Web アプリケーションファイアウォール（WAF）は、Web アプリケーションを保護するために、Web トラフィックの監視とフィルタリングを行い、悪性トラフィックや不正なトラフィックをブロックするテクノロジーです。通常、WAAP 関連のサービスやソリューションには、Web アプリケーションファイアウォールに加え、ボット緩和や DDoS 防御などのテクノロジーが含まれます。
WAAP ソリューションは進化する脅威に対抗する防御手段を提供
Web Application and API Protection（Web アプリケーションと API の保護）の略語である WAAP は、巧妙化する多種多様なサイバー攻撃から Web アプリケーションと API を防御するためのセキュリティテクノロジーです。
相互に接続された現在の世界において、Web アプリケーションとアプリケーション・プログラミング・インターフェース（API）はビジネスクリティカルなテクノロジーです。だからこそ、サイバー攻撃の主な標的になっています。マルウェアやクロスサイトスクリプティング、攻撃的なボットや ボリューム型 DDoS キャンペーンなど、Web アプリと API に対する脅威は年々巧妙化しており、こうしたデジタル資産の保護はますます複雑になっています。さらに、クラウドへの移行、最新の DevOps 手法、増加するマイクロサービス、絶えず進化するアプリと API が、課題の複雑化に拍車をかけています。
Akamai App & API Protector は、Web アプリケーションと API の保護（WAAP）を目的とする包括的なソリューションです。さまざまなマルチベクトル攻撃に対してインテリジェントなエンドツーエンドの保護を提供します。自動 API 検出、適応型検知、組み込みのボット緩和、継続的なセルフチューニングを備えた Akamai の WAAP ソリューションは、サイト、アプリ、API、インフラを 最も危険なサイバー攻撃から守ります。
Web アプリケーションと API を保護する際の課題
Web アプリケーションが常に進化し、複雑化を増していることで、組織はアプリケーションセキュリティの新たな課題に直面しています。最新の Web アプリケーションとマイクロサービスは、ほぼすべてのやり取りを API に依存しているため、ハッカーの新たな侵入口となるアタックサーフェスが拡大しています。既知のソフトウェアの脆弱性は 180,000 件を超え、毎年新たに数千件が発見されています。
アプリケーションのアタックサーフェスが拡大するにつれ、サイバー犯罪者が仕掛けるマルチベクトル攻撃も、ますます巧妙化してきました。攻撃者は、自動化されたボット、ボットネット、脆弱性スキャナーを多用して IT 環境に侵入します。ユーザーアカウントを乗っ取ってデータを盗み、資金を不正アカウントに転送するなど、事業運営を混乱させ、深刻な打撃を与えます。
この攻撃に対抗するために、組織のセキュリティチームは Web アプリケーションと API の保護ソリューションを導入し、こうした DDoS 攻撃や API ベースの攻撃を緩和してきました。しかし、こうしたテクノロジーの多くが依存する従来型の Web アプリケーションファイアウォール（WAF）は、アプリケーションの変更、脅威の進化、アップデートに応じて、頻回にチューニングする必要があります。手動チューニングは時間がかかるうえ、熟練したオペレーターが必要になるため、多くの場合、こうした WAF ソリューションは基本的に拡張性がありません。結果として、WAF のセキュリティ制御とポリシーはあっという間に古くなり、膨大な数のアラートがセキュリティチームに押し寄せます。チームは疲弊し、フォールス・ポジティブ（誤検知）と実際の攻撃を区別できなくなります。アラート疲れに陥ったセキュリティチームは、ルールを効果的にチューニングできなくなり、ビジネスの混乱やユーザーへの影響を避けようとして、本来あるべき保護を外してしまう可能性があります。
こうした環境で Web アプリケーションと API の保護を管理する場合は、さらに強力な機能と自動化機能を備え、セキュリティを高めながら管理タスクを最小限に抑えられるソリューションが必要です。そこで、 Akamai の WAAP テクノロジー が役に立ちます。
Akamai の WAAP ソリューション
Akamai App & API Protector は、クラウドベースの WAAP ソリューションです。ネットワーク／アプリケーションレイヤーに対するさまざまな脅威からアプリケーションと API を保護するように設計されているため、労力もオーバーヘッドも軽減されます。ボットの可視化や緩和から、DDoS 防御やセルフチューニング型の推奨まで、App & API Protector は、WAAP テクノロジーの展開と管理を担当するセキュリティチームの障壁となる、多くの課題を解決します。
