安全性 ｜ 大道至简才是第一原则

新颖的数字体验离不开无服务器边缘计算、基于微服务的架构、IaaS环境、客户端函数以及API等技术。这些现代开发实践在设计上主要是为了支撑高度个性化、快速变化且始终在线的用户体验，但也不可避免会引入新的漏洞和安全隐患。在这过程中，IT和安全团队在为业务提供支持的过程中也开始面临重重挑战，因为代码发布速度越来越快，并且他们也越来越难以跟上应用程序和API快速变化的步伐。与此同时，网络犯罪分子可以非常快速、轻松地购买被盗凭据并租用僵尸网络，借此发起撞库攻击。

为解决上述挑战，我们必须使用不同供应商的多种安全产品。然而如果这些产品相互之间无法良好配合或者使用难度过大，最终可能只会为用户造成安全的“假象”，导致成本激增，甚至可能成为在组织内部的合作和运营中造成各种摩擦的根源。

一、技术解决方案的紧密融合

同时使用多种产品，意味着成本更高，更复杂，需要更专业的高技能人才，这对大部分企业来说是无法接受的。在当今全球商业世界中，我们更迫切地需要针对不断演变的攻击类型（从Web应用业务逻辑攻击到API滥用，再到DDoS）为Web应用程序和API提供更加周全的保护，进而必然需要用到可以兼顾全面性、整体性，并且可扩展的安全解决方案。而Akamai始终致力于围绕以客户为中心的使命，通过无处不在、功能强大、简单易用的自动化机制最大限度的保证应用程序和API的安全。

连续多年，全球行业分析机构与客户都对Akamai业界领先的应用程序和API安全产品表现出极大的认可。作为这个市场的“领导者”，Akamai的下一代Web应用程序和API保护（WAAP）解决方案实现了将多种核心技术（如Web应用程序防火墙、爬虫管理、API安全、DDoS防护）融入到一款产品中的解决方案，并在Akamai全新的自适应安全引擎驱动下提供了一种能保护整个Web和API资产的现代化解决方案。即我们想要隆重推荐的：Akamai App & API Protector。

Akamai在2021 Gartner® Magic Quadrant™ WAAP中被评为领导者

二、开箱即用的全面保护能力

App & API Protector提供了一整套全面且强大的保护机制，旨在帮助客户最大限度提高安全性。与那些满足于提供“足够好”的安全保护解决方案不同，App & API Protector简单易用的背后有一系列先进、成熟技术作为支撑，无需太多配置和定制，即可通过拆箱即用的产品获得所需保护。也正是因此，超过92%的Akamai客户直接以“防护模式”使用了我们的应用程序和API安全控制，并简单快捷地获得了所需保护。

• 可检测的攻击数量最多可提高2倍，误报率可降低5倍。基于威胁的全新多维度自适应检测机制与来自Akamai平台的Web和API请求数据/元数据等情报紧密结合，随后针对这些情报应用决策逻辑，即可用非常高的精度发现并阻止攻击。这种自适应检测机制能够将SQLi（SQL注入）、XSS（跨站脚本攻击）、RFI（远程文件包含）以及CMDi（命令注入）等攻击的检出率中位数最多提高4倍，误报率最多降低5倍，进而在不对用户造成任何影响的前提下提供最大限度的保护。
• 通过自动发现和安全保护机制减少API的风险攻击面。通过自动、持续地分析流量来发现已知、未知和不断变化的API（及其对应的端点、定义和特征），随后即可通过简单有效的工作流保护API防范DDoS、注入、撞库等攻击。无论用户是否选择应用积极的安全控制措施，该技术均可自动检查每个API请求是否包含恶意代码。在Gartner《2021云Web应用程序和API保护关键能力》报告中，已将Akamai评为API安全和DevOps用例产品中的佼佼者。
• 亲眼看到并拦截恶意爬虫。通过直接融入App & API Protector的爬虫检测和缓解能力检测并阻止不需要的爬虫程序。随着爬虫流量在总体流量中的占比越来越大，Akamai的爬虫检测功能可自动扩展，为用户不断增长的业务提供持续保护。同时该产品能针对各类爬虫提供丰富的可见性，帮助用户理解爬虫程序对数字资产造成的影响，并在必要时拦截恶意爬虫。与其他解决方案最大的不同在于，Akamai业界领先的爬虫管理技术包含了一个超过1500种已知爬虫的庞大目录，借此用户可以轻松地创建自已的爬虫定义，并主动检测和缓解爬虫攻击。

App & API Protector提供的爬虫可见性和缓解能力

三、通过自动化机制变得更智能、更强大

易用性不高的产品本身也会造成额外的风险和运维开销，因此Akamai在设计App & API Protector时会尽可能通过自动化机制分摊并简化用户的日常任务，同时依然将分析决策的权利留给用户。这种自动化机制带来的好处并不会随着时间推移而逐渐减少，而是会通过Akamai的不断创新持续改进并完善。

• 通过自我调节为团队工作减负。所有触发了安全机制的因素（包括真正的攻击以及误判的攻击）都会由机器学习算法自动持续地进行分析，随后可针对不同应对策略给出进一步优化的建议。当有新的建议可用时，用户可以收到通知，随后在管理界面上一键点击，或通过API、命令行接口（CLI）、Terraform提供程序进行自动操作，即可轻松接受并应用新的建议。
• Akamai安全研究人员可以自动更新保护措施。用户可以在完全无需自行介入的情况下，直接部署由Akamai完全托管的应用程序和API安全自适应防护措施。超过330名世界级的安全研究人员会通过先进的机器学习和数据挖掘技术持续分析超过300TB的每日攻击数据。以此为基础，围绕最新的安全威胁，为用户的保护机制自动提供源源不断的更新。
• 与业务保持同步的DevOps集成。用户可以在自己的CI/CD环境中使用Akamai CLI、Terraform或脚本实现与Akamai API的集成。借此即可快速引入应用程序，跨越大规模应用程序和API产品组合构建统一管理的安全策略，以及跨越混合云和多云基础架构集中实施强制安全保护措施，并通过GitOps工作流改善DevOps和安全团队之间的协作，通过更广泛的覆盖保证安全措施能够与快节奏的开发工作保持步调一致。

使用Terraform管理由App & API Protector保护的主机名HCL代码范例

四、大道至简

为了进一步实现简化，组织还需要重新思考如何让自己的WAAP解决方案不仅可以提供更强大的保护能力，还能通过易用性提供附加价值。这种进一步简化的工作流最终将有助于降低风险并提供更深入的上下文洞察，帮助组织更好地理解网络安全态势。

App & API Protector（将取代Akamai Kona Site Defender和Web Application Protector）在设计上全面采用了“简洁为先”的方法，可帮助用户实时作出更明智的，基于风险的决策，并在不为运维人员造成更多负担的前提下顺利执行关键业务任务。该产品专为当今现代应用程序和API设计，具备灵活的配置和自动化机制，同时包含了免费层级的Akamai图片和视频优化、API加速、边缘计算等服务，借此用户不仅可以获得更出色的WAAP解决方案，同时也能进一步提高开发人员生产力。具体来说，这是通过如下几个特色功能实现的：

强大，自动化，简洁。这就是Akamai App & API Protector提供的一站式零妥协安全防护解决方案最大的价值。

最后，欢迎广大知友们关注Akamai，第一时间了解Akamai在Web交付性能、安全性、边缘计算等领域的最新技术成果和解决方案，以及整个行业的发展趋势。