最新のF5 Distributed Cloud ServicesリリースでAPIセキュリティリスクに先手を打つ

Ian Dinnoシニアプロダクトマーケティングマネージャー | F5

APIが現代のアプリケーション、特にAIアプリケーションの基盤として進化を続けるなか、組織にとって、新たに生じるセキュリティリスクからAPIを保護することがますます大きな課題となっています。APIを活用するあらゆる企業にとって、可視性の維持、脆弱性の検出、強固な保護の確保は不可欠です。

As part of the F5 Application Delivery and Security Platform (ADSP)の一環として、最新のF5 Distributed Cloud Servicesリリースでは、こうした課題により柔軟かつ効率的に正面から対処できるよう設計された、多数の新機能強化を導入します。今回のリリースでは、新たなAPI検出オプション、拡充されたテストシナリオ、強化された検知機能を提供します。これらはすべて、全体的な可視性とコンプライアンスを向上させながら、APIセキュリティリスクを軽減することを目的としています。

これらの新機能について、詳しく見ていきましょう。

拡充されたAPI検出オプション

絶えず変化するAPIインベントリに対応するには、APIを効果的に検出することが不可欠です。特に、セキュリティ上の死角となり得るシャドーAPIや管理対象外のAPIが増加する中、その重要性は一層高まっています。このたびF5 ADSPに、F5 BIG-IPおよびF5 NGINX、その他のプロキシ／ゲートウェイ、エアギャップ環境に対応する拡張検出オプションが導入され、組織は多様なアプリや環境全体でAPIを検出して保護するための柔軟性をさらに高められます。各検出オプションは、アプリとインフラストラクチャ固有の要件に対応するよう設計されており、APIの可視性向上に役立つ、より包括的な機能を組織に提供します。

• BIG-IP向けAPIディスカバリ：BIG-IP TMOSを活用している組織向けに、F5 Distributed Cloud API Securityのディスカバリ機能を、アウトオブバンド方式のAPIディスカバリオプションによって拡張します。これにより、BIG-IPのお客さま（バージョン15.1以降）は、仮想サーバーで処理されるAPIトラフィックを検査し、その結果をDistributed Cloud Servicesのコンソールで明確に可視化できます。この統合により、BIG-IPのお客さまは、未知のAPI、シャドーAPI、非推奨のAPIを検出し、正確かつ最新のドキュメントでAPIインベントリを充実させ、単一ベンダーの統合ソリューションを通じてAPIセキュリティをシームレスに管理できるため、APIを包括的に制御できます。（実際の動作はこちらでご覧いただけます。）
• 追加のプロキシおよびゲートウェイに対応したAPI検出（早期アクセス）： APIリクエストはさまざまなプロキシやゲートウェイを経由することが多いため、組織がAPIエコシステム全体を包括的に可視化することは容易ではありません。APIのデプロイ先、その前段にあるサービス、インフラストラクチャ内でのリクエストの経路にかかわらず、すべてのAPIを把握することで、組織は動作を監視し、潜在的な脅威を検出して、APIの無秩序な増加により効果的に対処できます。この可視性は、多様な環境で一貫したAPIセキュリティを確保するうえで不可欠です。
  
  今回のリリースでは、検証済みの統合により、アウトオブバンドAPI検出機能の対応範囲をNGINX OSS、NGINX Plus、Kong、Apigeeの各プロキシに拡大しました。また、ほぼすべてのゲートウェイやプロキシからログを収集できる汎用検出ソリューションを導入しました。これにより、組織はAPIアクティビティを分析し、管理されていないAPIを検出して、Distributed Cloud ServicesのコンソールでAPIエコシステムを一元的に可視化できます。
  
  現在、この機能は早期アクセスとして提供されています。さまざまなゲートウェイやプロキシ技術を利用する組織は、APIセキュリティ態勢をどのように強化できるかを試すことができます。
• ローカルAPIディスカバリ（早期アクセス）：今回の最新リリースでは、コンプライアンスやセキュリティ上の制約により外部とのデータ共有ができない、エアギャップ環境や規制対象環境向けに、ローカルAPIディスカバリを提供します。専用コンソールを備えた導入可能なローカルAPIディスカバリソフトウェアを使用することで、機密データをクラウドに送信することなく、BIG-IP仮想サーバーを通過するAPIを100%ローカルで可視化できます。ローカルAPIディスカバリは、厳格に管理された環境やクラウドの利用が制限された環境で事業を展開する業界向けに設計されています。
  
  この機能も現在、早期アクセスとして提供されています。エアギャップ環境を運用する組織は、APIセキュリティ態勢を強化し、コンプライアンス要件や規制要件を満たす方法を試すことができます。

