F5 Friday：F5と3scaleによるAPIセキュリティ

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

サービス指向アーキテクチャ（SOA）が一世を風靡し、SOAPベースのWebサービスが主な統合手段だった頃、市場ではSOAゲートウェイが求められるようになりました。これらのソリューションは、管理、バージョニング、HTTPルーティングなどの機能を提供していました。しかし、少なくとも包括的には提供していなかったのがセキュリティです。そこで登場したのがSOAセキュリティゲートウェイでした。

現在ではAPIが広く普及し、RESTfulなJSONベースのサービスが、モバイルアプリやクラウドネイティブアプリのデータ交換を支える基盤となっています。APIにも、セキュリティを含め、SOAゲートウェイと同様のサービスが必要です。しかし、その前身と同じく、ほとんどのAPIゲートウェイは、ビジネスやアプリケーションに固有の機能を重視しています。

3scaleのようなAPIゲートウェイは、組織全体のメッセージを評価、変換、保護します。バージョニング、レート制限、決済ゲートウェイとの統合など、ビジネス向け機能をサポートします。また、ダッシュボードでは、開発者がパフォーマンスと利用状況を確認できます。

ただし、APIゲートウェイが必ずしも包括的なセキュリティ対策を提供するとは限りません。DoS対策、悪意のあるコンテンツの検出、ボットのブロックは、Advanced WAFなどのセキュリティサービスが担う領域です。両者を組み合わせることで、セキュリティレベルを高め、APIの完全性に対する信頼性を向上できます。

これは、組織の60%が、あらゆる開発者が利用できる公開API（State of API Integration 2018、Cloud Elements）を提供していることを考えると、特に重要です。あらゆる開発者に門戸を開くことは、ビジネス機会の拡大につながる一方で、悪意のある者による攻撃にさらされる可能性も生じます。

F5は3scaleと提携し、包括的に保護されたアプリケーション環境をお客さまが利用できるようにしました。3scale APIゲートウェイの前段にF5 Advanced WAFを配置することで、IPインテリジェンスを活用した脅威の迅速かつ高精度な特定、社内外へのセキュアなAPIファサードの提供、さまざまなアプリケーション層攻撃からの保護といった、追加のセキュリティ対策を利用できます。

APIが社内外の主要な統合手段として中心的な役割を担うようになる中、その重要性はますます高まっています。2018年のForbesの記事では、次のように指摘されています。

ここ数か月だけでも、APIの問題によって顧客情報を漏えいした著名な企業や組織には、オンライン小売大手のAmazon、通信事業者のT-Mobile、食品小売業者のPanera Bread、そしてBlack Hatセキュリティカンファレンスが含まれます。

このリストに名を連ねる事態は避けなければなりません。F5が3scaleと提携し、このソリューションを市場に投入したのはそのためです。

F5 Advanced WAFと3scaleを連携させてAPIを保護する方法については、こちらのソリューション概要をご覧ください。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事