F5：擴增安全基因，構筑數字安全新防線

王永

應用正在成為我們工作和生活不可或缺的一部分，無論是出行、支付、訂單、開會……這些都在用數字化的形式去取代傳統的消費。此時企業業務的開展，以及工作內容同樣也在發生著翻天覆地的變化，基于現代化應用的數字化轉型已然變成企業必須要做的一件事情。

然而對于企業來講，數字化轉型也并非易事。比較明顯的一個趨勢是，企業的應用數量進入爆炸式增長，IDC數據表明：從2019年到2025年，應用數量至少有5倍的增長，將達到48億。

隨之帶來的是，應用之間如何保持安全平衡的問題。因為每個應用與應用之間的調用關系，業務與業務之間訪問的關系都造成了某一個安全的缺失，或者某一個應用的故障或者安全被滲透，都會產生非常大的不良后果。如果應用出現緩慢、客戶訪問體驗下降，這對企業來說，都是致命的打擊。

另一方面，為更好地應對應用爆發式增長，一定需要有底層的架構來支撐應用的運行。所以為了能夠支撐應用快速的進行上線和發布，客戶在以前傳統用在數據中心層面的部署形式拓展到邊緣層，擴展到公有云、容器云，甚至擴展到CDN，快速的網絡交付等層面。此時，客戶安全架構的體系能否提供一致的安全防護能力，這是一個非常巨大的挑戰。

此外，隨著進入API經濟時代，對于企業來講，通過API的接口和第三方互聯，無論數據還是客戶的行為習慣，都可以通過API的方式進行獲取。有了API之后，因為技術在發生著變化，底層的通訊協議在API的發展過程中發揮的作用非常大：比如基于IoT，設備和設備之間要用MQTT的協議通過API接口進行互通；還有微服務之間采用gRPC的協議，通過API接口進行互通等。

也就是說，現有安全的防護能力是否能識別每一種API的傳輸協議，能否針對每一個安全API所提供出來的接口，實現可信、訪問控制確保一個應用或者一個企業的內部已經通過API接口被打得千瘡百孔之下，依然有一套特別好的防護體系，成為企業現代化應用轉型的又一挑戰。

“從IDC的報告中可以看到，IT的投資因為數字化的轉型在進行加速，每年以5%的速度在增長。其中安全投資的占比要遠遠大于IT投資的增長速度。” F5安全事業部總經理兼金融及企業事業部技術總監陳亮在接受筆者的采訪時表示，F5希望通過安全基因的擴增，以及整體架構的創新和服務，幫助客戶構筑數字安全新防線。

事實上，F5從1996年出生起就具備了安全基因。彼時F5采用全代理的模式，一邊接客戶，一邊接應用，所有的用戶之間傳遞的請求都要經過F5進行處理之后才會轉發給后臺的應用。后臺的應用返回的內容也會經過F5進行層層的檢查，對敏感的信息進行修改、隱藏，對于攻擊的行為都會進行及時的阻斷，保證用戶的請求來回之間的安全。

“成立之初的F5主要是解決兩個問題：一個是應用大爆炸，所有和應用相關，需要大流量、大并發、請求的場景；另一個是應用安全。”陳亮表示，從2004年開始主攻WAF領域，如今的F5已經成為基于Web應用安全、DDoS防護、機器人識別以及API安全四位一體的WAAP領域的領導者，而且多年創新和對產品的打磨，也使得F5能夠在軟件化、邊緣云，以及所有公有云、私有云等環境中，無處不在。

基于能力的創新，F5的安全基因有了大幅度的擴增：從應用交付廠商成為應用交付和應用安全雙一流的廠商；通過收購NGINX，讓F5整體的交付和安全，以及可靠性的能力拓展到各個應用前端，也使得F5從原來的關注核心應用變成所有的應用都可以依賴于F5+NGINX進行相應的覆蓋；部署從數據中心內部變成可以部署在私有云、公有云、容器云，甚至是邊緣云。采購的模型從原來永久的采購模型變成可訂閱的銷售模型，使得客戶在選用F5的時候更加的靈活，部署也更加靈活。

