AI时代的API安全 Akamai这样守护

2023-10-12 14:21:48 [ 中关村在线原创 ] 作者：十一

时至今日，数据已经成为了信息时代最为重要的基础性战略资源，在推动社会发展，改善民生等方面发挥着重要作用，不过随着数据量的爆发式增长，随之而来的数据安全却成为了企业数字化转型过程中的最大阻碍。其中一个相当重要的因素便是API安全。

伴随互联网应用的领域越发宽广，人们对API的依赖也越来越巨大，事实上，API技术已经逐渐成为现代数字业务的环境的基本组成部分，在API接口的赋能之下，企业得以通过极低的成本实现数据流通，连接场景与供应商，并实现数据价值的最大化输出。根据早些时候Akamai的相关统计，API请求已占所有应用请求的83%，因此，针对API的网络攻击也逐渐成为了攻击者的首选目标。

Akamai执行副总裁兼CTO Robert Blumofe

“多年以来Akamai一直在从事保护客户的网站，包括客户的网络应用，这是Akamai的主要业务，Web防火墙也是我们的一个主要产品，但是现如今越来越多的Web应用都是通过API来实现的，包括前后端的通信、不同微服务之间的通信等等。对一家企业而言，可能有上百甚至上千个API部署在整个业务当中，如果这些API没有得到妥善防护的话，就很容易受到网络罪犯的入侵和攻击，从而让犯罪分子能够访问企业的敏感信息或者入侵到企业的业务中去。”Akamai执行副总裁兼CTO Robert Blumofe在接受采访时表示。

针对API防护，Akamai一直以来都在强调提高API的可视性，一家企业可能有成百上千的API，但很多企业甚至都不知道自己有数量如此众多的API，同时由于这些企业缺乏工具来监测API的使用，自然就没有能力了解API是否得到了合法使用，以及是否受到了攻击。

“最近Akamai收购了Neosec公司，我们也向市场推出了Neosec API安全解决方案，通过这个解决方案，我们的客户可以实时看到他们公司所拥有的API的使用情况，并在API被滥用时向他们提出警报。”Robert Blumofe补充道。

此外，现如今越来越多的系统和应用都采用了第三方的开源插件和软件，但由于这些第三方的开源插件或多或少都存在一些安全问题，也为企业的平稳运行带来了风险，针对这一情况，Akamai也有很多针对第三方“库”的产品来实现可视性以及提供保护。其中通过API接入的产品，可以通过API防护产品API Protection来加以保护；而通过网页整合，特别是在客户端的JAVA脚本则能通过Page Integrity Manager产品提供相应的防护。

但对整个网络安全领域而言，攻防两方的“猫鼠游戏”在信息技术的升级之下也产生了一些变化，在更早之前的网络犯罪其实更倾向于单打独斗的黑客行为，这些人往往是为了凸显自己的能力或者传播自己对互联网自由的观点。但最近五年来，网络犯罪则呈现出了组织化、自动化的特点，这些新崛起的网络犯罪分子进攻的目的几乎全是为了金钱，而且能力强，工具好，攻击手段更为有效，规模也更大，其中一个很典型的例子就是近年来盛行的“勒索软件”，作为防守方，需要充分了解攻击方所采用的技术手段和工具，这样才能够通过相应的防护能力减缓或抵御他们的攻击。

然而，这样就够了吗？

答案是否定的，在网络安全这件事上，防守方往往处于被动，特别是最近两年来生成式AI的崛起，一方面可以有效提高企业效率、完成创意工作，并最终改善整体业务表现，但另一方面也成为了网络犯罪分子手中的利剑，事实上，由AI驱动的网络攻击也确实在最近两年来得到了快速发展，这种能力上的不对等实际上让网络攻击方拥有了更多的主动权，例如以极低成本大量生成钓鱼邮件、恶意软件等等。而对防守方来说，在评估网络防护手段的时候也一定要关注现有的措施是否能有效地抵御由AI驱动的新型攻击。

“AI本身是偏中立的，不合理的使用会让它成为犯罪分子手中的武器，而合理的使用也同样能让其成为企业安全防护的盾牌，Akamai的产品组合使用深度学习的技术已经有好几年的时间了，例如Akamai Bot Manager就是一个典型的代表，其通过深度学习实现了流量分类的作用，将流量分成‘恶意’和‘非恶意’的流量，包括区分是正常流量还是异常流量，以及区分是真实人类产生的流量还是机器人程序Bot产生的流量。”Robert Blumofe总结道。

