API Gateway 与 WAAP 的差异——以及同时需要二者的理由
Akamai API Gateway 和 Akamai App & API Protector 简介
在 Akamai，我们持续进步，以应对当今数字化环境中不断变化的 Web 应用程序和 API 保护 (WAAP) 挑战。作为尽责的网络安全合作伙伴，我们全力调查最新的 应用程序编程接口 (API) 安全威胁，从而搭建出能为我们的宝贵客户提供出色保护的稳健解决方案。
今天，我们要重点介绍两款 Akamai 解决方案的关键功能，搭配使用这两款解决方案可增强企业的安全架构： Akamai API Gateway是我们的 API 流量控制解决方案， Akamai App & API Protector是我们的云 WAAP 解决方案。
了解 Akamai API Gateway
API Gateway 可优化企业网络的 API 管理和安全，它充当着关键枢纽，用于对传入 API 请求进行身份验证、授权和路由。此网关作为第一道防线，在 API 请求与后端系统交互前先对此类请求进行审查，即通过对流量进行身份验证和授权来检查 API，确保其可访问、高效且安全。
探索 Akamai App & API Protector
我们的 App & API Protector 由传统 网络应用程序防火墙 (WAF) 过渡而来，提供为 Web 应用程序和 API 定制的全面保护。该解决方案体现了下一代 WAAP 技术，它提供了统一的方法，通过自动化和智能化的大规模使用，保护资产免受高级安全威胁。此外，该解决方案利用从全球流量和威胁中持续学习而获得的自适应安全性，确保以最新的防御措施来应对不断演变的网络安全挑战。
这款全面的 WAAP 解决方案由持续更新的强大技术和方法提供动力，能够改进企业的安全态势，同时超越了传统 WAF 的功能。
虽然“WAF”和“云 WAAP 解决方案”这两个词在 OWASP 十大 Web 应用程序安全风险和 OWASP 十大 API 安全风险 中讨论防护措施时常互换使用，但我们使用后者，因为它包含了对 Web 应用程序和 API 的保护。
图 1 显示了 API Gateway 如何对计划流向客户环境的合法和恶意流量的凭据进行身份验证，以及 App & API Protector 随后如何对该流量应用保护、监测和边缘缓存扩展，确保只有合法流量抵达客户。
图 1：流量先受到 API Gateway 保护，再受到 App & API Protector 保护，然后才抵达客户环境
API Gateway 和 WAAP 如何协同工作
API 请求的旅程始于 API Gateway，它将对此类请求进行审查、身份验证/授权和智能路由。
通过网关后，流量流入 App & API Protector，它将进行更深入的安全检查，包括分布式 拒绝服务 (DDoS) 攻击缓解、爬虫程序管理、SSL 和 TLS 加密等。App & API Protector 应用安全策略对攻击尝试进行缓解和补救。
Akamai 的分层安全模型仅允许安全、合法的请求抵达客户的关键后端服务和微服务并与此类服务互动。
API Gateway 和 WAAP 的差异
虽然 API Gateway 和 WAAP 作为 Akamai 安全控制措施和架构不可或缺的组成部分可以相互补充，但它们在缓解 API 威胁的过程中扮演着截然不同的角色。
API Gateway 处理 API 流量身份验证、授权和路由，以确保流量经过优化，可以通过运行时性能检查和初始安全检查。
App & API Protector（我们的 WAAP 解决方案）提供更深层次、更加细化的安全保护。它利用 Akamai Adaptive Security Engine 等先进的安全技术，针对威胁环境中普遍存在的众多恶意攻击方法（包括复杂的 Web 攻击、API 滥用等）提供保护。
为什么要将 API Gateway 与您的安全堆栈相整合？
将 API Gateway 用作您企业的所有传入 API 流量的初始检查点，您将获得：
访问控制。 通过在边缘验证 JSON Web 令牌 (JWT) 和管理 API 密钥，API Gateway 将阻止不必要的流量抵达您的核心系统，为您的身份提供商减负，同时大幅降低网络延迟。
流量管理。 由于能够对 API 请求设置和实施限制，因此，即便在调用数过多的情况下，您的服务也能保持正常运行。它将支持您进行精细控制，包括哪些用户能够以什么样的频率访问哪些资源。
改进的报告和策略执行。 API Gateway 可提供针对 API 使用模式的见解，并可强制实施路由规则和 API 隐私设置等策略，从而确保获得卓越性能且符合各项标准。
App & API Protector 的多合一安全方法
App & API Protector 设计为快速、可靠、全面的安全解决方案，在单个框架中纳入了多项复杂功能和多个防护层（图 2）。
图 2：App & API Protector 设计为多合一解决方案
业界领先的应用程序安全
通过分层功能和自定义精细设置（例如设计用于防范最复杂威胁并解决漏洞的高级速率限制），您的所有应用程序都将获得更好的保护。针对客户声誉等因素提供额外保护，这类保护措施利用平台的广泛监测帮助您采取更主动的安全立场。
API 防护
除了 API 攻击防护，我们的 WAAP 解决方案还具备 API 发现功能，可提醒您的安全团队注意新的、经修改的或易受攻击的 API，并主动报告尝试使用或访问个人身份信息（包括信用卡号、电子邮件地址和帐户信息）的 API。这有助于防止数据泄露，并遵守旨在保护敏感数据的法律和法规。
DDoS 防护
App & API Protector 在 DDoS 防护方面是公认的市场领导者，它通过在远离客户位置的网络边缘吸收和分散攻击流量，更有效地为基础架构提供防护。最近的创新还增强了第 7 层 DDoS 防护（包括速率限制），用于抵御瞄准您应用程序的容量耗尽攻击。
爬虫程序监测和抵御
访问 Akamai 提供的、包含 1,700 多个已知爬虫程序的广泛目录，实时监测您的爬虫程序流量。调查存在偏差的 Web 分析、防止源站超载，并创建自己的爬虫程序定义，确保能够不受阻碍地访问第三方和合作伙伴的爬虫程序。
Akamai 边缘平台和内容交付网络 (CDN)
App & API Protector 将高度有效的安全防护与我们 领先边缘平台 提供的先进性能相结合，并通过我们的 CDN 解决方案提供 100% 的服务级别协议可用性。其中还包括多项深受客户喜爱的功能，例如 Akamai Site Shield、 Akamai Image and Video Manager、 Akamai mPulse Lite、 Akamai EdgeWorkers和 Akamai API Acceleration 。
始终保护您的网络，使其远离任何威胁
API Gateway 和 App & API Protector 作为稳健安全架构的关键组成部分，可优化 API 管理和初级安全性，同时针对日益复杂的威胁提供更深层次、更全面的保护措施。结合使用这两款工具，可以保护您的应用程序和 API 免遭不断变化的网络威胁。
通过使用并牢固掌握这些业界领先的安全解决方案，您的企业可以获得更安全、更高效的数字环境。这样，您就可以更好地开展业务，提供卓越的用户体验，同时自信地保护关键资产。
了解更多
阅读 2024 年 Gartner® Peer Insights™ Voice of the Customer：Cloud WAAP 报告 ，详细了解各企业为何使用 Akamai 的 WAAP 和 AppSec 解决方案来保护其 Web 应用程序和 API。