API Security

組織全体の全 API の包括的なインベントリーを継続的に更新し、維持することは、あらゆる API セキュリティ戦略の基盤となる重要な機能です。API 攻撃に関連するリスクは重大であるため、オンデマンドの探索や 1 日 1 回の探索では不十分です。さらに、セキュリティ、開発、運用の主要なチームメンバーが API がどのように使用または悪用されているかを理解できるようにするためには、実際の API のふるまい（API コール）を視覚化する必要があります。そうすることで、組織のチーム全体でのコミュニケーションと調査が容易になります。 

API Security は、さまざまなテクノロジーやインフラの API の探索を自動化し、継続的に実行します。また、新たに展開された API を特定し、その API のプロパティを既存のドキュメントと比較します。API Security は、見逃されることの多いシャドウ API や、 OWASP API Security Top 10で取り上げられている既知の API の脆弱性などを検知します。 

API 探索は継続的なプロセスであり、Akamai は新しい API と既存の API への変更を 24 時間体制で継続的に監視します。お客様のセキュリティチームは、他に類を見ない可視性を手に入れ、開発者が新しい API やサービスを展開したことを真っ先に知ることができます。

API は、エンタープライズが展開するあらゆるデジタル製品とサービスに活用されています。そのため、API の範囲と規模が拡大しているのは当然です。しかし、このような急速な普及により、API スプロールが発生し、アタックサーフェスが変化しています。

現在の攻撃者は、ソフトウェアのバグや設定エラーなど、次の目的で悪用できる API の脆弱性を探しています。

• 機密性の高いアプリケーション機能へのアクセス
• 機微な情報の発見、侵害、窃取
• 悪性の方法での API の悪用 

OWASP API Security Top 10 は、組織が特定と対処を試みる必要がある、最も一般的に悪用されている API の脆弱性と脅威について、有益な情報を要約して提供します。

API セキュリティを実行することで、セキュリティチーム、開発者チーム、および API チームに潜在的なリスク、設定エラー、脆弱性を迅速に通知し、脆弱な API や誤って設定された API が原因でエンタープライズが API 攻撃にさらされるのを防ぐことができます。また、パートナーによる API の設定に誤りがあるのか、またはコードに脆弱性があるのかを、簡単に見極めることができます。 

コンテキストアラートと条件付きアラートは、Jira チケットの自動作成など、既存のワークフロー内でシームレスに機能するため、問題の迅速な解決が可能になります。

API はプログラマティックに使用するように設計されているため、正当な使用と攻撃や悪用を区別するのは極めて困難です。

API 攻撃のアプローチはさまざまですが、最も一般的な方法には次のようなものがあります。

• ビジネスロジックの悪用。 ロジックの悪用とは、攻撃者がアプリケーションの設計上または実装上の欠陥を突いて、攻撃者に利益をもたらす想定外のふるまいや許可されていないふるまいをさせることです。従来のセキュリティ制御では、このような悪用を防止できず、CISO とそのチームに多大なストレスとプレッシャーがかかります。
• 不正なデータアクセス。 よくある API 悪用の 1 つとして挙げられるのが、不備のある認証メカニズムを悪用して、アクセスが許されるべきではないデータに攻撃者がアクセスすることです。このような脆弱性には、オブジェクトレベルの認可の不備（BOLA）、安全でないオブジェクト直接参照（IDOR）、機能レベルの認可の不備（BFLA）といったさまざまな名称が付けられています。
• アカウントの乗っ取り。 認証情報の窃盗やクロスサイトスクリプティング攻撃の後には、アカウントが乗っ取られる可能性があります。そのようなことが起こると、極めてよく記述され注意深くセキュリティが確保された API でさえ悪用される可能性があります。結局のところ、ふるまい分析を実行していないと、認証されたアクティビティはすべて正当なものとみなされます。
• データスクレイピング。 組織がパブリック API を介してデータセットを利用可能にすると、攻撃者はそのリソースを積極的にクエリーして大量の貴重なデータセットを大規模に取得することができます。
• ビジネスサービス妨害（DoS）。 API 攻撃者またはユーザーは、バックエンドに重いタスクを実行するようにリクエストすることで、アプリケーションレイヤーで「サービスの崩壊」、つまり完全なサービス妨害を引き起こすことができます（これは GraphQL の非常に一般的な脆弱性ですが、リソース集約型の API エンドポイント実装で発生する可能性があります）。これが引き起こされるのは、意図的な攻撃が行われた場合や、他のパートナーが使用できなくなるほど特定のパートナーが API を過剰に使用した場合です。 
• 脆弱性の悪用。 基盤インフラに技術的な脆弱性が存在すると、サーバーの侵害につながります。この種の脆弱性の例は、Apache Struts の脆弱性（CVE-2017-9791、CVE-2018-11776 など）から Log4j の脆弱性（CVE-2021-44228 など）まで多岐にわたります。

これらやその他の API セキュリティリスクを特定して緩和するためには、この急変する複雑な脅威状況に対処できる高度なセキュリティ制御が必要です。 

API Security ソリューションは、IP アドレスや API トークンなどの技術的要素だけを分析しても得られないビジネスコンテキストを提供します。AI／ML を活用したリアルタイムトラフィック分析を通じて API Security が出力するビジネスコンテキストは、アラートの前後に発生した事象を徹底的に分析して根本原因を特定するために役立ちます。 また、API Security では、特定のエンティティ、たとえばユーザーやパートナー、またはビジネス・プロセス・エンティティ（インボイス、支払い、注文など）に基づいて API を探索できるため、他のソリューションでは見つけられないような異常を発見することも可能です。