F5数字图书馆|F5 API安全网关之安全篇
2019-10-23 17:54:00
郑蕾
好书推荐：
《F5 API 安全网关》
作者介绍：
林健
F5 Networks 资深技术专家，职业生涯前期从事系统开发数据库调优，应用交付领域相关工作12年，获得F5 101-304全系列产品认证证书。林健具备丰富编程以及软件化相关知识，主持过Ansible/K8S/Spring/BIG-IQ等多个F5内部专题小组，成功帮助客户实施基于F5产品的应用多中心部署方案，多容器集群解决方案，公有云入口安全解决方案。林健致力于部署创新性项目，充分发挥F5的产品优势打造下一代软件定义的基础架构和应用架构。
徐世豪
F5 Networks 资深安全专家，从事应用交付领域相关工作九年，专注于为国内银行业客户提供应用交付及安全架构的咨询与设计，曾参与到多起安全事件的对抗工作中。针对DDoS攻防，机器人攻防、WEB应用安全及业界安全趋势等方向有深入了解，并基于F5安全产品特性与理念为客户提供完整的一体化WEB应用安全解决方案。
本书适合阅读人群：
CIO，开发架构师，PaaS架构师，API管理系统开发人员，安全工程师，面向转型的数据中心网络运维人员等。
本书特色：
本书非系统化的向读者阐述了API生态环境、构成组件及功能特性，使读者对API管理系统以及API网关可以有清晰的了解，同时也阐述了F5 软件以及硬件产品在API系统中的角色，详细描述F5作为API网关的各功能实现以及特色，为客户通过F5实现API Gateway提供指导。
目录：
本书共分6期，会不定期在“F5数字图书馆”社群发布。
“第三篇：API网关之安全篇”
从安全加固的功能维度来看，主要可以分为以下几方面：
银行业的API请求方通常为银行的分行系统，第三方合作伙伴，第三方支付、代理机构，开放式多渠道交费、银行间合作、恶意攻击者、暴力破解源等。
API交互的数据传输必须通过SSL加密，确保整条通路的保密性。裸露的传输往往会造成敏感数据的泄露。
防御系统需要鉴别API请求源的合法性，判断其为合法终端还是恶意机器人。恶意机器人（BOT）往往发起的API请求攻击，会大幅的消耗API网关的服务资源，从而对正常的API业务请求造成影响，例如API网关服务响应延时的增大，API网关设备的CPU消耗增高，带宽的过度消耗等威胁。
对于API请求方进行认证、签名与访问资源授权。API网关需要与内部的认证服务系统相结合，实现请求方合法性的校验与权限控制。
API请求的报文体通常以JSON，XML的数据格式编写。防御体系需要能够检测出混杂在API正常请求报文体中的一些应用层攻击，例如SQL注入、跨站伪造等攻击。同时实现对访问资源的方式控制，例如部分API接口只允许对访问资源的查询操作，部分API接口不允许对访问资源进行修改操作等。
与实际业务相关，由应用部门开发相关API的业务逻辑，实现相关业务资源的对外开放。
在整个业务流量交互过程中，特殊的敏感信息需要被加密或打码，例如身份证号，部分姓名，银行卡号，交易号等等，以减少敏感信息的对外暴露。
对于API请求，考虑到API网关和系统的处理能力，需要对API请求做一定的限流。此类场景可以用于缓解基于API的DDoS攻击，有效防止API网关和系统的资源消耗在无意义或恶意的API请求上。
API攻击防御系统需要具备将所有威胁日志转发至统一分析平台的能力，例如大数据分析平台，结合业务与应用部门的数据，实现对整个API开放业务的统一监控与威胁梳理，以达到快速风控的目的。
从攻击的角度来看，API网关的安全加固架构与传统应用的安全加固架构类似，可以分为以下几层：
* 端口与IP限制：通过防火墙的策略来限制对外开放的IP和端口，减少API网关可被探测的端口，避免攻击者利用非业务端口的漏洞攻击API网关系统。
* 网络层DDoS防御：利用网络层DDoS防护设备实现对TCP、UDP、ICMP、分片攻击等DDoS威胁的防御，实现对API网关入口的网络流量清洗效果。
* API网关的高可用性保证：部署负载均衡设备，为API业务提供统一的入口和流量代理，为API网关提供横向扩展的能力。同时有效隐藏了API网关的网络架构，提高安全性。
* SSL传输加解密：负载均衡设备除了提供API网关的高可用性之外，还需要能够对加解密流量进行处理，对入向流量进行解密，对出向流量加密，以降低SSL加解密对API网关的性能消耗。同时，负载均衡设备在处理SSL加密流量时，需要能够抵御针对SSL的攻击，例如重协商攻击，SSL泛洪等，并通过对SSL加密算法的限制，来屏蔽弱加密算法，有效提高加密通道的安全性。
* 机器人攻击：目前互联网上50%以上的流量产生于机器人BOT，机器人可以模拟正常的业务请求来访问系统，造成API网关系统的资源消耗在无意义的请求上。当大量机器人模拟正常的业务访问来请求API网关时，这种应用层DDoS攻击会对API网关带来巨大的性能开销，导致API网关系统的不可用。故在应用层，需要部署WAF类产品，来识别和防御机器人攻击行为，降低机器人攻击对API网关带来的攻击威胁。
* 漏洞类攻击：WAF类产品除了对机器人攻击进行防御以外，还需要能够识别针对应用系统的漏洞攻击，例如注入类攻击，跨站类攻击，扫描探测类攻击等等，在处理攻击的同时，WAF需要检测API内容，发现嵌入在API Payload中的攻击代码。部署在API网关前的WAF需要具备可编程能力，实现零日攻击的快速防御。