自動化とシンプル化のために設計された Akamai App API Protector は、Web アプリケーションファイアウォール、 API セキュリティ、ボット緩和、 DDoS 防御 など、業界トップクラスのテクノロジーを使いやすく 1 つにまとめたソリューションです。新しい多次元の適応型セキュリティエンジンは、Akamai プラットフォーム全体のインテリジェンスを、それぞれの Web リクエストや API リクエストから得たデータ／メタデータと関連付けることで、脅威ベース検知を実現します。このテクノロジーにより、App & API Protector は、以前の Akamai テクノロジーと比較して 2 倍以上の攻撃を検知し、誤検知を 5 分の 1 に削減します。組織固有のトラフィックに合わせて高度な意思決定ロジックを展開する Akamai の WAAP テクノロジー は、一般的な攻撃と高度な標的型攻撃の両方を高い精度で阻止します。
セルフチューニング機能
精度 100% の WAAP は存在しないため、App & API Protector には、操作のフリクションや管理オーバーヘッドを最小限に抑えるセルフチューニング機能があります。高度な機械学習を活用して実際の攻撃と誤検知を含むすべてのセキュリティトリガーを自動的に分析し、ポリシーに応じた推奨チューニングを提示します。管理者は数回クリックするだけでその推奨を受け入れることができます。
ボットからの防御
Akamai App & API Protector は、悪性のボットやボットトラフィックは検知して認識し、サードパーティーやパートナーのボットは阻止せず稼働させるテクノロジーを活用して、増加するボット攻撃に対抗します。ボットトラフィックをリアルタイムで可視化できるため、セキュリティチームは Web 分析の偏りを調査し、オリジンの過負荷を未然に防ぎながら、1,750 を超える既知のボットを収録した Akamai の広範なディレクトリにカスタムボット定義を追加できます。
API の検出と保護
エンドポイント、定義、トラフィックプロファイルなど、Web トラフィック全体で API を自動的に検出します。既知の API に加え、未知の API や進化する API もすべて発見します。新たに発見された API は、わずか数回のクリックで 簡単に登録できます。優れた可視性により、隠れた攻撃を防ぎ、想定外の変更やエラーも検知します。
Akamai の WAAP テクノロジーのメリット
Akamai App & API Protector は、セキュリティチームに以下のようなメリットをもたらします。
広範な保護の実現。 自動ボットネット、API ベースの攻撃、インジェクション、ボリューム型の サービス妨害攻撃など、さまざまなサイバー脅威からすべての Web サイト、アプリケーション、API を守る、包括的な保護機能を提供します。
フリクションレスなメンテナンス。 自動セルフチューニングなど、シンプル化されたセキュリティ制御でアラート疲れを軽減します。誤検知が 5 分の 1 に減少するため、セキュリティチームは実際の攻撃への対応に専念できます。
API アタックサーフェスの最小化。 API を自動的に検出し、OWASP トップ 10 で報告された脅威や API 脅威などの脆弱性から保護します。
少ないリソースでより多くの成果を達成。 WAAP 防御、ボットの可視化と緩和、DDoS 防御、SIEM コネクター、Web 最適化、API 高速化などを単一のソリューションで管理します。
WAAP ルールのカスタマイズ。 セキュリティチームはカスタムルールを容易に生成し、標準の保護では対応できないシナリオに対応できます。
DDoS 攻撃の阻止。 Akamai は、ネットワークレイヤー DDoS 攻撃をエッジで直ちに破棄し、アプリケーションレイヤー攻撃を数秒以内に緩和します。
WAAP 防御の自動更新。 一日あたり 300 TB を超えるトラフィックデータと Akamai の脅威リサーチャーの分析から知見を引き出し、適応型セキュリティエンジンを自動的に更新します。セキュリティ成果を改善しながら、管理オーバーヘッドや操作のフリクションを最小限に抑えることができます。
よくある質問（FAQ）
Web Application and API Protection（Web アプリケーションと API の保護）の略語である WAAP は、巧妙化する多種多様なサイバー攻撃から Web アプリケーションと API を防御するためのセキュリティテクノロジーです。
WAAP テクノロジーは、幅広い脅威インテリジェンスソースのデータを活用し、受信側の HTTP トラフィックをネットワークエッジで検査、分析することで、SQL インジェクション、分散型サービス妨害（DDoS）、Credential Stuffing、API ベース攻撃などさまざまな形態のサイバー犯罪を特定し、緩和します。
Akamai が選ばれる理由
Akamai はサイバーセキュリティとクラウドコンピューティングを提供することで、オンラインビジネスの力となり、守っています。当社の市場をリードするセキュリティソリューション、優れた脅威インテリジェンス、グローバル運用チームによって、あらゆる場所でエンタープライズデータとアプリケーションを保護する多層防御を利用いただけます。Akamai のフルスタック・クラウド・コンピューティング・ソリューションは、世界で最も分散されたプラットフォームで高いパフォーマンスとコストを実現しています。多くのグローバルエンタープライズが、自社ビジネスの成長に必要な業界最高レベルの信頼性、拡張性、専門知識の提供について Akamai に信頼を寄せています。