A questão não é mais se você está na nuvem, mas em quantas nuvens você está. A maioria das empresas hoje reconhece que não existe uma solução única para todos os tipos de nuvem e migrou para uma arquitetura híbrida ou multinuvem. De acordo com dados do relatório State of Application Strategy in 2023 da F5, 85% das empresas operam aplicativos com duas ou mais arquiteturas diferentes.
Para as equipes de desenvolvimento e API, isso cria muita pressão. Eles têm a tarefa de entregar APIs com segurança em escala em ambientes complexos e distribuídos. As conexões não são mais simplesmente entre clientes e serviços de backend – elas agora são entre aplicativos implantados em diferentes nuvens, regiões, data centers ou locais de ponta. Enquanto isso, cada API deve atender aos requisitos de segurança e conformidade da organização, independentemente de onde ela seja implantada e quais ferramentas sejam usadas para entregá-la e protegê-la.
Proteger APIs nesses ambientes altamente distribuídos requer um conjunto exclusivo de recursos e práticas recomendadas. Eu escrevi anteriormente sobre a importância de uma abordagem dupla para a segurança da API : “mudança para a esquerda” para construir a segurança desde o início e “blindagem para a direita” com um conjunto de práticas globais de gerenciamento de postura. Nesta postagem do blog, veremos como colocar essa estratégia em prática e, ao mesmo tempo, entregar APIs com segurança em ambientes de nuvem, locais e de ponta.
Arquiteturas híbridas e multi-nuvem têm muitas vantagens definitivas – especialmente em termos de agilidade, escalabilidade e resiliência. Mas eles acrescentam uma camada extra de complexidade. De fato, o relatório State of Application Strategy in 2023 da F5 mostrou como o aumento da complexidade é o desafio mais comum enfrentado pelas organizações atualmente. O segundo desafio mais comum? Aplicando segurança consistente.
O problema hoje é que algumas soluções de segurança, como certos WAFs , não têm o contexto e a proteção que as APIs precisam. Ao mesmo tempo, soluções de segurança de API dedicadas não têm a capacidade de criar e aplicar políticas para impedir ataques. Você precisa de uma solução que trate sua arquitetura e tecnologia como uma pilha interconectada que abrange descoberta, observabilidade, gerenciamento e aplicação.
Na prática, a segurança da API precisa ser incorporada em três níveis para fornecer proteção à medida que o tráfego da API atravessa pontos críticos de infraestrutura:
A arquitetura de referência abaixo fornece uma visão geral de como o F5 Distributed Cloud Services e o F5 NGINX trabalham juntos para fornecer proteção abrangente de API em arquiteturas híbridas e de várias nuvens:
Nesta arquitetura de referência, o F5 Distributed Cloud fornece um nível global de proteção em implantações de borda, nuvem e locais. O NGINX Plus com NGINX App Protect WAF fornece proteção detalhada na camada do site e/ou do aplicativo, integrando-se aos ciclos de vida de desenvolvimento de software para reforçar a segurança em tempo de execução.
Vamos dar uma olhada nas proteções de segurança fornecidas por cada componente desta arquitetura.
Para começar, o tráfego de API de clientes públicos passa pelo F5 Distributed Cloud Web Application and API Protection (WAAP) , que é implantado na borda. Mais importante ainda, isso fornece proteção global contra ataques DDoS , abuso de bots e outras explorações. Ele também fornece visibilidade global importante sobre o tráfego de API que entra em diferentes nuvens, data centers locais e implantações de ponta.
O tráfego de API está aumentando rapidamente e a maioria dos ataques de API se desenvolve lentamente ao longo de semanas ou até meses. Encontrar tráfego malicioso no meio do fluxo de solicitações e respostas regulares de API pode ser como encontrar uma agulha no palheiro. Para resolver esse problema, a F5 Distributed Cloud usa inteligência artificial (IA) e aprendizado de máquina (ML) para gerar insights sobre o tráfego de API, incluindo descoberta de API, mapeamento de endpoint e aprendizado e detecção ativos de anomalias que podem representar ameaças emergentes.
Atuando como a camada global de segurança de aplicativos e APIs, o F5 Distributed Cloud WAAP oferece os seguintes benefícios:
Para começar a usar o F5 Distributed Cloud WAAP, você pode solicitar uma avaliação empresarial gratuita do F5 Distributed Cloud Services , que inclui segurança de API, defesa de bots, computação de ponta e rede multinuvem.
Depois que o tráfego da API flui pela camada global, ele chega à camada do site e/ou às camadas do aplicativo. Embora a camada global seja normalmente gerenciada por equipes de segurança e rede de TI, APIs individuais na camada do site e na camada do aplicativo são criadas e gerenciadas por equipes de engenharia de software.
Quando se trata de controle de acesso, um gateway de API é uma escolha comum porque permite que os desenvolvedores descarreguem alguns dos requisitos de segurança mais comuns para uma camada de infraestrutura compartilhada acima do aplicativo. Isso reduz esforços duplicados (por exemplo, fazer com que cada desenvolvedor ou equipe crie seu próprio serviço de autenticação e autorização).
O F5 NGINX Management Suite API Connectivity Manager permite que equipes de engenharia de plataforma e DevOps forneçam acesso à infraestrutura compartilhada, como gateways de API e portais de desenvolvedores, sem exigir que os desenvolvedores preencham tíquetes de solicitação e outros sistemas complicados.
Com o API Connectivity Manager, você pode definir políticas de segurança para configurar o NGINX Plus como um gateway de API e configurar e monitorar as políticas do NGINX App Protect WAF. Juntos, eles fornecem proteção crítica de tempo de execução de API, incluindo a capacidade de:
Você pode iniciar uma avaliação gratuita de 30 dias do NGINX API Connectivity Stack para acessar o NGINX Management Suite e seus módulos API Connectivity Manager, Instance Manager e Security Monitoring, além do NGINX Plus como um gateway de API e do NGINX App Protect para proteção WAF e DoS.
O NGINX oferece excelente proteção de tempo de execução em ambientes de data center na nuvem e no local. Quando combinado com o F5 Distributed Cloud, as equipes de segurança e engenharia de plataforma ganham visibilidade contínua dos endpoints das APIs, independentemente de onde os aplicativos associados são implantados. Juntos, o F5 Distributed Cloud e o NGINX oferecem flexibilidade completa para criar e proteger sua arquitetura da maneira que você precisar.
"Esta postagem do blog pode fazer referência a produtos que não estão mais disponíveis e/ou não têm mais suporte. Para obter as informações mais atualizadas sobre os produtos e soluções F5 NGINX disponíveis, explore nossa família de produtos NGINX . O NGINX agora faz parte do F5. Todos os links anteriores do NGINX.com redirecionarão para conteúdo semelhante do NGINX no F5.com."