Analýza konceptu správy API (APIM), jeho výhod a toho, jak to bude vypadat, když se prostředí API neustále vyvíjí.
V prostředí API existují dvě základní pravdy.
- Zaprvé: API se staly strategickým nástrojem pro společnosti, aby rozšířily svůj digitální dosah, urychlily své podnikání a udělaly více pro své zákazníky.
- Za druhé: vzhledem k tomu, jak fungují a jak byly doposud používány, jsou API zvláště zranitelná vůči útokům špatných herců. Podle nedávného výzkumu se návštěvnost škodlivých útoků API za poslední rok zvýšila o 117 %, což naznačuje, že hrozba na rozhraních API zdaleka neklesá.
Takže, kde to ponechává podniky, které chtějí využít sílu API? Pro začátek musí investovat do bezpečnostní strategie API, která pokryje všechny jejich základny. Robustní strategie bude podporována řadou různých nástrojů a metodologií, včetně správy API (APIM).
V tomto článku se blíže podíváme na to, co je APIM, jeho výhody a jak bude vypadat, když se prostředí API bude nadále vyvíjet.
Co je APIM?
APIM je proces vytváření, distribuce, monitorování a analýzy rozhraní API, která propojují aplikace a data napříč podnikem a cloudy. APIM, který je obvykle nasazen jako škálovatelná platforma, umožňuje podnikům sdílet jejich konfigurace API a zároveň řídit přístup, monitorovat a shromažďovat data o používání a prosazovat bezpečnostní zásady související s API.
Jinými slovy, APIM dává podnikům moc lépe využít ekonomiku API bez kompromisů v oblasti bezpečnosti. Existují také interní výhody: správa všech API na jedné jednotné platformě umožňuje podnikům sdílet dokumentaci API a konstrukty kódování mezi týmy, což v konečném důsledku usnadňuje (a urychluje) vývojářům práci.
Jaké jsou součásti APIM?
Pro usnadnění flexibility, kvality, rychlosti a zabezpečení podnikových rozhraní API se platformy APIM obvykle skládají z pěti klíčových prvků, které jsou popsány níže.
API brána: Brána API funguje jako portál, přes který jsou zpracovávány všechny požadavky na směrování a překlady protokolů. Protože API mají často různé struktury a jazyky a neustále se mění, API brána usnadňuje komunikaci a poskytuje jednotný kontaktní bod pro interní i externí strany pro interakci s API.
Portál pro vývojáře API: Vývojářský portál poskytuje samoobslužné centrum pro vývojáře, kteří chtějí přistupovat k dokumentaci API a sdílet ji. To významně přispívá k urychlení práce vývojářů s API, zefektivnění procesů vytváření a testování a zajištění konzistence v celém týmu.
Analýza API: Pochopení a vyhodnocení používání a provozních metrik daného rozhraní API má velkou hodnotu – a to je místo, kde přichází na řadu funkce vytváření sestav a analýzy API. Platformy APIM jsou často vybaveny řídicími panely, které tuto viditelnost poskytují a umožňují podnikovým týmům přijímat lepší rozhodnutí o tom, jak používají jejich API, například zda se jim vyplatí zpeněžit. Z provozního hlediska tyto řídicí panely pomáhají včas identifikovat problémy, takže je lze proaktivně řešit.
Správa životního cyklu API: U rozhraní API je jednou z největších výzev to, že neexistuje přehled o celém životním cyklu – od návrhu po implementaci a ukončení. Důvodem je to, že API jsou často vytvářena pro malé interní použití a poté spouštěna do větších případů použití bez řádného prověření. Správa životního cyklu to zmírňuje a poskytuje udržitelné řešení pro vytváření, testování a správu rozhraní API s podporou správy verzí.
Správce zásad API: Každé API by mělo fungovat v rámci sady zásad API, které utvářejí jeho vývoj. Správci zásad API řídí životní cyklus těchto zásad a ukládají širší zásady, které ovlivňují celou infrastrukturu rozhraní API.
V platformě APIM se každý z těchto nástrojů spojuje, aby společnostem poskytl úplnější a komplexnější pohled na jejich rozhraní API a kontrolu pro zvýšení zabezpečení v celém ekosystému API.