在访问API资源之前需要对请求方进行身份认证和授权，认证系统在认证和授权方面需要支持目前广泛应用的SAML，OAuth，OpenID Connect体系框架，在资源访问凭证的加固上，考虑使用JWT (JSON Web Token)，使得API资源访问的交互过程中，从安全角度以确保凭证数据的完整性。
关于F5 API加固解决方案，主要涉及：AFM高级防火墙模块、LTM负载均衡模块、SSLO 加解密流量编排模块、AWAF 高级应用层防护模块、APM 认证授权策略管理模块、HSL高速日志引擎。本文会谈及AWAF应用层防护相关的内容：
*针对API的防护，首先需要了解数据和API应用的结构，F5 AWAF 支持将OpenAPI及Swagger配置文件导入，根据配置文件自动生成路径策略，并按不同的API路径提供不同深度的保护。通过向导式配置方法，极大提高了防护部署的便捷性。
*协议内容检查：通过对XML，JSON报文体的识别，检查报文格式中存在的安全隐患和攻击特征，例如报文体长度限制，特殊字符的滥用，多次编码，参数错误，恶意代码上传等。
*访问方式限定：限定API接口的访问方法（例如只允许GET，POST ，不允许其他访问方法），阻断非正常的访问方式，可降低API本身漏洞被利用的概率。
*扫描阻断：阻断攻击者对API网关漏洞的扫描，提高API网关的安全性，降低应用服务的暴露面。
*暴力破解防护：此类攻击会对API网关的性能产生巨大的消耗，让大量的资源消耗在鉴权上。AWAF高级应用层防护模块可以自动学习AJAX登录页面，根据预先设定的访问阈值策略进行自动的暴力破解防护。
*敏感数据泄露：支持自定义数据的隐藏，有效保护数据的私密性。
*机器人防御：基于多个维度进行机器人的防护，通过机器人特征库，快速屏蔽恶意机器人攻击；对于API接口，AWAF利用X-Security-Update-URL报文头将JavaScript脚本插入到API应用返回的第一个回复报文中，后续通过X-Security-Request判断其API访问是请求的合法性。在整个API访问的过程中，AWAF会持续递进通过中地检测API交互，确保机器人BOT无法绕过检测，使得API网关不被机器人攻击所影响。
*应用层DDoS攻击防护：API DDoS攻击通常模拟正常的API访问流程，瞄准消耗API网关性能较高的资源进行攻击，从而达到使API网关瘫痪，业务中断的目的。AWAF防护模块可以通过多个维度来检测API DDoS攻击，通过Java script来有效控制API的访问频率，达到降低DDoS攻击影响的目的。同时，AWAF还会基于API网关返回的延迟情况来判断API网关是否存在异常，网络中是否存在攻击。当API网关返回的延迟高于设定的阈值时，AWAF模块会主动介入，对流量进行主动检测和攻击的防护。
*IP地址信誉库防护：API DDoS攻击也存在一种利用大量离散IP以低频的形式攻击API网关，从而起到绕过防护设备针对每秒请求数限制的防护手段的效果。AWAF防护模块可以提供IP地址信誉库功能，与第三方威胁情报组织合作，实时更新IP信誉库，对于此类低频的DDoS攻击，可以起到良好的防护作用。目前IP地址信誉库容纳了多种恶意地址库分类，例如匿名代理，恶意代理，SPAM，钓鱼网络，僵尸网络等等。一旦访问IP来源包含在这些地址分类中，会直接被阻断。
*新建API接口防护策略的灵活调用：如今的API接口开发遵循持续迭代，持续交付的体系，并不断对应用框架做优化和开发模板的统一，从而可以实现应用的快速、灰度发布，敏捷发版与回收。传统的安全运维方式，在策略部署方式难以跟上应用开发的步伐。这就对应用安全类产品能否嵌入到开发流程中，完成安全策略的自动下发，测试并配合应用发版提出了要求。F5 AWAF 产品具备AS3模块，提供声明式模板，以模板的形式完成安全策略的调用。安全运维人员可以将API应用分类，按不同类型制定防御策略的模板，API应用在开发流程中可通过AS3模块自动调用AWAF上相关的防御策略模板，从而实现安全部署与业务发布效率的并行。
后记：
估计你们会问，为什么要来F5数字图书馆看书？
经典的书，你买过的书，也许很多很多，你看完并且吃透的书呢？
也许有优秀的“书”我们还没好好读，也许我们有好多的书想分享却找不到那个对的人，也许阅读时有深深的困惑却无人能解答……
来F5书架吧，利用你的碎片时间，丰富大脑，提升技术，充实灵魂。这里你不仅仅能看书，还能答疑解惑，还可以和志同道合的朋友高谈阔论，还可以互相切磋获得灵感……
发布评论 加入社群
刘京玲
2019-11-16 10:28:22
1
好书值得拥有
刘京玲
2019-11-18 14:21:43
1
相关文章
F5数字图书馆|F5 API安全网关之认证篇
郑蕾
2019-10-23 17:16:57 
1160
F5数字图书馆 | F5 API 安全网关
郑蕾
2019-10-23 15:41:10 1559
F5数字图书馆 | 从传统ADC迈向Cloud Native ADC - 第五篇F5/NGINX与云原生之PaaS平台暴露
郑蕾
2019-10-23 14:29:07 1720
回复评论
发布评论