マルチクラウド環境でAPIが乱立する時代のアプリケーションセキュリティ課題を解きほぐす

Beth McElroyシニアアライアンスマネージャー | F5

F5の「アプリケーション戦略の現状レポート」によると、脅威が増大する状況への対応や、アプリケーションとAPIのセキュリティ確保に組織が苦慮する中、マルチクラウドの複雑さと一貫したセキュリティ適用の難しさが、最大の課題として挙げられています。

広範囲に及ぶAPIスプロールの課題

アプリ開発者とセキュリティチームが連携し、APIセキュリティの課題に効果的に対処できるよう、Google CloudとF5は特別ウェビナー「APIの複雑化を解きほぐす：APIの乱立に対処し、デジタルエコシステムを保護する」を共同で開催しました。この対談では、APIの乱立、管理、セキュリティについて、組織が抱えている、あるいは検討すべき重要な問いに対する、実践につながる有用な答えがいくつも示されました。

ライブセッションに参加できなかった方もご安心ください。このブログ記事で主な内容の一部をご覧いただけるほか、オンデマンド録画にもアクセスできます。

ActualTech MediaのJess Steinbachが司会を務めたこのイベントには、著名な講演者として、Joshua Haslett（Google Cloud、Strategic Technology Partner Manager）、Ian Dinno（F5、Senior Product Marketing Manager）、David Remington（F5、Director of Product Management）も登壇しました。3名はAPIセキュリティという喫緊の課題に正面から向き合い、組織全体でアプリとAPIのセキュリティ戦略をより包括的に進めるための専門的な助言と実践的な指針を参加者に提供しました。

APIをセキュアにする道筋

ディスカッションでは、包括的なアプローチを実現するための適切な道筋を見いだすことが、主要な論点の1つとなりました。組織のアプリケーションエコシステム全体で利用されるAPIの数がかつてないペースで増え続けるなか、この課題への対応はますます困難になっています。参加者からの質問でも指摘されたように、APIの無秩序な増加がもたらすセキュリティ、ガバナンス、効率性の課題は、ハイブリッドクラウドインフラストラクチャの導入拡大や、複数のアプリケーションにまたがる複雑なビジネスプロセスを支える多数のマイクロサービスによって、さらに深刻化しています。

データ侵害、アカウント乗っ取り、不正行為など、APIの無秩序な増加に伴うリスクに対処するには、組織のアプリケーションセキュリティプログラムに、継続的な検出と監視、ランタイム保護、リアルタイムのセキュリティ態勢管理を実現するAPI保護テクノロジーを組み込む必要があります。また、このプログラムを支えるプロセスも必要です。このプロセスでは、リリースの遅延、ユーザーエクスペリエンスへの悪影響、アプリケーションのダウンタイムを招くことなく、ソフトウェア開発ライフサイクルの早い段階でセキュリティ手法とコードテストを容易に統合し、CI/CDパイプラインを滞りなく進められるようにする必要があります。

セキュリティへの道筋はビジネスに合わせて適応し、成長する必要がある

チームが、どのAPIがどこで稼働しているかを十分に把握できたと思った矢先に、新しいアプリやAPIエンドポイントが追加されたり、既存のものが更新されたりすることは珍しくありません。それは新たなサードパーティサービスの場合もあれば、セキュリティ担当チームからは見えない複数の新規または更新済みAPIの場合もあり、組織に脆弱な新たな侵入口とリスクへの露出をもたらします。拡散し続けるAPIを常に把握するのは終わりのない取り組みであり、セキュリティチームがこれらのサービスを個別に、また完全に機能するアプリケーションの一部として評価し、保護することをさらに困難にしています。

アプリケーションインフラストラクチャの複雑化に伴って脅威環境のリスクが高まる中、IanとDavidは、攻撃の範囲と規模、そして必要な保護対策の両面で、AIと機械学習がAPIセキュリティにおいて重要な役割を果たすとの明確な見解を示しました。

ウェビナーでパネリストが議論したもう1つの重要な要素は、APIセキュリティの状況を可視化する必要性です。たとえば、ある参加者は、一部のシステムやアプリケーションで最近、パフォーマンス上の問題やその他の障害が発生し始めたと説明しました。しかし、それがAPIの無秩序な増加を進行中の攻撃が悪用している兆候なのかどうかを、容易には判断できませんでした。これは、多くのチームが直面している共通の問題と考えられます。

GoogleとF5が、安全で高速かつシームレスなユーザー体験の提供を支援

この対談では、実績あるアプローチに基づいて適切なAPIセキュリティ対策を実践するためのベストプラクティスもいくつか紹介されました。その重要な要素の1つは、増え続けるAPIを保護するために、既存のアプリケーションセキュリティインフラストラクチャを強化することです。

そこで役立つのが、F5のWebアプリおよびAPI保護ソリューションです。ハイブリッド環境やマルチクラウド環境の複雑さを軽減し、セキュアなデジタルエクスペリエンスを大規模に提供しやすくします。Google CloudとF5を活用すれば、現在のインフラストラクチャで安全かつ高速でシームレスなユーザーエクスペリエンスを維持しながら、ビジネスの進化に向けて目指す環境を整備できます。

改めて、この重要なトピックに関心をお寄せいただき、ありがとうございます。ウェビナー「APIの複雑化を解きほぐす：APIの乱立に対処し、デジタルエコシステムを保護」のオンデマンド完全版で、議論の内容をぜひ直接ご確認ください。

ご不明な点がございましたら、F5 Distributed CloudチームのAPI保護エキスパートまでお問い合わせください。

著者について

Beth McElroyシニアアライアンスマネージャー | F5

Beth McElroyのその他のブログ記事