Die Herausforderungen der API-Verwaltung im Unternehmen

Die Anwendungsentwicklung schreitet voran und Innovationen verändern kontinuierlich die Form unserer Interaktionen. Aufgrund der mit verteilten Containern verbundenen Komplexität trifft das Streben nach Geschwindigkeit manchmal auf Widerstände bei der API-Verwaltung und der Durchsetzung von Sicherheits- und Infrastrukturkontrollen. Der Umstand, dass APIs in zunehmendem Maße für den Datenaustausch zwischen Microservices genutzt werden, führt leider zu potenziellen Sicherheitslücken, die die Preisgabe sensibler Daten nach sich ziehen können. Dies bedeutet, dass alle API-Endpunkte zumindest ein Mindestmaß an Risikostandardisierung, Konfigurationen und Richtlinienumsetzung aufweisen sollten. Da jedoch durch die automatisierte API-Veröffentlichung die herkömmlichen Elemente der Benutzerinteraktion und -kontrolle wegfallen, werden APIs durch dieselben Trends, die sie wertvoller machen, auch anfälliger.

Den meisten API-Gateways mangelt es an angemessenen Kontrollen für eine Verwaltung in großem Maßstab

API-Gateways sind in der Regel dafür ausgelegt, dass die Veröffentlichung von APIs auf einer Plattform oder in Microservice-Clustern verwaltet wird. Benutzerfreundlichkeit und Automatisierung sind die Hauptgründe für ihre Akzeptanz, da es schwierig ist, die Konnektivität zwischen APIs so zu skalieren, dass sie den Anforderungen des Kundendatenverkehrs bei einem wachsenden Anwendungsportfolio gerecht wird, und gleichzeitig plattformunabhängig zu bleiben. Dies erklärt, warum API-Fehlkonfigurationen und Sicherheitsmängel die Ursache für einige der bekanntesten API-Datenschutzverletzungen waren.

DevOps-Teams sind für immer mehr Automatisierungspipelines verantwortlich, die jeweils unterschiedliche Tools erfordern, um die Anforderungen von Entwicklern und Anwendungen zu erfüllen. Diese Szenarien führen zu unzusammenhängenden API-Datenverkehrsmustern und Verwaltungsinstanzen, die durch unzusammenhängende Beobachtbarkeitslösungen noch komplizierter werden. Leider ist es immer noch üblich, dass Entwicklungs- und DevOps-Teams an der Häufigkeit ihrer Veröffentlichungen gemessen werden – nicht aber an der Sicherheit ihrer Veröffentlichungen.

Das Ergebnis ist, dass die Verwaltung des API-Wachstums in Unternehmen in großem Umfang versagt, wodurch neue und unbeabsichtigte Risiken und Gefährdungen durch unbefugte API-Nutzung entstehen. Diese Gefahren zählen zu den häufigsten Bedrohungen laut der Liste der OWASP Top 10 der API-Sicherheitsrisiken.

Auch APIs stoßen bei der Verwaltung des Datenverkehrs in großem Umfang auf Leistungsprobleme. Eine Transaktionsverzögerung von 50 bis 100 Millisekunden kann bei der ersten Einführung einer Anwendung noch akzeptabel sein. Dehnt sie sich jedoch in Abstimmung auf die Kundennachfrage auf Hunderte oder Tausende von Microservices aus, summieren sich diese Verzögerungen und verlangsamen die gesamte Anwendungskette. Das Ergebnis? Eine schlechte Leistung und enttäuschte Kundenerwartungen.

Die Automatisierung des API-Endpunktzugriffs, der Konfiguration und der Sicherheit im gesamten Anwendungsportfolio des Unternehmens, von der ersten Entwicklung bis zur Produktbereitstellung, ermöglicht es den DevOps-Teams, Leistungsmängel und potenzielle Sicherheitslücken in großem Umfang zu beheben, um sich auf andere Probleme der Automatisierungspipeline konzentrieren zu können.

Inkonsistente Kontrollen in Microservice-API-Umgebungen

Cloudnative Anwendungen sind immer stärker verteilt und dezentralisiert und stützen sich auf Hunderte, wenn nicht Tausende von API-basierten Endpunkten, wobei der Datenverkehr in erster Linie von Millionen von Transaktionen ausgeht. Jüngste Untersuchungen von F5 Labs zeigen, dass die Zahl der API-Sicherheitsvorfälle jedes Jahr steigt und dass die häufigsten Ursachen für API-Vorfälle in den letzten zwei Jahren mit einer geringen Sicherheitsreife zusammenhängen, die häufig an einer Überhandnahme von Tools liegt.

Wenn verschiedene Entwicklungsteams an unterschiedlichen Teilen verteilter Anwendungen auf mehreren Plattformen arbeiten, führt dies zu einer komplexen API-Verwaltung, die unsichere und schlecht funktionierende Anwendungen zur Folge hat. Probleme können durch Bereitstellungsfehler, Leistungseinbußen oder böswillige Zugriffe auf sensible Daten entstehen, und es ist schwierig, die Ursache zu beheben, geschweige denn sie zu ermitteln. Eine Vereinfachung im großen Maßstab verringert das Risiko und bietet einen konsistenten Satz von Konfigurations-, Leistungs- und Sicherheitsrichtlinien, die auf Ihre Geschäftsziele zugeschnitten sind. Wenn dem DevOps-Team ein Standardinstrumentarium zur Verfügung steht, mit dem sich geeignete Kontrollen in API-Entwicklungs- und -Verwaltungsprozessen automatisieren lassen, können Ihre Anwendungen mit Ihrem Unternehmen wachsen.

