T-Mobileの情報漏えいから得られた教訓（現時点）

F5エコシステム | 2023年2月08日

最近のT-Mobileによるデータ侵害の公表は、アプリケーションセキュリティの新たな「無法地帯」となりつつあるAPIが抱える課題を浮き彫りにしています。個人（またはグループ）がAPIを利用（または悪用）して3,000万人を超える顧客の個人データを収集し、検知されるまで1か月以上にわたって毎日情報を抜き取っていました。

本稿執筆時点では、この事例でAPIが具体的にどのように、またなぜ悪用されたのか（機能の悪用、オブジェクトレベルの認可不備、過剰なデータ公開など）、また侵害が最終的にどのように発覚したのかについて、詳しいことはあまり分かっていません。数字だけを見ると、このAPIを介して1日平均902,000人分の顧客データが流出していたにもかかわらず、レート制限のしきい値や時系列の振る舞いの異常などは検知されませんでした。あるいは検知されていたものの、脅威レベルが適切に設定されておらず、運用チームが迅速に特定して緩和措置を講じるには至らなかった可能性もあります。これは、時間をかけて少しずつ進行する「ロー・アンド・スロー」攻撃の特徴を示しています。

このような侵害事例は、APIがいかに広く普及し、今日の組織にとっていかに重要であるか、また、個々のアプリケーション、ひいては組織全体のセキュリティ（またはセキュリティ上の脆弱性）においてAPIが果たし得る特有の役割について考える機会となります。近年の侵害事例の分析で、F5 Labsは、APIに関連するインシデントの大半において、侵害手法は技術的に非常に単純であり、一般公開されているセキュリティ対策が不十分なAPIエンドポイントが影響を受けていることを確認しています。

APIのセキュリティ対策は、口で言うほど簡単ではありません（少なくとも、適切に実施するのは容易ではありません）。今日、多くの組織が監視するアプリケーションやエンドポイントは増え続け、それに伴って膨大なアプリケーションセキュリティイベントデータが生成されています。そのすべてを常に把握することは、不可能にさえ思えます。

しかし、この攻撃からは、APIセキュリティに関して特に重要な3つの要素が浮き彫りになっています。組織が以下を実現するテクノロジーやサービスを優先するうえで、いずれも参考にできます。

APIの可視化と検出 この事例では、この特定のAPIが把握されていたのか、または積極的に監視されていたのかは明らかではありません。安全に開発され、十分に文書化されたAPIとスキーマ適用機能に基づくポジティブセキュリティは不可欠ですが、それだけでは十分ではありません。多くの組織では、自社環境で稼働するすべてのAPIを把握できていない可能性があります。そのため、アプリケーションのあらゆる通信経路に存在する、まだ文書化されていないAPIを継続的に学習してマッピングできることが極めて重要です。検出テクノロジーにより、組織はAPI環境全体をマッピングし、未知のAPIやシャドーAPI、ブロックまたは削除すべき放棄されたAPIやゾンビAPI、ガバナンスの対象として検討すべき未知の「正規」APIを明らかにして、より包括的に監督できます。

APIの存在を把握することと、アクセス制御機能を備えることは、APIセキュリティを構成する2つの重要な要素です。F5の「2022年版アプリケーション戦略の現状レポート」では、回答者の68%が認証と認可をAPIセキュリティで最も価値の高い要素として挙げ、僅差で行動分析と異常検知が続きました。攻撃者はさまざまな方法で認証と認可を容易に回避できるため、APIを監視し、異常な動作や不正利用の可能性を特定してアラートを発することが重要です。このシナリオでは、APIとクライアント間で受け渡されたデータに何らかの異常があったと考えられます。本番環境への導入後にAPIの動作を継続的に追跡するには、通常、APIリクエスト分析と時系列異常検知を使用して動作属性のベースラインを構築し、リクエスト率、エラー、レイテンシ、スループットなどの異常を特定します。この機能では、予期しない急増や急減、特異なトラフィックパターン、異常なAPIリクエストが検出された際に問題を通知するアラート機能が不可欠です。

最新のAPIセキュリティスタックを完成させるには、インラインのアプリケーションおよびAPIセキュリティ適用エンジンが必要です。これには、レート制限、IPレピュテーション、許可／拒否リスト機能、L7 DoSなど、きめ細かなL7ポリシー適用をはじめとする多層的なアプリケーションセキュリティ機能を備え、悪意のあるエンドポイントやユーザーなどのアクティビティをさらに調査して対処できるWAFが含まれると考えられます。これにより、運用チームは異常の検出時にAPIの不正利用の疑いを迅速かつ容易に特定し、その不正利用を阻止するポリシーを作成できます。その結果、APIやアプリケーションのエンドポイントが進化し、動作が変化しても、長期にわたって保護を強化できます。

時間の経過とともに、この侵害で実際に何が起きたのかが明らかになり、さらなる情報が出てくることは間違いありません。しかし、組織がこの3つの要素を活用して評価を行い、このような不正利用からアプリとAPIエンドポイントを保護するための計画をより適切に策定することが極めて重要です。