资源消耗）漏洞。这些新增场景有助于组织了解API代码中可能导致以下问题的潜在风险：

• 未经授权访问资源。
• 不安全的令牌处理。
• 数据过度暴露。
• 资源饱和与配置错误。

通过增强我们的API测试套件，组织将能够集成API代码存储库并对其进行自动化测试，从而在开发生命周期的更早阶段发现范围更广的潜在漏洞。组织随后可在投入生产前实施修复，显著减少其API威胁面上的暴露风险和漏洞利用可能性。

增强对OWASP API十大漏洞的威胁检测

我们不仅增强了API测试，还在持续改进基于流量的威胁检测机制。我们深知，保护API免受新兴威胁是一项持续挑战，客户需要防范各种不断演变的威胁。

在此最新版本中，我们新增了多项功能，进一步增强了许多现有检测能力，帮助提升对OWASP API十大关键威胁的防护，并让组织能够更深入地洞察生产环境中的攻击或漏洞利用企图以及可疑API活动。

新增检测功能概览：

• 检测对象属性级授权失效（BOPLA）攻击：增强的BOPLA利用检测有助于发现API请求中的请求参数滥用行为。通过检测这些异常，组织可以更有效地防范利用BOPLA漏洞发起的攻击，此类攻击可能导致数据泄露和权限提升尝试。
• 自动提取JWT：通过识别并提取API请求中的JWT，可改进用户和客户端的识别与跟踪。这对于检测对象级授权失效（BOLA）至关重要，并可提高准确性和攻击可追溯性，为长期安全洞察提供支持。
• 身份验证失效检测增强功能：新版本会标记需要身份验证的端点遭到未经身份验证访问的事件，确保身份验证逻辑中的严重漏洞能够立即显现。这些洞察有助于快速采取纠正措施，增强API端点安全性。
• 改进针对功能级授权失效（BFLA）攻击的异常检测：扩展后的异常检测功能有助于识别针对管理端点的潜在BFLA利用行为。通过验证已认证用户是否具有适当的“声明”，组织可以实时获取针对敏感管理功能的未授权尝试证据。

这些检测增强功能可帮助组织实时了解针对BOLA、BOPLA、BFLA和身份验证失效漏洞等发起的重大攻击尝试。通过准确识别威胁，组织可以在复杂的API生态系统中保持稳健的安全态势，并更主动地防范攻击和漏洞利用。借助这些功能，组织能够更有效地保护API并降低API安全风险。

将安全融入API生命周期

本次发布扩展了API发现、测试和检测能力，彰显了F5持续通过F5 Application Delivery and Security Platform帮助组织提升整个API生命周期安全性的承诺。无论采用何种部署方式，从更有效地发现所有应用和架构中的影子API或已弃用API，到缓解早期漏洞并更有效地检测实时威胁，F5始终致力于帮助您在极其复杂、分布式且多样化的应用和API生态系统中保持可见性和控制力。

如需了解详情，请阅读我们的新闻稿。还可立即访问我们的产品页面，全面了解F5的API安全功能，并借助F5进一步优化API安全态势。

如果您对本文提到的抢先体验产品感兴趣，请务必联系当地的F5客户团队，了解更多详情。

关于作者

Ian Dinno高级产品营销经理 | F5

Ian Dinno 的更多博客文章