グローバルなデジタル経済では、アプリケーションベースのサービスを顧客、消費者、パートナー、従業員につなぐために、アプリケーションプログラミングインターフェース（API）が必要です。レガシーアプリケーション、モダナイズされたアプリケーション、新規アプリケーションは、開発の迅速化と市場投入までの期間短縮に向けて、APIベースのアーキテクチャへと進化しています。アプリケーション機能を顧客に近づけて利用時の障壁を減らすという考え方が、分散型アーキテクチャとAPIファーストの動きの原点です。
残念ながら、APIによってアプリケーション開発の効率が向上する一方で、APIがIT環境にもたらすリスクがそのメリットを上回りつつあります。ハッカーは、保護が不十分またはまったく保護されていないAPIは容易に侵害できることを認識しています。APIにはセキュアな運用が必要です。この点に異論はないでしょう。しかし、APIを保護する最善の方法について、業界内で合意は形成されていません。以下では、APIに通常講じられている以上の保護が必要となる主な理由をいくつか説明します。
APIの脆弱性の多くは未対処
APIの可視性とセキュリティが不十分なために発生する重大なセキュリティ侵害は増加しており、今後も当面は続くと見込まれます。1 組織のデジタル化が加速するにつれ、保護が不十分なAPIがさらに多く本番環境に導入されることになります。多くの組織は、設計やコーディングを改善することでAPIの脆弱性を解消しようとしますが、結果として一般的なアプリケーションと同様のセキュリティ上の問題に直面します。その一因は、一般的なアプリケーション開発者にとってセキュリティが中核的な専門分野ではないこと、またセキュリティチームが自社環境内にあるすべてのサードパーティとの相互接続を把握していない可能性があることです。
APIの無秩序な増加は驚くほど広範に及んでいる
APIスプロールの根本的な原因は、ガバナンスとベストプラクティスを含む包括的な戦略の欠如にあります。アジャイルなアプリケーション開発により、APIのバージョン管理が行われないまま、同じAPIの複数のバージョンが生み出されています。また、マイクロサービスへの移行により、1つのアプリケーションが数十ものAPIで構成されるようになります。
管理されていないAPIは、ローグAPI、シャドーAPI、ゾンビAPIを生み出します。APIの数は2030年までに20億近くに達し、問題はさらに深刻化します。2
複雑なエコシステムでは、APIゲートウェイだけではAPIを保護できない
現在では、分散クラウド環境での運用が一般的です。しかし、専用のAPIゲートウェイを単一のエントリーポイントとしてセキュリティを制御する方法には、単一障害点やパフォーマンス低下などの制約があります。APIゲートウェイは今日のAPIインフラストラクチャに不可欠なコンポーネントであるため、APIの増加に伴ってAPIゲートウェイの導入も増え、APIゲートウェイの乱立につながることが明らかになりました。
Web Application Firewall（WAF）によるAPI保護は限定的
最新のWAFは、GraphQLやgRPCを含むAPIプロトコルを強力に保護し、重大なソフトウェア脆弱性に対する暫定的な対策となります。しかし多くの場合、ハイブリッドおよびマルチクラウドアーキテクチャ全体で高度な脅威を検知するために必要なAPIの可観測性は提供されません。また、多くのWAFには、動的なAPI検出、脅威の自動検知と緩和、テスト、OpenAPIドキュメント仕様の自動化と適用といった機能がありません。
ハッカーがAPIを好む理由がわかったところで、APIをどのように保護すればよいのでしょうか。
規制と標準を活用し、API保護プロジェクトへの支持を獲得
規制当局は、APIがもたらすリスクを認識し、サードパーティを含むIT環境全体でリスクを軽減するよう企業に促しています。米国財務省と消費者金融保護局（CFPB）は、APIの保護が必要な規制対象事業者に対して強力なガイダンスを発行しました。標準の観点では、PCI DSS v4の要件6.3.2でAPIセキュリティが求められています。また、NIST 800-95 Guide to Secure Web Servicesは2007年からセキュアなAPI管理を推奨しており、800-24 Security Strategies for Microservices-based Application SystemsでもセキュアなAPI管理が規定されています。
アーキテクチャに注目
An APIセキュリティアーキテクチャでは、マルチクラウド、リージョナルエッジ、サービス階層など、分散型のエンタープライズIT環境との統合を考慮する必要があります。ソリューションは、あらゆるハードウェア、仮想化環境、docker、Kubernetesなどに導入できる必要があります。また、APIがエコシステム内を移動しても、セキュリティポリシーがAPIに追随できなければなりません。以下に、APIを保護するためのリファレンスアーキテクチャの例を示します。
まとめ
ハッカーは以前から、APIにも認証や認可の制御の不備など、Webアプリケーションと同様のセキュリティ上の問題があることを認識しています。ハッカーは、APIの脆弱性を悪用し、ビジネスロジックを不正利用し、ゼロデイエクスプロイトを作成することで、ほとんど抵抗を受けずに企業のIT環境へアクセスする手法に習熟しています。
個人データは、アプリケーションやサービスプロバイダーではなく、個人に帰属するものです。デジタル経済の発展に伴い、オープンなデータ共有が進んでいます。APIは、非公開、公開、パートナー、サードパーティーのデータやサービスを利用可能にします。データプライバシー規制に準拠するには、APIにプライバシー保護技術を適用する必要があります。
Deploying an APIセキュリティソリューションをIT環境に適切に導入するには、インフラストラクチャとの統合やコネクタが必要であり、一部はカスタム対応が必要です。導入の複雑な要件を把握するには、アーキテクチャの計画が欠かせません。既存のエンタープライズITアーキテクチャですぐに稼働するソリューションを選択することで、導入時間を短縮できます。
API攻撃への防御について詳しくは、F5の委託により私が最近執筆したレポート「APIセキュリティソリューション評価ガイド」をご覧ください。このレポートでは、API保護ソリューションを選定する際の最も重要な考慮事項について解説しています。
Tari Schreider（C|CISO、CRISC、Datos Insights戦略アドバイザー）
脚注：
1 Ian Dinno、「T-Mobile侵害から得た（現時点での）教訓」、F5、2023年2月8日
2 Rajesh Narayanan、Mike Wiley、「Continuous API Sprawl」、F5、2021年11月4日
3 Rajesh Narayanan, Distributed Gateway Actors: Evolving API Management, F5, 2023年6月23日
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。