Allgemeine Anwendungsfälle für die Verwaltung und Veröffentlichung von APIs

In allen im Folgenden beschriebenen Lösungen wird der F5 NGINX Management Suite für API-Verwaltungsfunktionen wie die Veröffentlichung der APIs, die Einrichtung von Authentifizierungs- und Autorisierungsfunktionen und die Verwendung des in F5 NGINX Plus angebotenen API-Gateways zur Bildung des Datenpfads verwendet. Die Sicherheitskontrollen richten sich nach den Sicherheitsanforderungen der Daten- und API-Bereitstellungsplattform.

1. APIs für stark regulierte Unternehmen

Geschäfts-APIs, die mit dem Austausch sensibler oder regulierter Daten zu tun haben, können Verwaltungs-, Berichterstattungs- und Sicherheitskontrollen erfordern, um die Einhaltung zusätzlicher Vorschriften oder branchenspezifischer Vorgaben zu ermöglichen. So müssen beispielsweise Anwendungen, die geschützte Gesundheitsdaten oder sensible Finanzdaten übermitteln, branchenspezifische Standards erfüllen. Die Durchsetzung von Richtlinien, eine überprüfbare rollenbasierte Zugriffskontrolle, Analysen und eine Überprüfung der Nutzdaten im großen Umfang werden zu wichtigen Mechanismen für die Verwaltung und den Schutz dieser Art von APIs.

Die Kombination von branchenführender Advanced Web Application Firewall-(WAF-)Technologie für Anwendungsschnittstellen mit F5 NGINX Plus API Gateway und F5 NGINX App Protect WAF bietet einen hervorragenden Perimeter-, API- und Microservice-Schutz für geschäftskritische Verfügbarkeit und Leistung.

2. Verteilte Multi-Cloud-APIs

Mobile Apps, die Nutzer auf der ganzen Welt bedienen, benötigen geografisch verteilte Backends, um API-Antworten mit geringer Latenz bereitzustellen. Auch andere Anwendungsdienste müssen unter Umständen verteilt werden, um hohe Transaktionsworkloads näher an die Verbraucher oder an die Daten zu verlagern und so die Leistung zu verbessern. Zur Optimierung der Antwortzeiten benötigen Sie eine verteilte Plattform, die die Bereitstellung von API-Endpunkten von mehreren Standorten aus orchestriert, um Ihre Nutzerbasis zu bedienen.

F5 NGINX Plus bietet plattformunabhängige API-Gateway-, Lastenausgleichs- und Sicherheitsfunktionen. In Verbindung mit dem F5 NGINX Management Suite API Connectivity Manager module von F5 ermöglicht dieses Tool DevOps- und AppDev-Teams eine performante, automatisierte und sichere API-Veröffentlichung in großem Umfang.

Um eine erweiterte Multi-Cloud-Konnektivität für Ihre verteilten Umgebungen bereitzustellen, trennen die Multi-Cloud-Netzwerklösungen von F5 Distributed Cloud die auf NetOps ausgerichteten Herausforderungen der Netzwerkinfrastruktur von der Anwendungsbereitstellung. DevOps-Teams müssen sich keine Gedanken mehr über IP-Adressüberschneidungen und komplexe Routing-Konfigurationen machen, sondern können sich stattdessen auf die Bereitstellung einer sofort einsatzbereiten Infrastruktur konzentrieren. Sehen Sie sich die F5 Distributed Cloud Services und Einsatzgebiete für NGINX im Testlauf an, um Ihre Multi-Cloud-Herausforderungen zu bewältigen.

3. API-Workloads in Kubernetes

F5 NGINX Ingress Controller ist eine Gesamtlösung aus Load Balancer, Cache, API-Gateway und WAF für Microservices in Kubernetes. Bei einer Verwendung in Kombination mit dem stets kostenlosen F5 NGINX Service Mesh haben DevOps-Teams die Kontrolle über die Entwicklung und Bereitstellung von APIs. NGINX Ingress Controller für NGINX Plus lässt sich in einer einzigen, einfach bereitzustellenden Konfiguration vollständig in NGINX App Protect integrieren, wodurch die Kosten und die Komplexität von Anwendungen in Produktionsqualität reduziert werden. NGINX Service Mesh wird verwendet, um Ost-West-Transparenz und mTLS-basierte Sicherheit für Workloads zu gewährleisten.

NGINX Ingress Controller für NGINX Plus lässt sich in NGINX Service Mesh integrieren und bietet eine einheitliche Datenebene mit Sicherheit, Funktionalität und Skalierbarkeit auf Produktionsniveau. NGINX Service Mesh ist leichtgewichtig und konzentriert sich auf die Verwaltung des Layer-7-Anwendungsdatenverkehrs innerhalb von Clustern und ist berührungsfrei, weshalb der Rest Ihres Tech-Stacks ohne Komplikationen funktionieren kann, wie vorgesehen.