Web App and API Protection（WAAP）ソリューションで解決する最新のAPIセキュリティリスクと課題

F5エコシステム | 2023年7月21日

モダンアプリの脅威対象領域全体を十分に保護するには、高度な機能群が必要です。Webアプリケーションファイアウォール（WAF）は今も一定の役割を果たしていますが、アプリが進化し、APIが存続する中、増え続けるAPI接続網を含むアプリ全体を監視、追跡、保護するには、さらなる対策が必要です。

APIセキュリティを支援するうえでのWAFの潜在的な制約

WAFは、APIセキュリティに有用なツールですが、すべてのWAFが同等というわけではなく、APIの保護に関して制約があるものもあります。たとえば、次のような制約が考えられます。

複雑なAPI認可への対応：APIでは、Webアプリケーションで使用される従来のセッションベースの認証よりも複雑な認可メカニズムが採用されることがよくあります。WAFでは、OAuth 2.0、JWT（JSON Web Token）、カスタムのトークンベース認証など、複雑な認可スキーマへの対応が難しい場合があります。
プロトコルとペイロードの違いの分析：APIでは、データ構造やスキーマが異なるさまざまなプロトコル（REST、GraphQL、SOAP）やペイロード形式（JSON、XML）を使用できます。WAFでは、こうした違いの解析と検証に対するサポートが限定的な場合があり、脅威検知の可視性が低下し、誤検知や検知漏れが増える可能性があります。
レート制限：APIレート制限は、不正利用やAPIリソースの枯渇を防ぐうえで不可欠です。APIリクエストは動的であり、API固有のパラメーターに基づくレート制限が必要となるため、WAFではAPIトラフィックに正確なレート制限を適用することが難しい場合があります。
API固有の攻撃に関するインサイト：APIは、パラメータ汚染、API固有のインジェクション攻撃、API悪用など、特有の攻撃ベクトルの影響を受けやすい傾向があります。WAFには、こうしたAPI固有の攻撃を効果的に検知して緩和するための専用ルールやヒューリスティックが備わっていない場合があります。
API管理機能：WAFは主にセキュリティ面に重点を置いているため、APIガバナンス、ドキュメント作成、バージョン管理、デベロッパーポータル機能に必要な包括的なAPI管理機能が不足している場合があります。

APIセキュリティに向けたWAFの機能強化

WAFは引き続きアプリケーションセキュリティの要であり、APIを保護するための基盤レイヤーですが、それだけでは十分ではない点に注意が必要です。組織は、コストや複雑さ、APIを適切に保護する方法に関する誤った認識や理解不足など、さまざまな理由から多様なアプローチを検討し、導入しています。多くの組織では、利用ポリシーを適用してアクセスを制御しながらAPIを作成、管理、公開するために、既存のWAFをAPIゲートウェイで補完しています。これは良い出発点ですが、APIセキュリティ態勢には依然として多くのギャップが残ります。

では、次に何が必要でしょうか。未知のAPIやシャドーAPIにはどう対処すればよいのでしょうか。APIエンドポイントをきめ細かく制御するにはどうすればよいでしょうか。必ずしも自社で管理できないサードパーティAPIについてはどうでしょうか。ここでは、未知のAPI……つまりシャドーAPIという課題を取り上げます。APIセキュリティを包括的に確保しようとする中で、この課題に対応するため、専用のAPI検出・脆弱性管理ツールの追加を検討することがあります。

この先どうなるか、お分かりでしょうか。状況は瞬く間に非常に複雑になります。予算、専門知識、リソースを備えた一部の組織は、各分野で最適な製品を組み合わせるアプローチを選びます。しかし、多くの組織にとって、さまざまなソリューションをつぎはぎしてAPIセキュリティの脅威領域をカバーすることは、セキュリティ上の最大の課題の1つである「複雑さ」をさらに深刻化させるだけです。ポイントソリューションを追加すると、すぐに運用が立ち行かなくなる可能性があるうえ、効果的な監視と可視性の確保も非常に困難になります。

WAAPがもたらす効果 — アプリとAPIを包括的に保護

そこで登場するのが、WebアプリケーションとAPIの保護（WAAP）ソリューションです。すでに複雑なアプリケーションセキュリティエコシステムに、異なるベンダーから提供され、インサイトを一貫して関連付けられない可能性が高い独立したテクノロジーを、さらに積み重ねる必要があるでしょうか。こうした背景から、WAAP製品への進化と開発が進みました。最新のWAAPソリューションは、従来のWAFが備える機能と、APIの監視と保護に不可欠な専用機能を、単一の統合ソリューション（多くの場合はSaaSとして提供）に集約します。これにより、マイクロサービスベースのマルチクラウドおよびハイブリッドアプリケーション環境に必要なセキュリティ対策の一端を担うことができます。

WAAPとAPIの監視・保護機能に関する一般的な誤解

WAAPには、包括的なAPIセキュリティを実現するために必要な機能が備わっていないという誤解があります。よくある誤解として、WAAPではAPIを継続的に監視・追跡して異常を特定できない、新規または変更されたアプリやAPIのエンドポイントを追跡する高度な学習機能がない、エンドユーザーの意図を追跡して判別できない、といったものがあります。

これらは事実ではありません。最新のWAAPソリューションの多くは、F5 Distributed Cloud WAAPのようにAI/ML機能を備えて開発されており、APIの自動検出、スキーマ適用、ユーザーおよびAPIの異常検知など、APIセキュリティに不可欠な機能を支えています。また、帯域外分析に依存する多くのAPI専用ポイントセキュリティ製品とは異なり、WAAPソリューションでは、単一のインラインソリューション内でトラフィックを分析し、アプリとAPIのトラフィックをブロックします。脅威の分析、検知、緩和に遅延をもたらす可能性がある別のソリューションに、データをストリーミングまたはミラーリングする必要はありません。

F5 Distributed Cloud WAAPとそのAPIセキュリティ機能について詳しくは、Webサイトと、実際の動作を紹介する短いデモをご覧ください。