Kong Inc.：实现可扩展API与服务保护的5大策略

在手术机器人、智能冰箱、自动驾驶汽车和无人驾驶飞行器的时代，连接已成为现代世界的核心基础。随着我们迈入21世纪20年代，这种连接涵盖了5G网络、边缘计算和物联网（IoT）等新兴技术。这种连通性不仅让资源获取更加便捷，也通过连接孤立系统为创新提供了更多可能性。它是数字化转型的驱动力，为智慧城市和工业4.0等领域提供了技术支持。

互联互通的重要性日益增加

随着连接成为现代生活的关键，“万物互联”这一概念不仅推动了技术进步，也成为网络攻击的主要目标。攻击面迅速扩大，每个连接的设备都可能成为恶意行为的入口点。攻击者通过复杂的网络攻击谋取金钱利益、窃取知识产权，甚至获取地缘政治优势。

近期的网络攻击事件表明了其潜在危害：

机密信息泄露
数据和生产力损失
直接物理损害
关键基础设施中断
针对医疗系统的勒索软件攻击
供应链安全妥协

例如，2020年的SolarWinds攻击和2021年的Colonial Pipeline勒索事件清楚地展示了这些攻击的严重性。此外，人工智能驱动的网络威胁进一步加剧了安全挑战，使得实施强有力的安全措施变得尤为重要。

保护互联系统的安全对于社会的持续性和稳定性至关重要。随着技术的深入应用，网络安全的重要性不容忽视。

了解连接安全

近年来，随着连接系统的激增，API和系统之间的连接数量呈现爆炸式增长。微服务架构、容器化和云原生技术的普及进一步推动了这一趋势。确保连接安全不仅需要保护暴露在边缘的微服务（即API），还需要保障应用程序之间以及应用程序内部服务之间的连接安全。

在现代架构中，网络边界的复杂性和普遍性使得多层次的安全策略成为必需。这种策略通常被称为“深度防御”，是抵御复杂网络威胁的关键。

零信任模型

零信任安全模式近年来备受关注，其核心原则是“永不信任，始终验证”。无论用户或设备是否在网络边界内，均需通过严格的身份验证。

在连接安全中实施零信任原则包括以下关键步骤：

在授予访问权限前验证身份和设备健康状况。
实现最小权限访问，限制用户和设备的权限范围。
通过网络微分段减少潜在攻击面。
持续监测和验证，确保实时安全。

可观察性的作用

了解应用程序内部、组织内部及外围的所有连接是识别潜在攻击面的第一步。可观察性在分布式和异构环境中保护连接方面发挥了重要作用。

现代可观察性超越了传统监控，提供了复杂系统行为的深入洞察，主要包括以下三大支柱：

指标：量化系统性能的关键数据。
日志：记录系统内的详细事件。
痕迹：追踪请求在系统中的流动路径。

通过这些数据，组织可以更全面地了解系统运行状况并快速识别潜在问题。

确保大规模连接

确保大规模连接需要有计划的战略方法。以下是一个可循环应用的高级模型：

获得全面可见性：通过实施强大的可观察性实践，了解跨服务、团队和环境的性能、安全性和配置情况。这包括利用人工智能和机器学习进行异常检测和预测分析。
确保一致性：通过细粒度的流量和安全策略，确保分布式服务之间的一致性。这可能涉及服务网格技术和GitOps实践的应用。
编码治理：通过基于角色的访问控制（RBAC）和“策略即代码”方法，将治理嵌入到开发和运营流程中，确保安全和合规要求得到一致执行。
持续改进：根据新威胁、技术和业务需求，定期审查并更新安全措施。

通过自动化配置更改的跟踪和审计，这些步骤有助于更快地发现和解决安全问题，同时通过流量监控及时识别潜在威胁。

5种可扩展的安全连接模式

以下是组织可以实施的五种架构模式，以实现大规模的安全连接。这些模式从简单到复杂，适用于不同的业务需求。

模式#1：实现API网关

风险：API因策略执行不一致而暴露。

在许多组织中，尤其是API管理处于初期阶段时，API的安全性可能存在不一致性。这种漏洞为攻击者提供了可乘之机。

解决方案：通过API网关统一API保护策略。API网关作为反向代理，集中路由所有API流量，并一致应用安全策略。

优势：

集中化的策略执行
简化的监控和分析
更容易实施速率限制和身份验证等安全措施

模式#2：采用APIOps

风险：多个API网关导致策略执行不一致。

随着组织规模扩大，多个API网关的使用可能导致配置和安全策略的不一致。

解决方案：采用APIOps实践。APIOps是DevOps原则在API管理中的延伸，确保所有网关上的标准和控制一致。

优势：

自动化API测试和验证
一致的文档生成
简化开发人员入职流程
性能优化
API配置的版本控制

通过实施APIOps，组织可以在API环境不断变化的情况下，保持安全性和一致性。

通过以上策略和模式，组织可以有效应对现代连接环境中的安全挑战，确保API和服务的可扩展性与安全性。

原文链接: https://konghq.com/blog/enterprise/5-architectural-patterns-for-securing-connectivity-at-scale