企業のサイバーセキュリティチームがAPIセキュリティに注力するようになったのは、当然のことです。デジタル経済において、APIはビジネスの玄関口であり、IoTデバイス、Webアプリやモバイルアプリ、さらにはビジネスのあり方を変革するAI駆動型アプリケーションの接続口でもあります。しかし残念ながら、APIはサイバー犯罪者にとっても侵入口であり、その多くがボットを利用して攻撃を実行しています。そのため、セキュリティチームにはAPIを保護し、攻撃に使用されるボットを緩和することが不可欠です。
The OWASPのAPIセキュリティ脆弱性トップ10リストでは、APIへの攻撃においてボットが中心的な役割を果たしていることが明確に示されています。そのうち3つは、API脆弱性トップ10の中でもボットに直接関連しています。
- 認証の不備：ボットは、ブルートフォース攻撃、辞書攻撃、クレデンシャルスタッフィングによって認証を突破し、アカウントの乗っ取り、不正行為、金銭的損失、顧客の不満を引き起こします。
- 無制限のリソース消費: ボットはリソース消費に制限がないことを悪用し、APIのメモリと処理能力を枯渇させます。ボットが、対話型アプリケーション（人が使用するWebアプリケーションやモバイルアプリケーション）での利用を想定したAPIを標的にすると、パフォーマンスとコストに壊滅的な影響が及ぶ可能性があります。
- 機密性の高いビジネスフローへの無制限のアクセス：特定のビジネスフローへの過剰なアクセスは、ビジネスに損害を与える可能性があります。無許可の再販業者は、製品の在庫を枯渇させ、大幅に高い価格で再販する可能性があります。スパマーは、コメントや投稿のフローを悪用する可能性があります。攻撃者は予約システムを利用して、空いている時間枠をすべて予約できます。このような場合、これらのビジネスフローを悪用するためにボットが導入されます。
著書『Hacking APIs: Breaking Web Application Programming Interfaces,』の中で、著名なサイバーセキュリティおよびAPIの専門家であるCorey J. Ball氏は、攻撃者がAPI探索（OWASP ZAP、Gobuster、Kiterunner）やファジング（Postman、Wfuzz、Burp Suite）の自動化ツールを使用してAPIに数千件ものリクエストを送信し、脆弱性を探し出す手法について説明しています。こうした偵察行為を特定し、その効果を抑えるには、ボット管理を導入する必要があります。
ボットがすべてのAPIに同じような影響を及ぼすわけではありません。APIは通常、相互TLSで保護されているため、認証の不備によるリスクは低く、認証済みクライアントごとにレート制限を適用できます。インタラクティブなWebアプリやモバイルアプリからのトラフィックのみを想定しているAPIは、ボットの影響を最も受けやすくなります。
人間が開始するトラフィックを想定したAPIでは、ボットへの防御がますます困難になっています。オープンソースのライブラリを使用すると、ヘッダーフィンガープリンティングによる検出を容易に回避できます。また、CAPTCHAを突破したり、数千万の住宅用IPアドレスで構成されるネットワークを介してリクエストをプロキシしたりするサービスも、ボット運用者に広く提供されています。ヘッダー分析、IP拒否リスト、CAPTCHAといった従来の手法はもはや有効ではありません。そのため、ボットの影響を緩和しようとするアプリケーションセキュリティチームは、JavaScriptやモバイルSDKを活用した豊富なクライアント側シグナルの収集と、高度な機械学習を利用して、攻撃ツールとボットの挙動を識別する必要があります。
AIアプリケーションの導入が広がるにつれ、APIとこれらのエンドポイントを自動化された攻撃から保護することが極めて重要になります。これを受け、OWASPは「LLMおよび生成AIアプリのリスクと緩和策トップ10（2025年版）」を公開しました。詳しくは、私の最近の記事「ボットによる大規模言語モデルへの攻撃」をご覧ください。
組織内のどのAPIがボットに対して脆弱でしょうか。攻撃を受ける可能性と、その影響によるコストはどの程度でしょうか。ボットに対して必要な保護を確保するには、セキュリティ制御をどのように設計すればよいでしょうか。これらは、脅威モデリングで検討すべき重要な問いです。ボットがビジネスに及ぼす影響について詳しくは、F5のホワイトペーパーをご覧いただくか、無料相談にお申し込みください
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。