聚焦现代化应用安全，F5 的安全扩增，稳了！

数字经济时代，是一个数字化加速转型的时代，同时也是一个应用爆炸的时代。IDC 相关数据显示，应用的数量从 2019 年到 2025 年至少有 5 倍的增长，在 2025 年将达到 48 亿。

应用数量的迅猛增长，其背后是安全的隐忧，包括应用本身的安全问题，如何确保应用的用户体验，用户现有安全架构如何适应现代化应用防护需求，以及 API 安全。

应用无处不在，安全不可缺席

以上四个问题直接关乎现代化应用的普及和用户的体验，甚至关系到企业数字化转型成功与否。

具体来说，当前有许多热点威胁，例如供应链安全、零日漏洞、数据泄露等，都给数字化转型，特别是现代化应用，带来严峻挑战。

F5 在 2023 年将面临的五大网络安全威胁中指出，开源软件库将成为攻击的主要目标。开源软件的不安全性，也使得软件供应链安全问题变得尤为突出，同时也为应用开发的发展带来新挑战。与此同时，Log4j 漏洞事件的爆发也再次凸显了零日漏洞带来的巨大危害，如何应对高危漏洞特别是零日漏洞，成为迫切挑战。而近年来数据泄露事件频发，同样给企业带来严重危害。IBM 发布的《2022 年数据泄露成本报告》显示，数据泄露的平均成本创下 435 万美元的历史新高，83％受访组织已经不是第一次发生数据泄露事件。

不仅如此，随着应用数量的增长，API 作为连接和调用服务的基本功能，也正成为攻击者重点“光顾”的目标。相关数据显示，相比 2019 年，2020 年 API 流量同比增长 2.8 倍，44%的企业正在建造和维护 100 个或更多的 API。而 2021 年上半年，整体 API 流量增长了 141%，API 攻击流量则增长了 348%，针对 API 的攻击流量正在以普通 API 流量的 3 倍速度增长。

另一方面，应用不仅需要安全，更需要稳定地提供服务，任何的访问缓慢甚至不可访问，都将使得客户访问体验下降，同样能给企业业务带来严重损害。

F5 安全事业部总经理兼金融及企业事业部技术总监陈亮表示，安全就是企业的生命线，是不可逾越的鸿沟，一旦发生安全事件，对于企业业务将是致命的打击。

因此，对于无处不在的现代化应用而言，如何保障其安全性，特别是提供一致的安全防护能力，更是摆在企业面前的难题。

让安全基因更广更深，F5 的“纵深防御、动态对抗”安全架构

数字化转型在加速，IT 投资也在水涨船高。为构筑企业数字安全防线，对于安全的投入势必也要增加。IDC 统计数据表明，企业在安全方面的支出在 2020—2025 年平均每年以 9%的速度增长，高于年均增速 5%的 IT 投资部分。

可以看出，安全已经逐渐成为融入企业发展“血液”中的“必需品”，而非“营养品”。而对于以应用交付起家的 F5 来说，安全是与生俱来的能力。自 1996 年成立以来，F5 通过全代理的模式连接客户与应用，在解决连接的性能问题和应用体验问题的同时，所有内容请求及返回内容都会经过 F5 进行层层检查，并对攻击行为进行及时阻断，以确保用户访问的安全。“所以说，安全一直以来就是 F5 的内在基因。” 陈亮形容。

如今，在应用大爆炸背景下，安全问题进一步凸显。F5 更上一层楼，从最初的关注性能问题转变为解决应用安全问题，为用户提供基于 Web 应用安全、DDoS 防护、机器人识别以及 API 安全四位一体的 WAAP 解决方案。四位一体的 WAAP 真正实现了网络层、数据层到应用层的安全串联，让 F5 安全基因有了大幅度扩增，从而形成全栈的安全防护能力。

