显然，应用和API安全已变得更加专业化。API不再只是基于URI的应用入口点，而是已经发展为独立实体，有着自身的安全需求。
这些安全需求大多与API交互的特性有关。具体而言，API需要按每笔事务进行授权。这与应用通常按会话进行授权的方式明显不同。
API的交互频率也更高，此外还有许多其他特性，给API安全防护带来了特殊挑战。
应用 API消息格式支持 HTML、JSON、XML ProtoBuf、JSON、GraphQL、二进制、XML及其他数据格式交互 静态、不常变化 动态、频繁变化数据 结构化、事务型 非结构化或结构化、流式及事务型用户 人类 软件、人类用户代理 浏览器、应用 软件、设备、脚本、应用、浏览器身份验证 基于会话 基于事务（更接近零信任）协议支持 HTTP/S、QUIC gRPC、WebSockets、HTTP/S、QUIC
对应用和API的比较表明，两者之间的差异导致了不同的安全需求。
不过，在实施安全解决方案时，还需要考虑应用和API面临的一些共同安全风险。例如，近期更新的《2023年API安全十大风险》清楚地列出了其中一部分与应用共有的风险：
- 薄弱的身份验证和授权控制
- 配置错误
- 业务逻辑滥用（凭据填充、账户接管）
- 服务器端请求伪造（SSRF）
除这些风险外，针对可用性的攻击仍然大量存在。其中包括应用和API普遍面临的DDoS攻击，因为二者通常都依赖TCP和HTTP，而这两种协议都可能遭受旨在中断访问和影响可用性的各种攻击。
应对应用、API及其支撑基础设施安全挑战的一种方法，是部署多种解决方案，包括机器人和欺诈防御、DDoS防护、应用安全和API安全。虽然这种方法确实能够应对安全挑战，但也会带来运营挑战，并使许多安全相关任务变得更加复杂，例如策略变更管理，以及应对同时影响应用和API的威胁。复杂性不仅不利于安全，也会影响速度。
根据我们的年度研究，应对新兴威胁的速度是采用安全即服务的主要驱动因素之一。每个需要通过补丁、更新或部署新策略来缓解新兴威胁的解决方案，都会延长响应时间，并增加配置错误或操作失误的可能性。因此，缓解威胁所需的时间会随着复杂性的增加而延长，尤其是当组织在多个环境（混合IT）中运营，并针对不同环境采用不同的安全解决方案时。我不会计算这种增长是线性的还是指数级的，因为坦率地说，任何会延长应对迫在眉睫的威胁所需时间的因素都不是好事。
因此，更好的方法是整合解决方案，对旨在抵御威胁的功能实施统一的运营和安全管理，同时允许通过特定的安全策略来应对应用和API特有的协议与有效载荷。
由此形成一种集成式应用和API安全策略：共享通用功能，同时越靠近应用或API，所采用的控制措施就越精细、越有针对性。毕竟，机器人就是机器人，其对数据质量、交付成本以及应用和API风险状况的影响，都是需要共同关注的问题。DDoS就是DDoS。为解决同一问题而运行双倍数量的服务，无论按哪项指标衡量，效率都很低。
采用集成式应用和API安全策略，在运营、财务和架构方面都切实可行。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
2023年应用策略现状：成本与复杂性是推动多云网络发展的首要因素
多云网络解决方案可在核心、云和边缘环境之间实现无缝、安全的互联，为解决当今混合IT面临的挑战提供支持，因而备受业界关注。