シフトレフトセキュリティ戦略でAPI保護を強化

F5エコシステム | 2024年7月01日

今日のクラウドファーストのエコシステムでは、ソフトウェア開発者がデプロイするAPIの数が急増しています。F5 2024 State of Application Strategy（SOAS）Reportによると、現在、3分の1を超える組織がアプリケーションと同程度の数のAPIを管理しており、一部の大企業では最大10,000のAPIを管理しています。¹ 組織がアプリケーションポートフォリオのモダナイゼーションを進めるなか、利用されるAPIの数は2031年までに10億を超えると予測されています。²

APIが急速に増加しているのはなぜか

APIは、効率性と相互運用性を高めるため、最新のアプリケーションに不可欠なものとなっています。また、異なるソフトウェアシステム間のシームレスな通信を可能にし、多様なサービスの統合とプロセスの効率化を支援します。

AIの台頭により、APIの利用拡大が加速しています。AIは、データ処理、機械学習、自動化などの機能でAPIに大きく依存しているためです。AIの導入が進むにつれて、APIの需要も高まるでしょう。

しかし、急速な拡大に伴い、セキュリティ上の大きな課題も生じています。F5 SOASレポートによると、組織の95%がAPIゲートウェイを使用しています¹。しかし、それだけでは不十分です。現在のAPIセキュリティには、検出と、開発プロセスの早い段階でセキュリティを組み込むシフトレフトという2つの主要な課題があります。

APIセキュリティの現状と不足しているもの

現在、APIの保護対策は、急増するAPIの利用に追いついていません。APIゲートウェイは一定の制御機能を提供しますが、APIの検出と包括的なセキュリティ戦略という根本的なニーズには対応していません。Gartnerは、2025年までに全APIの半数が管理されていない状態となり、深刻なリスクをもたらすと予測しています。³ このようなシャドーAPIは、セキュリティチームの可視性と管理の範囲外で稼働するため、組織が不正アクセス、データ侵害、その他の脅威にさらされる可能性があります。また、攻撃者が悪用して機密データへの不正アクセスを試みる脆弱性が潜んでいます。この脅威に対処するための第一歩は、組織の環境内にあるシャドーAPIを検出することです。

シャドーAPIを検出し、それに伴うマルチクラウドの複雑さに対処するには、まずAPI検出用に設計されたツールを使用して、外部に公開されているドメイン領域を調査します。企業のドメイン内にあるすべてのエンドポイントを特定することで、APIの全体像を把握しやすくなります。しかし、マルチクラウド環境では、APIがセキュリティプロトコルやガバナンス要件の異なる複数のプラットフォームにまたがるため、課題はさらに深刻になります。この複雑さに対処するには、APIの管理とセキュリティに戦略的に取り組む必要があります。

開発者が日常的に新しいAPIを追加する中、Apigee API management（Google Cloud）やF5 Distributed Cloud API Securityなどのソリューションを導入できます。これらのソリューションは継続的な検出と監視を提供し、開発サイクルの早い段階でセキュリティ対策を組み込めるようにすることで、APIガバナンスの強化に役立ちます。

APIセキュリティのシフトレフト

Gartnerによると、2026年までに、40%の組織が、高度なAPI保護機能とWebアプリケーションセキュリティ機能を基準にWAAPプロバイダーを選定するようになります。これは、2022年の15%未満から増加しています。⁴

これは歓迎すべき動きですが、より多くの組織がシフトレフトを実践し、CI/CDパイプラインにセキュリティプラクティスを組み込むことで、APIを開発当初から保護できます。そのためには、包括的なAPIドキュメント、自動化されたセキュリティチェック、開発者およびセキュリティチームへの継続的な教育が必要です。

開発チームとセキュリティチーム間の緊張を緩和

従来、迅速なデプロイを重視する開発者と、安全性を優先するセキュリティチームの間には緊張関係がありました。この緊張を和らげるには、セキュリティに対する責任を共有する文化を醸成することが不可欠です。連携と相互理解を促すことで、目標を一致させ、プロセスを効率化できます。

APIライフサイクル全体のセキュリティ確保

包括的なアプローチには、継続的な監視、定期的な更新、プロアクティブな脅威検知、強固な認証・認可メカニズムの実装に加え、AIを活用して脅威を検知・緩和する高度なセキュリティツールの導入が含まれます。

F5とGoogle Cloudがシフトレフトを支援

APIセキュリティを強化するための第一歩は、すべてのAPIを徹底的に棚卸しし、管理されていないエンドポイントや古いエンドポイントを特定したうえで、その機能とセキュリティ対策を文書化することです。組織は、リスクレベルと潜在的な影響に基づいて、APIのセキュリティ確保に優先順位を付ける必要があります。F5 Distributed Cloud API SecurityやApigeeなどの相互補完的なソリューションは、あらゆる環境のAPIを保護する包括的なセキュリティフレームワークの構築に役立ち、相互接続がますます進む世界で開発者に安心をもたらします。

このように、APIの拡大は組織に機会をもたらす一方で、各チームはセキュリティ上の落とし穴に注意する必要があります。シフトレフトを進め、継続的な検出を取り入れ、開発チームとセキュリティチームの連携を促進することで、組織はAPIをより効果的に管理できます。

APIセキュリティに関するF5とGoogle Cloudのスペシャリストの見解について詳しくは、オンデマンドウェビナー「シフトレフト：F5とGoogle CloudでAPIセキュリティを変革」をご覧ください。また、Google Cloud Platform (GCP)にアクセスすると、両社のパートナーシップについて詳しくご確認いただけます。