特别是随着 API 技术的深入发展，以及现代化应用对于企业业务发展重要性的提升，API 经济驱动业务转型的作用日益显现。如今，基于 API 的安全问题变得越来越突出，Postman 发布的 API 状况报告显示，48%的调查对象承认每月要处理至少一次 API 安全事件。而 API 防护手段却相对不足，时至今日，许多企业没有准确的 API 库存清单而导致大量影子 API 的产生。F5 认为，影子 API 代表了一种日益增长的风险，可能会导致大规模数据泄露，而受到侵害的组织甚至不知道这种风险的存在。

针对 API 安全风险，F5 在扩增的安全基因加持下，通过四位一体的 WAAP 解决方案，不管是 API 调用、部署位置的变化还是 API 传输协议的变化，都能做到精准地识别和发现，有效避免影子 API 的产生。

陈亮表示：“安全基因的扩增对于 F5 来说有着非常大的现实意义：一是让 F5 在客户心目中从原来应用交付的 No.1，变成应用交付和应用安全双一流的厂商；二是安全防护能力得到了极大扩展，从工作负载层，到网络层、数据层和应用层，全栈安全能力得到大大提升。”

而从更大的层面来看，F5 已形成“纵深防御、动态对抗”的整体安全架构，保护每一次访问，保卫每一个入口，保障每一个应用。该架构为用户带来八大价值：DNS 安全、DDoS 安全、BOT 安全、零信任接入、安全即服务编排引擎、WAAP、欺骗防御（蜜网）、动态对抗。

DNS 安全包括外网 DNS 安全、内网 DNS 安全和云原生 DNS 安全，通过智能 DNS 解析为用户提供安全保障；DDoS 安全防护方面，F5 拥有基于云 SaaS 服务的云清洗，也可以在客户本地建立清洗的服务中心，将安全流量或 DDoS 流量进行清洗；BOT 安全通过人工智能和机器学习的技术来识别机器人攻击，在发现异常行为时及时进行阻断；零信任接入是将零信任的理念融入到 F5 的解决方案，对每一个请求进行身份校验和授权管理，以实现安全接入控制；安全即服务编排引擎是帮客户将原有的安全网关设备以一个“糖葫芦串”的部署形式变成一种实化的部署形式，以实现安全设备的异构；WAAP 如前所述，是基于 Web 安全、DDoS 防护、BOT 防护以及 API 安全四位一体的解决方案，可以是云部署或是本地化部署；欺骗防御通过蜜罐技术来识别潜在的风险；在动态对抗方面，将所有的安全组件通过遥测技术分享给数据智慧大脑，来进行分析，可动态调整安全策略。

随着应用场景的不断丰富，在不同场景下实现同等的安全效果也变得尤为重要。因此，实现一致性的安全能力成为用户关注和选择供应商的关键点。

陈亮介绍，如今的企业往往采用云架构进行更为敏捷的业务开发和部署，当由传统本地架构转向云环境时，以及在不同云环境，例如公有云、私有云或容器云时，安全能力是否能够如影相随？安全策略是否能够达到一致性？例如 API 防护在本地部署的效果在转向云上后是否能达到一致？这些都是安全建设极为重要的方面。

客户希望应用无论在哪里，都能有一致的安全访问。F5 高度重视为用户提供一致的安全能力，而通过 F5“纵深防御、动态对抗”的整体安全架构，可以帮助用户实现不同场景下全栈的应用安全防护能力。

陈亮表示，“纵深防御”意为着安全防护能力可以部署在任何位置，不管是本地、边缘网络还是云；“动态对抗”则是将发现的异常行为以遥测的方式传输给智慧大脑进行人工智能分析研判，进而进行处置。这是一个整体架构，能够为用户提供一致的安全防护能力。

在安全能力不断拓展之下，F5 迎来新一轮的高速发展期。2022 年，F5 全球安全营收表现优异，达到 10 亿美元。可喜成绩的背后离不开对安全基因的扩增而打造的整体安全架构，这些安全能力将帮助 F5 在护航用户数字化转型的道路上行稳致远。

面对不断涌现的新的攻击面，F5 以应用为中心，构筑数字安全新防线，随时随地保护、交付、优化任何应用和 API，助力企业安全拥抱现代化应用。