APIを利用すると、サービスの統合、データの接続、更新が容易になります。そのため、現代のアプリケーションではAPIが広く普及しています。組織がアプリケーションポートフォリオのモダナイゼーションを進めるなか、利用されるAPIの数は2031年までに10億を超えると予測されています。1これらすべてのAPIは、セキュリティを確保するどころか、把握することさえ困難です。その結果、組織は環境内に存在する多数の未管理の「シャドーAPI」への対応を迫られています。
残念ながら、攻撃者はAPIがアプリケーションよりも攻撃しやすい場合が多いことに気付いています。F5の分析によると、Webベースのサイバー攻撃の90%がAPIエンドポイントを標的としていることからも、その傾向が明らかです。2管理されていないAPIは、特に大きなリスクをもたらします。把握できていないものを保護することはできないためです。また、多くのAPIは、アプリケーションを構築するチームとは異なるチームや別の企業によって構築されているため、潜在的なリスクを把握しにくくなっています。
APIと共有責任モデルへの対応
大量のAPIを効果的に管理し、セキュリティを確保するには、多層型のソリューションが必要です。AWSユーザー向けのAmazon API Gatewayは、規模を問わずAPIの作成、公開、保守、監視、セキュリティ確保を可能にするフルマネージドサービスです。API Gatewayはさまざまなバックエンド統合をサポートし、コンテナ化されたワークロード、サーバーレスワークロード、従来のインスタンスベースのワークロードに対応します。
ただし、セキュリティはAWSとお客さまが共同で担う責任です。AWSはインフラストラクチャとサービスを保護する責任を負いますが、お客さまも自社のデータとアプリケーションを保護する必要があります。
AWSは、以下のセキュリティ設計原則を推奨しています。3
- 軽減：分散型サービス拒否（DDoS）攻撃の影響
- Implement inspection and protection using a Webアプリケーションファイアウォール（WAF）を使用して検査と保護を実装
- ほぼリアルタイムの監視により、監査とトレーサビリティを実現
- セキュリティのベストプラクティスを自動化
- 多層防御のアプローチに基づき、すべてのレイヤーにセキュリティを適用
F5でAWS上のAPIを保護
AWSパートナーであるF5は、Amazon API Gatewayと連携し、アプリとAPIを保護するセキュリティを提供します。F5 BIG-IP Advanced WAFまたはF5 Distributed Cloud WAFは、Amazon API GatewayやAPIサービスへの到達を試みる悪意のあるトラフィックを特定できます。WAFはAmazon API Gatewayの前段または後段に導入できます。ただし、前段に導入すると、コストの発生につながる悪意のあるAPI呼び出しを防止できるという利点もあります。
F5 WAFソリューションは、行動分析を使用して脅威を正確に特定し、レイヤー7 DoS攻撃の緩和、アプリケーション層の暗号化、脅威インテリジェンスサービスを提供します。WAFを導入することで、OWASP Top 10に含まれる攻撃などからアプリケーションとAPIを保護できます。
API保護におけるもう1つの重要な要件は、検出です。F5 Distributed Cloud API SecurityをCI/CDパイプラインと統合することで、開発プロセスを中断することなくAPIの変更を把握できます。既存のAPIスキーマをアップロードすると、適切なAPI動作を適用し、アプリ間およびAPI間のパターンに基づいてポリシーを自動生成できます。F5 Distributed Cloud API Securityは、接続の制御とAPIトラフィックの異常な動作の監視も行い、不審なアクティビティをブロックできます。
ボットは、APIセキュリティに対するもう1つの重大な脅威です。OWASP API Security Top 10の脅威には、無制限のリソース消費や認証の不備など、ボットに容易に悪用される可能性がある脆弱性が複数含まれています。F5 Distributed Cloud Bot Defenseを追加することで、人間の専門家と機械学習を組み合わせ、正規ユーザーや有用なボットを許可しながら、悪意のあるボットトラフィックを検出できます。
多層型のAPIセキュリティを実現
F5は、APIの保護に必要なすべてを、統合管理による多層セキュリティを提供する「F5 Distributed Cloud Web App and API Protection（WAAP）」で実現します。Distributed Cloud WAAPは、AWS、その他のパブリッククラウドやプライベートクラウド、オンプレミス、エッジなど、導入場所を問わず、アプリとAPIに一貫したセキュリティを提供します。
F5 Distributed Cloud WAAPはAWS Marketplaceで入手できます。保護機能を簡単に追加し、責任共有モデルにおけるお客さまの責任を果たせます。
AWS向けF5ソリューションの詳細については、f5.com/awsをご覧ください。
出典
1. F5、 継続するAPIスプロール、2021年11月
2. F5、 API保護のシフトレフトを進めるF5、2024年2月
3. Amazon、Amazon API Gatewayのセキュリティ概要：AWSホワイトペーパー、2023年
著者について
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。