リアルタイムAPIセキュリティでアカウント乗っ取り詐欺に対抗

Beth McElroyシニアアライアンスマネージャー | F5

Google Cloudの最新の調査レポートによると、調査対象組織の半数が過去12か月間にAPIセキュリティインシデントを経験しています。¹ APIを介したアカウント乗っ取り攻撃の増加は、収益や顧客からの信頼を失う可能性をもたらし、ビジネスリスクを高めます。また、デリバリー、デプロイ、保守のプロセスを妨げることで、製品リリースを担うアプリケーションチームの負担も増大させます。

脅威の状況に的確に対応するため、喫緊のAPIセキュリティ課題について議論

組織がAPIベースのセキュリティインシデントという現実に直面する中、多くの組織が、運用ワークフローを損なうことなく脅威に先手を打つための、シンプルで実践的なアプローチを求めています。そして、「APIトラフィックを分析し、ボットや不正利用を検知して、不正行為やデータ窃取につながる可能性のある不正アクセスを防ぐために、どのような対策を講じているのか」と問いかけています。

先日、複数のアプリ開発者とセキュリティ専門家がF5およびGoogle Cloudとともに、アプリケーションの多数のAPIを介して甚大な被害をもたらしかねないアカウント乗っ取りの脅威を阻止する方法について意見を交わしました。

このウェビナー「アカウント乗っ取りの脅威を阻止する—APIセキュリティに関する対話に参加しよう」は、DevOpsチームとInfoSecチームが連携し、こうしたAPIセキュリティの課題に適切に対処できるよう支援することを目的としています。主なトピックは次のとおりです。

• APIを標的とする現在の脅威状況
• 従来のボット検知手法が効果を失った理由
• ブランドや評判が損なわれる可能性を軽減する方法

ライブセッションに参加できなかった方もご安心ください。このブログ記事で主な内容の一部をご覧いただけるほか、オンデマンド録画にもアクセスできます。

備え、保護し、対応する

議論が進む中、パネリストは、APIがどのようにセキュリティリスクを生み出す可能性があるのか、またAPIを悪用したアカウント乗っ取りを防ぐために組織が何をすべきかについて説明しました。現在利用されているAPIの膨大な数により、デジタル攻撃対象領域が急激に拡大している一方、多くの組織では効果的な保護に必要な可視性が不足していると強調しました。十分な可視性を確保するため、専門家は次の質問に答えるよう組織に促しました。

• 自社環境にはどのようなAPIが存在するか？
• それらのAPIからアクセスできるリソースは何ですか？
• APIを利用するのは誰ですか？
• それらのAPIによって、具体的にどのようなビジネス上の脆弱性が露呈しますか？

To APIを悪用したサイバー脅威に効果的に対抗するには、悪意ある攻撃者によるユーザーアカウントの乗っ取りを阻止できるよう、DevOps、InfoSec、ビジネスの各チームが連携して保護対策を実装する最善の方法を見極める必要があります。効果的なサイバーセキュリティプログラムには、適切なツールとインテリジェンス、部門横断的な強固な計画、効果的なチーム連携、進捗状況とセキュリティ態勢を評価・測定する能力、さらに戦略の有効性を経営陣と組織全体に率直に報告できる確信を含む、包括的な戦略が必要です。

防御を強化するため、F5の専門家は、アプリケーションの開発およびデリバリーの段階で保護対策を追加し、デリバリー後にはリアルタイム監視を導入することを推奨しています。これにより、深刻な事態が発生する前に、チームが迅速に対応できるようになります。この包括的な多層型アプローチでは、正常な挙動やアクティビティと不正なものを自動的に識別しながら、マルチクラウドのネットワークトラフィックと、分散アプリケーションおよびAPIのデータを組み合わせて、スケーラブルに収集できます。

結局のところ、APIセキュリティで重要なのは、可能な限り高い可視性を確保し、各シナリオに適切に対処するためのリアルタイムのランタイムインテリジェンスを備えることです。

APIによる成長を拡大し、保護

ウェビナーでの議論から、多くのDevOpsおよび情報セキュリティの専門家が、APIセキュリティの重要性をすでに理解し、スムーズな顧客体験と、自動化されたボットによる高度なアカウント乗っ取り対策を両立させる価値を認識していることが明らかになりました。しかし、その重要性は認識されているものの、こうした課題に効果的かつスケーラブルに対処する方法を見いだせずにいるケースが依然として多くあります。

こうした課題に対処するため、パネルディスカッションでは、各組織が期待するアプリ主導の成長を守る責任を担う主要なステークホルダーとのコミュニケーションに関するベストプラクティスを示すユースケースや事例を紹介しました。こうした手法には、次のような戦略的かつ的を絞った質問を投げかけることが含まれます。

アプリケーション開発：現在、アカウント乗っ取り攻撃からAPIをどのように保護していますか？また、APIによる顧客データの漏えいやコンプライアンスリスクの発生をどのように防いでいますか？

セキュリティ運用：脆弱性が存在する可能性のあるアカウントをすべて把握できていますか？不正利用や侵害の兆候がないか、APIトラフィックを監視できますか？

ネットワーク運用：ネットワークインフラ全体のAPIトラフィックをどのように保護していますか？悪意のあるボットやスクリプトによるAPIの不正利用に懸念はありますか？

ビジネス管理：アカウントのセキュリティは、顧客の信頼を維持し、不正取引による収益損失を防ぐうえで極めて重要です。侵害に関して、どのような指標を追跡していますか？

GoogleとF5がリアルタイムのランタイムAPI保護を実現

Most API-driven threats are now automated, rapidly adapting to dynamic changes in the environment and evolving to become even more clever at bypassing protections and avoiding detection. Effective API security depends on an organization's ability to integrate advanced, automated protections into its continuous integration/continuous delivery (CI/CD) pipeline, operations, infrastructure, and workflows without introducing friction into the delivery process or user experience.

Google CloudとF5は、データセンター、クラウド、アーキテクチャなど、あらゆる環境にわたってアカウント乗っ取り詐欺に一元的に対処できるよう組織を支援するソリューションと専門知識を備えています。リアルタイムのランタイムAPI保護により、DevOpsチームとInfoSecチームが連携し、以下を実現しやすくなります。

• アプリケーションにマッピングされたエンドポイントを自動的に検出
• 不要な接続に対する許可リストまたは拒否リストを定義して適用
• ネットワーク、デバイス、環境のテレメトリを分析
• 異常な挙動をリアルタイムで検出

ウェビナーのオンデマンド完全版をご覧いただき、他社が直面したAPIセキュリティの課題と、その解決に活用したソリューションについてご確認ください。ウェビナーのタイトルは「アカウント乗っ取りの脅威を阻止する—APIセキュリティの議論に参加しよう」です。より効果的なAPIセキュリティプログラムの策定と実装を進めるうえで、自社のアカウント乗っ取り対策に関する多くの疑問への答えが見つかるはずです。

ほかにご質問がございましたら、ぜひお問い合わせください。F5 Distributed CloudチームのAPI保護エキスパートにお問い合わせください。また、こちらからF5 Distributed Cloud Web App and API Protection (WAAP)シミュレーターをぜひお試しください：https://simulator.f5.com/s/waap

参考資料：

¹ Google Cloud、 2022年APIセキュリティ調査レポート：最新の知見と主要トレンド、2022年

著者について

Beth McElroyシニアアライアンスマネージャー | F5

Beth McElroyのその他のブログ記事