見えないAPI：盲点が公共機関を攻撃の危険にさらしていませんか？

Bill Church連邦政府担当フィールドCTO

デジタル環境は絶えず進化しており、それに伴い、公共部門や国の重要インフラに対する脅威も変化しています。最近発生し、広く報じられた攻撃としては、米国財務省への侵害（昨年末）や、T-Mobileのネットワーク事業者に対するハッキング（2023年公表）などがあり、脆弱性が広く存在することを改めて浮き彫りにしています。

そして、こうした脆弱性は、アプリケーションプログラミングインターフェース（API）で見つかるケースが増えています。実際、Gartnerは最近、WebアプリケーションにおいてAPIが主要な攻撃ベクトルになりつつあると予測しており、私自身の経験からもこの傾向が確認されています。

今週開催される「AppWorld Public Sector Symposium」は、明日、バージニア州タイソンズコーナーで開幕します。API保護をはじめ、アプリケーションデリバリとセキュリティに関する新たなトレンドについて議論します。このイベントは、こうした課題を検証し、効果的な解決策を探る重要な機会です。

シャドーAPIの脅威を明らかにする

私が繰り返し目にする最大の課題の1つは、ネットワークの脆弱性を可視化できていないことです。多くの組織は、使用中のAPIがいくつあるのかを把握していません。約100個だと考えていたお客さまに対してAPIディスカバリを実施したところ、実際には30,000個近く見つかったこともあります。これは珍しいことではなく、重大なセキュリティリスクとなります。

APIは、アーキテクチャ、コンポーネント、種類、プロトコルが混在する複雑なエコシステム内で運用され、その中に埋もれています。平均すると、組織では20,000を超えるAPIが使用されています。2030年までに、公共部門と民間部門で使用されるAPIの総数は20億を超えると予測されています。こうしたAPIの管理とセキュリティ確保における課題の多くは、ドキュメントの不足や検出の難しさに起因します。

未知または管理されていないAPIが増殖する「シャドーIT」現象は、脆弱性が生じやすい環境を生み出します。こうしたAPIには適切なセキュリティ制御が欠けていることが多く、悪意のある攻撃者に狙われやすくなります。これは、家のドアや窓に鍵をかけず、侵入しようとする者を招き入れているようなものです。

APIの悪用と攻撃ベクトルを理解する

国家を背景とする攻撃者やサイバー犯罪組織がAPIを標的とするケースが増えています。政府機関や防衛関連のAPIも、一般公開されているAPIと同様に脆弱です。機密性の高いデータを扱うため、攻撃者にとってさらに魅力的な標的とも言えます。

APIは、ネットワークのさらに奥深くへ攻撃を仕掛けるための侵入口として悪用される可能性があります。APIが侵害されると、内部システム、データベース、その他の重要なリソースへのアクセスを許すおそれがあります。これは、組織の中枢へ通じる秘密の通路を見つけられるようなものです。米国の通信事業者T-Mobileの事例では、脅威アクターがAPIの脆弱性を悪用し、ダークウェブで価値を持つ機密データに不正アクセスできることが明らかになりました。この事例では、攻撃者が3,700万件の現顧客アカウントに関する個人情報を窃取しました。

さらに事態を複雑にしているのは、組織が自社のシステムに接続するすべてのAPIを完全には管理できない場合があることです。

米国財務省への攻撃者は、第三者のソフトウェアコンポーネントに存在する脆弱性を悪用してアクセスしました。皮肉にも、そのソフトウェアは同省のサイバー防御の一部を構成していました。このようなサプライチェーン攻撃は、規模や立場を問わずあらゆる組織に影響を及ぼす可能性があります。SolarWinds攻撃やVolt Typhoonグループによる攻撃など、多くの事例が大きく報じられています。

堅牢なAPIセキュリティ対策には、あらゆる側面を徹底的に検討する必要があります。F5の「2024年版アプリケーション戦略の現状レポート：APIセキュリティ」では、特にリスクが高いと見られるAPI、保護の対象から見落とされがちなAPI、そしてAI時代にAPIを保護するためにAPIセキュリティのモデルと責任をどのように適応させる必要があるかを明らかにしています。先に結論をお伝えすると、APIを対象に含めない限り、ゼロトラストセキュリティにも盲点があります。

AIはAPIセキュリティの味方になるか？AIを活用した防御

AIはAPIセキュリティの課題を深刻化させる一方で、その対策にも役立ちます。Gartnerは、AIの導入によって、2026年までにAPI需要の増加分のうち30%超が生じると予測しています。これは、大規模言語モデルがデータを収集・交換するために多数のAPIを必要とするためです。各APIにはドキュメントの整備とセキュリティ対策が必要であり、悪意ある行為につながる機会が数多く生まれます。

幸い、組織にも対抗手段があります。AIは強力な防御ツールとして台頭しており、AIと機械学習を活用すれば、APIトラフィックをリアルタイムで分析し、人手では特定できない異常や不審な挙動を検出できます。

AIはAPIを分類し、通常の動作パターンを把握して、不正利用の可能性やセキュリティ脆弱性を検出できます。また、進化する脅威に適応しながらセキュリティポリシーを動的に生成し、APIを常に保護するためにも活用できます。これは、疲れを知らないインテリジェントな警備員がAPIトラフィックを常時監視しているようなものです。

環境を問わず一貫した保護を実現

今日の公共機関は、拡張性とレジリエンスを確保するために、AWS、Azure、Google Cloudなどを組み合わせたハイブリッドクラウドおよびマルチクラウド環境を活用しています。しかし、こうした環境はAPIセキュリティの課題をさらに複雑にします。クラウドプロバイダーごとに独自のセキュリティツールや設定があり、それぞれに本質的な違いがあるため、セキュリティ体制が分断されます。クラウドネイティブのセキュリティだけに依存すると、攻撃者に狙われる隙が生じます。これは、連携しない複数の軍隊で城を守ろうとするようなものです。

複数のクラウドにまたがるAPIの管理は複雑であり、すべてのAPIとそのセキュリティ状況を包括的に把握できないセキュリティチームにとって、大きな負担となりかねません。この課題に対処するには、統一されたアプローチが必要です。まず、認証や認可などを対象とする、一貫した単一のセキュリティポリシー群をすべてのクラウドに適用します。また、あらゆる環境で基準となる保護レベルを確保するには、標準化されたセキュリティ制御も不可欠です。

API開発ライフサイクルに統合された自動セキュリティテストは、脆弱性の早期発見にも役立ちます。リアルタイムの監視と脅威検知によって可視性が向上し、インシデントへの迅速な対応が可能になります。また、堅牢なIdentity and Access Management（IAM）システムがAPIへのアクセスを制御し、明確なAPIガバナンスポリシーによって一貫したセキュリティ対策を確保します。

マルチクラウド環境でAPIを保護するには、プロアクティブかつ一元化された標準的なアプローチが必要です。これらの原則を実践することで、現代の公共部門や重要インフラを担う組織は、リスクを軽減し、APIのセキュリティを継続的に確保できます。最終的に重要なのは、進化する脅威に対して、強固で適応性の高い防御体制を構築することです。

詳しく知りたい方は、John Gilroy氏との対談を収録した最新の「Federal Tech Podcast」をお聴きください。また、「F5 Public Sector Solutions」のWebページもご覧ください。

著者について

Bill Church連邦政府担当フィールドCTO

Bill Churchのその他のブログ記事