值得一提的是，2021年F5收購了一家威脅檢測公司Threat Stack，主要負責在云工作負載層面，也就是安全領域CWPP，即Cloud Workload Protection Platform。F5將這一能力整合在整體安全防護體系之內，使得在承載應用的環境，也有了相應的保護手段。網絡層F5具備DevOps防護墻、DevOps安全；數據傳輸層上面協議層面的合規性，F5也具備加解密能力；應用層針對于WAF、API、BOT或者SSL VPN的安全接入等，F5從工作的負載層，一直到網絡層、數據層、應用層，全棧的安全能力有了很好的提升。

“所有層面的安全技術，F5各個安全組件都可以用遙測的技術把所有的異常流量的信息傳遞給F5基于SaaS的服務平臺，通過人工智能和機器學習的手段分析遙測數據，做安全態勢感知的分析，告訴客戶是否存在攻擊的風險，而不簡簡單單只是做一個安全日志的傳送。”在陳亮看來，通過安全基因的擴增，F5能夠為客戶提供隨時隨地保護、交付、優化任何應用和API的能力，F5將其稱為“縱深防御、動態對抗”的安全架構。

縱深防御可以理解為，安全防護能力都可以部署在任何的位置，從用戶請求開始一直到后臺承載應用運行的每一個應用，或者API的接口，所有能力都是縱深部署。可以部署邊緣層、邊緣網絡、邊緣云，可以部署在客戶的網絡接入區，以及DMZ區或應用接入區，每一個層面都是縱深進行部署，層層進行防御。

動態對抗則可以在每一層面進行部署F5安全服務的組件，將其中發現的安全訪問的異常日志行為、異常的請求行為，以遙測的方式傳遞給”智慧的大腦“，進行人工智能、機器學習的分析。同時這個能力也可以和客戶所建的本地數據中心建立的智慧大腦平臺、大數據平臺、安全感知的平臺進行聯動，統一提供相應的安全態勢感知和安全服務。

總體來看，在整體的安全架構之下，F5可以為客戶提供八大價值：DNS安全，幫助客戶在多鏈路、兩地三中心以及多云多活的環境之下，基于F5的智能DNS做解析，引導客戶訪問不同的入口和中心；DDoS的安全、海量的攻擊，基于云SaaS服務的云清洗，在客戶本地建立清洗服務中心，把安全流量或者大量DDoS流量進行清洗；BOT的攻擊識別，介入大量的人工智能和機器學習的技術，真正的識別機器人；零信任接入，每個請求都會借助于零信任的理念，對身份進行校驗，行為進行分析，對身份所具備的權限進行授權管理，實現安全的接入的控制；提供安全即服務編排引擎，幫客戶將原有的安全網關設備從傳統一個“糖葫蘆串”的部署形式變成安全資源池化的部署形式；WAAP能力，集WAF WEB應用安全、DDoS、BOT防護以及API防護四位一體，成為F5具備為客戶提供應用層防護的整體能力；欺騙防御（蜜網），通過監控手段識別潛在風險；動態對抗，所有安全的組件通過遙測的技術分享給數據智慧的大腦，可以進行相應的分析。

寫在最后

在2023年，我們看到API技術被更多的企業使用，所以基于API的安全也變得尤其重要。

“對F5來講，我們將會在2023年主推API整體解決方案，以安全架構為基礎，針對于API安全可信訪問做大量的方案整合。”陳亮透露，無論是外部的API請求和內部的API調用，都可以從四個方面：接入控制、零信任訪問授權、網絡層面的安全以及應用層面的安全，一層一層的進行過濾，包括識別和防護，來保證享受API經濟的同時，保證每一筆API請求的安全性。