モノリシックアプリケーションからマイクロサービスのエコシステムへの移行により、APIは戦略上重要な制御ポイントとなりました。これまで、Webアプリケーションファイアウォール（WAF）はHTTPベースのアプリケーションを保護する主要なツールでしたが、APIには、コンプライアンス、セキュリティ、監査を十分に確保するための同等の制御がありませんでした。APIトラフィックと人間以外によるトラフィックがWebアプリケーショントラフィックを上回るなか、セキュリティ制御も進化させる必要があります。セキュリティリーダーは、新たなトレンドをAPI保護について理解を深める機会として活用し、自組織におけるAPIセキュリティの改善を推進する手段とすることが重要です。
APIの爆発的増加は組織全体に広がる― APIの急増は今後も続きます。さらに、APIを公開するのはDevOpsチームだけとは限りません。マーケティングチームなど、組織内の他部門が独自のAPIを公開したり、マーケティング活動の一環としてサードパーティAPIを利用したりする場合もあります。セキュリティチームにとって、使用中のAPIを正確に把握することが重要な第一歩です。
コラボレーションが鍵– セキュリティチームはDevOpsと連携し、適切なAPIセキュリティ制御を設計、実装する必要があります。DevOpsには迅速な対応が求められます。セキュリティチームはDevOpsの進め方を理解し、一元管理が可能で、CI/CDプロセスに組み込んで自動化できるセキュリティ制御を導入する必要があります。
APIゲートウェイのセキュリティ対策は遅れている– 現在のAPIゲートウェイは通常、認証、バージョン管理、分析（使用量の計測と請求）に重点を置いています。これらのセキュリティ制御は重要ですが、APIを完全に保護できるわけではありません。十分なAPIセキュリティを確保するには、認証サービスへの攻撃、レイヤー7 DoS、データ流出、エクスプロイト、インジェクション、異常から防御する必要があります。
攻撃の標的となるAPIに脆弱性が残る
APIは重要な制御ポイントとして、今日のデジタルビジネスプラットフォームの中核を担っています。通常、APIは外部に公開され、ビジネスパートナー、顧客、マイクロサービスからアクセスされるように設計されています。Webアプリケーションと同様に、APIは適切な保護が必要な機密データへの入り口となる可能性があります。Venmo、Facebook、Salesforceなどの組織で最近発生したAPI関連のインシデントは、APIセキュリティの重要性を示す教訓となります。F5 Labsでは、ほかにも注目すべきAPI関連の問題をこちらで紹介しています。
多くの技術革新と同様に、セキュリティ対策は後手に回りがちです。APIセキュリティも例外ではありません。API主導の経済が進展する一方で、セキュリティ担当者は、APIセキュリティへの対応に伴う膨大な作業量、変化の速さ、複雑さに圧倒されることがあります。
APIの大規模な普及は今後も続きます。アプリケーションがビジネスの中心となるにつれ、APIの普及はさらに加速していきます。Programable Web APIディレクトリでは、2019年に公開APIが急増し、毎月数百もの新しいAPIが追加されました。特に、各業界がAPIベースの相互運用性を推進するなか、この数は今後も増え続けると予想されます。その好例が、EUのPSD2（改正決済サービス指令）です。
セキュリティもCI/CDパイプラインに対応する必要があります。「バージョニング」をサポートするAPIゲートウェイにより、APIプロバイダーは既存のクライアント統合を損なうことなく、新しい機能を継続的に追加できます。これはCI/CDに大きく貢献しますが、セキュリティによってプロセスが遅延すると、ビジネスに直接影響し、アジャイル開発のメリットが損なわれる可能性があります。このような環境に対応するには、セキュリティ制御を自動化してリリースプロセスに統合し、リリースサイクルに影響を与えることなく、セキュリティチームが共通の制御を一元的に適用できるようにする必要があります。
APIセキュリティの責任が分散していることも要因の1つです。APIは、モバイルアプリ、マイクロサービス、クラウド、オンプレミスなど、組織全体で使用されています。組織全体の可視化とAPIインベントリの機能はまだ発展途上にあり、一部のAPIはセキュリティチームの監督範囲外に置かれています。組織横断的なリーダーや関係者に対し、一貫したセキュリティ対策と制御を適用するための教育が必要です。
APIゲートウェイのセキュリティは成熟していません。現在、多くのベンダーがAPIゲートウェイを提供しています。たとえば、MuleSoft、Google（Apigee）、Kong、Istio、Oracleなどです。これらは、バージョン管理、ルーティング、分析／計測、認証など、APIゲートウェイに必要な機能を提供します。それぞれに独自の強みと付加価値がありますが、アクセス違反、インジェクション、DoS、エクスプロイトから保護する包括的なセキュリティ制御を、他のセキュリティゲートウェイサービスと併せて実装する必要があります。
_____
ここまでで背景をご理解いただけたかと思います。来週公開予定のブログ（リンクをここに追加）では、上記の課題に対処するためにできることを詳しくご紹介します……
著者について
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。