NGINX App ProtectがAPIエコシステムにセキュリティをもたらす

Scott Laster

近年、APIは、現代のアプリ経済を構築するための「事実上の標準」となっています。こうしたソフトウェアインターフェースは、システム、アプリケーション、デバイス間の通信を可能にし、膨大な種類のデータや機能を共有するための主要な手段となっています。つまり、APIは情報流通における現代の「シルクロード」となり、さまざまなベンダーの優れたツールを組み合わせたソリューションを活用する力をお客さまにもたらします。

MuleSoftが毎年実施している「Connectivity Benchmark Report」の調査対象組織のうち、80%がパブリックAPIまたはプライベートAPI、あるいはその両方を利用しています。報告されたメリットには、生産性の向上（54%）、イノベーションの促進（47%）、コスト削減（34%）などがあります。また、この調査によると、APIを公開している企業では、APIが大きな収益を生み出しており、その割合は総収益の平均31%に上ります。

しかし、すべてが順調というわけではありません。F5 Labsの調査によると、2020年前半のAPIセキュリティインシデント件数は、過去2年間の合計を上回るペースで増加していました。DevOpsチームが直面する大きな課題は、APIセキュリティに多くの脆弱な領域があることです。たとえば、APIエンドポイントの前段に認証がまったくない状態、認証や認可の不備、基本的な設定ミスなどが挙げられます。

ここで問題となるのは、すべてのAPIアクティビティをどのように保護するかです。このブログでは、NGINX App Protectを中心とした「Security as Code」アプローチがAPIの保護に不可欠であり、信頼を寄せる他のセキュリティベンダーのソリューションとともに、CI/CDパイプラインへシームレスに統合できる仕組みを解説します。

APIは従業員とパートナーの双方に対応

As tracked by ProgrammableWebの調査によると、現在利用されているプライベートAPI、パートナーAPI、パブリックAPIは20,000を超え、日常的に使用するアプリを支えています。API、さらにはAPIが実行される、または接続するコンテナベースのマイクロサービスの魅力は、ソフトウェアの機能やデータを、従業員やあらゆる戦略的・商業的パートナーを含む幅広いユーザーに提供できる点にあります。（このアプローチでは、個々のニーズに最適なベンダーを選べるため、当然ながらDevOpsチームにとっても魅力的です。）

たとえば、多くの企業では、プライベートAPIやパートナーAPIを活用してセルフサービスITを実現しています。IT資産を見つけやすく再利用可能にすることで、組織内のより多くのメンバーが、その都度DevOpsに頼ることなく、より多くの業務を遂行できるようになります。セルフサービスITを適切に導入すれば、俊敏性の向上、市場投入までの期間短縮、多様なベンダーを活用した顧客重視のソリューション、効率化、イノベーション、利益率の高い収益につながります。

このような動きは、開発と本番運用の側にも見られます。コンテナ化されたソフトウェアとAPIにより、DevOpsチームは幅広いパートナーと連携できます。たとえば、アイデンティティおよびアクセス管理（IAM）パートナーには、Okta、AuthO、Microsoftなどがあり、ライフサイクル管理パートナーには、MuleSoft、Akana、Kongなどがあります。

コードとしてのセキュリティ、保護手段としてのポリシー

今日の変化が速く動的なCI/CD環境では、開発者とDevOpsチームは、包括的なアプローチによってWebアプリとAPIを保護する必要があります。そのためには、ソリューションの実装とソフトウェアの迅速かつ安全なリリースを支援するアプリケーションセキュリティツールが不可欠です。また、選択したアクセス管理およびライフサイクル管理パートナーとの緊密な連携を維持しながら、コードを保護する必要があります。

ここ数年でDevOpsがDevSecOpsへと進化する中、セキュリティそのものをコードとして実装する動きが進んでいます。つまり、すべてのコーディングが完了した後にセキュリティを付け加えるのではなく、新しいソフトウェアのあらゆる側面にセキュリティを組み込む必要性を、企業が認識し始めているということです。これには、次のようなプラクティスが含まれます。

• セキュリティをCI/CDパイプラインに直接組み込み、可能な限り自動化する
• セキュリティを、アクセスを許可または拒否するだけのゲートではなく、ガイダンスやツールを提供するガードレールとして構築する
• さまざまなパートナーと連携し、分散型環境やコンテナ化環境を含むあらゆる環境で、一貫性のある一元化されたセキュリティソリューションをセルフサービスで利用できるようにする

「Security as code」とは、開発の最後にセキュリティを後付けするのではなく、新しいソフトウェアのあらゆる側面にセキュリティを組み込むことを意味します。

最新のアプリケーションインフラストラクチャ向け高度なAPIセキュリティ

F5は、アプリケーションセキュリティの適応性、拡張性、信頼性を高めるsecurity-as-codeアプローチを強く推進しており、その実現にNGINX App Protectが重要な役割を果たしています。NGINX App Protectは、APIセキュリティと、市場をリードするF5の「Advanced Web Application Firewall（Advanced WAF）」および「ボット対策」の基盤機能を組み合わせ、DevOpsを支援します。

• セキュリティチームの承認に基づき、業務を中断させないセキュリティ制御を自動化およびCI/CDプロセスに統合
• コンテナやマイクロサービスなどの分散環境全体にアプリケーションセキュリティ制御を導入し、管理する
• リリース速度やアプリケーションのパフォーマンスに悪影響を与えることなく、費用対効果の高いセキュリティ制御を実装

NGINX App Protectを使用すると、基盤となるインフラストラクチャに依存しない軽量なソフトウェアパッケージとして、アプリケーションセキュリティを導入できます。これにより、ソフトウェア開発者は宣言型ポリシー（「Security as Code」）を利用して、APIゲートウェイやその他のIngressコントローラーに出入りするすべてのトラフィックを保護できます。このモデルでは、API自体がデフォルトでセキュアでない場合でも、NGINX App Protectによるセキュリティを、Ingress、Kubernetes Pod内、サービス間など、複数のポイントに適用できます。

お客さまが重視する他の業界リーダーと連携し、世界中のDevOpsチームがすでに利用しているベンダーや製品を取り入れながら、F5とNGINXは、アプリケーションエコシステム全体に最先端のソリューションを提供することに尽力しています。

まとめ

APIが情報共有の新たなシルクロードとなり、これまでにない形でユーザーとのつながりを可能にする中、NGINX App Protectは、想定されるあらゆる脅威からアプリとデータを保護します。NGINX App Protectは、パートナーエコシステムとの緊密な統合機能を含め、アプリの提供方法に合わせて設計されています。DevOps環境全体でシームレスに機能するこの業界最先端のソリューションは、DevOpsの自動化とCI/CDプロセス全体に、運用を妨げないセキュリティ制御を統合します。これにより、アプリセキュリティを後付けしたり、暫定措置として追加したりするのではなく、当初から組み込むことができます。

NGINX App Protectを実際にお試しになりませんか？今すぐ30日間の無料トライアルを開始するか、ユースケースについてお問い合わせください。

著者について

Scott Laster

Scott Lasterのその他のブログ記事