作为一个能在边缘侧有效检测爬虫程序流量并抵御恶意爬虫程序的解决方案，Akamai Bot Manager可以让企业更加安全有效地运行自动化操作，提高客户对整个生态系统的信任度，此外Akamai Bot Manager还提供了可视化和报告工具，客户可以查看各种类型的爬虫程序对其业务和基础架构造成的影响。不但如此，由于Akamai Bot Manager将多项技术和一个可供查看边缘处流量的AI框架实现了结合，因此可以针对每个请求给出爬虫程序评分，企业的IT团队可以自定义如何管理良性和恶意爬虫程序，并对后者予以打击，对企业来说，该解决方案可以有效拖慢爬虫程序攻击速度并抬高攻击者的成本。

从防御的角度来看，Akamai的网络安全产品组合遵循的方法论还是从可视性出发的，像Akamai Bot Manager这样的产品，本质上是提升企业自身对API的可视性，从而抵御由AI驱动的威胁，与此同时，作为防御方，也有阻断入侵方对企业可视性的需求，这实际上也是以“微分段”产品Akamai Guardicore Segmentation为代表的Akamai网络安全产品能够实现的目标。具体来说，通过Akamai Guardicore Segmentation，企业可以看到自身所拥有的资产以及不同资产之间的通信情况，并轻松获得覆盖全域环境的可视化图谱，洞见特定时间范围内全部工作负载和端点间的依赖关系，以微分段的策略减少攻击方的可视性。

这里也简单说明一下，微分段技术的核心在于将风险隔离开来，避免其影响到其他的“分段”，通过“分段”可以组织攻击者从系统跃迁到下一个系统，以阻止恶意软件/勒索软件的扩散，这与造船工业中为船体设计多个互不相通的防水舱来实现隔离，以避免船体破损或者遇到洪水的意外状况的做法十分类似，微分段技术对允许的访问进行了最大程度的限制，一旦有安全事件发生，也不会造成大面积的瘫痪。

不过对Akamai来说，通过技术手段和解决方案为企业提供保护只是个开始，过去这些年，越来越多的国内企业借着爆发增长的红利登上了国际市场的舞台，但也遭遇了竞争加剧、地缘环境复杂、安全合规风险等一系列问题，而这也是Akamai所关注的重点之一。

Akamai副总裁暨大中华区总经理李昇

“在过去的十几年，Akamai实际上见证了中国企业出海的不同阶段，在早些时候，只有非常少的特定行业公司会有主动出海的意识，且主要集中在游戏行业，到了现阶段，电商、泛娱乐、视频等越来越多的行业都选择通过出海扩展业务，这对我们而言是机会也是挑战。”Akamai副总裁暨大中华区总经理李昇在接受采访时表示。

事实上，中国企业在出海的不同阶段，对技术的关注度也有所不同，在早期多数企业会更加关注网络性能和内容分发的性能，这恰好也是Akamai所擅长的，通过Akamai在CDN网络分发方面的丰富经验，企业可以获得更高的网络性能。

而到了出海的第二阶段，企业就会更加关注自身的盈利能力，因此对业务的安全性和可持续发展方面的关注度也会更高。由于海外市场环境与国内有很大不同，来自互联网的攻击方往往更加具有组织性，且工具丰富，手段复杂，会通过DDoS攻击、撞库攻击等方式对企业网站进行攻击或者偷取用户数据等等。

在这种情况下之下，企业就更需要像Akamai这样的专业平台来为自身提供各个层面的保护，涵盖基础设施、应用层以及反欺诈应用等层面的全方位保护。“客户越来越多希望听Akamai在安全方面的一些分享，而并不在对于我们之前在内容交互、性能优化方面的优化，即便这也是我们的核心业务之一，但实际上经过一段时间的沉淀，客户在这方面的能力已经相当成熟了，他们更多地希望我们能在安全保护方面给他们进行分享。”李昇总结道。

事实上，在Akamai服务中国企业的这些年里，正在通过不断强化云边端协同能力来强化对出海企业的安全防护，并针对Web与API攻击、DDoS与基础设施攻击、恶意僵尸网络攻击、网络钓鱼攻击和恶意软件攻击等攻击方式为客户提供了一系列安全解决方案。

不但如此，目前Akamai有超过3000名工程师的专业服务团队，可以为出海企业提供专业的“专家视角”，使得用户或者Akamai的服务团队第一时间掌握精确的信息，并且为决策提供依据。

“在防御的技术能力之外，全球化的平台能力是我们能够为中国企业提供高质量安全服务的重要因素，因为我们的防护能力是在全球化的平台上面都能够启用的，所以当中国品牌‘出海’的时候，防护的第一站就是离攻击者最近的地方，这也是我们全球分布的基础架构所带来的优势。”李昇在最后表示。