災いを招く処方箋：APIファースト、セキュリティは後回し

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

APIの需要は高まり続けています。モバイルアプリを実現してデジタル経済の成長を後押しする場合も、自動化やオーケストレーションの取り組みによって社内の生産性を高める場合も、APIはあらゆる場面で活用されています。

多くの組織が、デジタル化の合言葉として「APIファースト！」を掲げています。実際、Cloud Elementsの2018年API統合の現状によると、回答者の過半数（60%）が、あらゆる開発者にAPIを公開しています。そして、その成果も表れています。実に85%の組織が、APIおよびAPI関連の実装から何らかの収益を得ています。その大半（59%）では、組織全体の収益の11～50%を占めています。また、10組織に1組織を超える割合（11%）で、収益の半分以上をAPIだけで生み出しています。（MuleSoftの「高まるAPIの価値」）

ただし、ここで忘れてはならないのは、APIが「あらゆる」開発者に公開されているという点です。善意のある開発者だけではなく、文字どおり、あらゆる開発者が対象です。

現在のAPIエコノミーが持つこのオープンな性質を考えると、APIファースト戦略にセキュリティラスト戦略が伴うケースがあまりにも多いのは、残念なことです。

著名な組織が関係するAPIセキュリティインシデントは、少し調べるだけでも数多く見つかります。Forbesが取り上げた事例でも、F5 Labsが独自に明らかにした事例でも、これらの組織は、広く理解されているセキュリティ対策とツールを活用していれば防げたAPI関連のセキュリティ侵害を受けています。

F5 LabsのPrincipal Threat Research EvangelistであるRay Pomponは、APIセキュリティに関する調査で次のように述べています。

「……そこには、アプリケーションセキュリティで以前から繰り返されてきた典型的な問題と同じパターンが見られます。攻撃者は、ブルートフォース攻撃や盗まれた認証情報を使ってアクセス権を取得します。さらに、APIで認証された後は、過度に広範な権限が割り当てられていることを悪用します。」

出典：<https://www.f5.com/labs/articles/threat-intelligence/reviewing-recent-api-security-incidents>

つまり、以前からある典型的な問題です。結局のところ、APIの多くは、JSONまたはXMLデータのペイロードを運ぶ、HTTPで転送されるURIとして実装されています。これは、POSTされたフォームデータのペイロードを運ぶ、HTTPで転送されるURIと大きく異なるものではありません。

また、APIはコードへのインターフェースにすぎないことも忘れてはなりません。WhiteHatのアプリケーションセキュリティ統計によると、そのコードには10万行（LOC）当たり平均39件の脆弱性があります。ただし、これは従来型アプリの場合です。マイクロサービスアーキテクチャを使用してインターフェース（API）を実装した場合は、10万LOC当たり180件にもなります。いずれにしても、非常に多くの脆弱性です。

APIには、対応するWebアプリと同じ脆弱性が存在します。したがって、セキュリティについてもWebアプリケーションと同等の注意を払う必要があります。

それにもかかわらず、現在、APIセキュリティはWebアプリケーションのセキュリティほど重視されていません。少なくとも、セキュリティテストへの不十分な取り組みを示す実例を見る限り、そう言えます。SmartBearによる非公式の調査では、現在「広範な」APIセキュリティテストを実施している回答者は、わずか12%でした。そのほぼ2倍に当たる23%は、APIセキュリティテストをまったく実施していませんでした。これは、回答者の80%がAPIをテストしていることを示した、SmartBearによるより正式な調査とも整合しています。

つまり、依然として20%はテストを実施していません。

APIファーストは、デジタル経済に参画し、ビジネスと運用の両方を無駄のない強力なデジタル基盤へと変革するうえで、優れたアプローチです。しかし、セキュリティを後回しにすれば、その取り組みがTwitter*で批判的なハッシュタグとしてトレンド入りする事態にもなりかねません。それは誰も望んでいないはずです。

APIファーストを採用するのであれば（採用すべきです）、セキュリティも最優先事項として扱う必要があります。APIにセキュリティラスト戦略を採用してはなりません。

まずは、次の簡単な手順から始めてください。

1. 存在するなら、テストしてください。
2. ユーザー入力がある場合は、信頼しないでください。
3. ユーザーログインがある場合は、ブルートフォース攻撃やクレデンシャルスタッフィング攻撃から保護します。
4. APIの基盤となるシステムやサービスには、保守とパッチ適用が必要であることに留意してください。それらの脆弱性は、APIの脆弱性にもつながります。

安全対策を徹底してください。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事