Co APIM není
Z hlediska zabezpečení, zatímco platformy APIM jsou klíčové pro vytvoření jednotné viditelnosti a kontroly nad infrastrukturou API společnosti – a pro usnadnění implementace funkcí zabezpečení API – je důležité poznamenat, že je to pouze jeden pilíř v robustní strategii zabezpečení API. Platformy pro správu API nejsou v zásadě bezpečnostní platformy. Chybí jim klíčové prvky zabezpečení API, které by organizace měly vynutit, včetně průběžné autentizace a autorizace, řízení přístupu, ověřování dat, zabezpečení běhu přizpůsobené útokům OWASP API Top 10 a plán testování API v produkci i předvýrobě.
Je také důležité poznamenat, že APIM není univerzální řešení. Je nezbytné vyhodnotit IT infrastrukturu a další zdroje společnosti, aby bylo zajištěno, že jsou vybaveny k přijetí a implementaci nové platformy pro její API. Máte ve svém týmu správnou úroveň odborných znalostí? Pracujete s dostatečným množstvím rozhraní API, abyste ospravedlnili přijetí platformy APIM? Máte zavedeny zásady zabezpečení API, aby váš nástroj APIM mohl co nejlépe fungovat? To vše jsou kritické otázky, které byste si měli položit při hodnocení tohoto řešení.
Jaké jsou výhody APIM?
Pro mnoho podniků jsou API Divokým západem jejich technické infrastruktury. Rozhraní API se od sebe často výrazně liší, a proto je náročné vytvořit zastřešující opatření pro jejich správu. Krajina se neustále mění, takže dokumentace rychle zastarává a stává se irelevantní. To je součástí toho, co dělá API tak přitažlivým vektorem hrozeb pro kyberzločince. APIM to napravuje a zároveň poskytuje další výhody.
APIM podporuje podniky:
- Centralizace viditelnosti všech připojení API, snížení rizika útoků a poskytnutí týmům možnost identifikovat mezery a duplikáty
- Usnadnění rozhodování na základě dat pro firmu, jako je monetizace API
- Ochrana podniku před hrozbami souvisejícími s API
- Umožnění vytvoření podrobné dokumentace API
- Vytváření lepších uživatelských zkušeností pro spotřebitele API
- Zlepšení zkušeností vývojářů
- Poskytuje lepší přehled o aktuálním stavu zabezpečení API, což týmům umožňuje vytvářet lepší ekosystém
Jak vypadá budoucnost APIM?
API nikam nevedou. Firmy pokračují ve vytváření aplikací, které se spoléhají na stovky, ne-li tisíce, API. S rozhraními API, která jsou vystavena více datovým centrům, poskytovatelům cloudu a zákazníkům, s různými úrovněmi požadavků na přístup a přizpůsobení, se rozsah a složitost ekosystému jen zvětší. Pro podniky, které chtějí zůstat agilní, organizované a bezpečné, bude APIM zásadní.
APIM bude i nadále důležitým ovladačem pro funkce, jako je verzování, procesy nasazení, metriky využití a interoperabilita. A z hlediska zabezpečení se budou vyvíjet s tím, jak budou brány API vyspělejší a budou dělat více v oblasti omezování rychlosti, maskování dat a autentizace.
Další změny přijdou v rámci samotných rozhraní. Dochází k rostoucímu posunu v prostoru vývojářských nástrojů se vznikem nástrojů, které upřednostňují vizuální funkce drag-and-drop namísto kódování. Tímto způsobem mohou různé týmy přispívat k APIM v rámci svých dovedností a přitom mít jasnou představu o pracovních postupech, životních cyklech API a zásadách zabezpečení API.
Vzhledem k tomu, že platformy APIM nadále dozrávají, stanou se ještě strategičtějším aktivem pro podniky, které chtějí z prostředí API vytěžit maximum, aniž by to ohrozilo jejich zabezpečení.
O autorovi: Ali Cameron je obsahový marketing, který se specializuje na kybernetickou bezpečnost a B2B SaaS prostor. Kromě psaní pro blog State of Security společnosti Tripwire také píše pro značky včetně Okta, Salesforce a Microsoft. Ali se vydala neobvyklou cestou do světa obsahu a začala svou kariéru jako konzultantka pro řízení ve společnosti PwC, kde podnítila zájem o snadné pochopení složitých konceptů. Spojuje tento zájem s vášní pro vyprávění příběhů, což je kombinace, která se dobře hodí pro psaní v prostoru kybernetické bezpečnosti. Je také pravidelnou spisovatelkou pro Bora.
(Bezpečnostní záležitosti – hackování, mošenský drak)