これらの拡張されたAPIディスカバリ機能により、企業はシャドーAPI（未知のAPI）、管理されていないAPI、忘れられたAPIを検出し、OpenAPIスキーマとドキュメントを生成できるほか、機密データの検出結果やリスクに関するインサイトをAPIインベントリに追加できます。

これらの新しいオプションは、多様なアプリケーションアーキテクチャやセキュリティ／コンプライアンス要件に柔軟に対応できるため、APIセキュリティのためにアプリケーションを変更したり、アーキテクチャに関する重大な決定を下したり、コンプライアンス面で妥協したりすることなく、進化し続けるAPIセキュリティの課題に容易に対処できるよう組織を支援します。

新しいシナリオで拡充されたAPIテストスイート

このリリースでは、F5 Distributed Cloud API Securityが提供するプロアクティブなセキュリティ機能を引き続き強化し、サービスで利用できるAPIテスト機能の範囲を拡大して、OWASP API Top 10で特定されている脆弱性をさらに幅広くカバーします。具体的には、API1（オブジェクトレベルの認可の不備）とAPI4（無制限のリソース消費）の脆弱性を組織がテストできる新しいシナリオが追加されました。これらの追加機能により、組織はAPIコード内に潜み、以下の問題につながる可能性があるリスクを把握しやすくなります。

• リソースへの不正アクセス。
• 安全でないトークン処理。
• 過剰なデータ露出。
• リソースの飽和と設定ミス。

F5のAPIテストスイートを拡充することで、組織はAPIコードリポジトリとの統合および自動テストを通じて、開発ライフサイクルのより早い段階で、より広範な潜在的脆弱性を検出できるようになります。これにより、本番環境への移行前に修正を実施し、APIの脅威対象領域全体におけるリスクへの露出と脆弱性が悪用される可能性を大幅に低減できます。

OWASP API Top 10の脆弱性全般にわたる脅威検知の強化

F5はAPIテストを強化しただけでなく、トラフィックに基づく脅威検知メカニズムの改善も継続しています。新たな脅威からAPIを保護することは継続的な課題であり、進化し続ける幅広い脅威への対策がお客さまに必要であると認識しているためです。

今回の最新リリースでは、新機能の追加により既存の検知機能の多くを強化し、重大なOWASP API Top 10の脅威に対する保護を向上させました。これにより、組織は本番環境における攻撃やエクスプロイトの試行、不審なAPIアクティビティについて、より詳細なインサイトを得られます。

新しい検出機能の概要は次のとおりです。

• オブジェクトプロパティレベルの認可不備（BOPLA）を悪用する攻撃を検知：BOPLAの悪用に対する検知機能の強化により、APIリクエスト内のリクエストパラメータの不正利用を特定しやすくなります。こうした異常を検知することで、データ漏えいや権限昇格の試みにつながる可能性があるBOPLA脆弱性を悪用した攻撃を、組織がより効果的に防止できます。
• JWTの自動抽出：APIリクエスト内のJWTを識別して抽出することで、ユーザー／クライアントの識別と追跡を強化します。これはBroken Object Level Authorization（BOLA）の検出に不可欠であり、検出精度と攻撃の追跡可能性を向上させ、長期的なセキュリティ分析に役立ちます。
• 認証不備の検出機能を強化：新リリースでは、認証が必要なエンドポイントへの未認証アクセスをインシデントとして検出し、認証ロジックの重大な脆弱性を即座に把握できるようにします。これらのインサイトにより、APIエンドポイントのセキュリティを強化するための是正措置を迅速に講じることができます。
• 機能レベル認可の不備（BFLA）を狙う攻撃に対する異常検知の強化：拡張された異常検知機能により、管理エンドポイントを標的とする潜在的なBFLAの悪用を特定しやすくなります。認証済みユーザーの適切な「クレーム」を検証することで、機密性の高い管理機能を標的とした不正な試みに関する証拠をリアルタイムで取得できます。

これらの検知機能の強化により、組織はBOLA、BOPLA、BFLA、認証不備の脆弱性を狙う重大な攻撃の試みをリアルタイムで可視化できます。脅威を正確に特定することで、複雑なAPIエコシステム全体で強固なセキュリティ態勢を維持し、攻撃や脆弱性の悪用をよりプロアクティブに防止できます。これらの機能により、組織はAPIを保護し、APIセキュリティリスクを軽減するための態勢をさらに強化できます。

APIライフサイクルへのセキュリティの組み込み

APIの検出、テスト、脅威検知の機能を拡張した本リリースは、F5 Application Delivery and Security Platformを通じて、組織がAPIライフサイクル全体のセキュリティを強化できるよう支援するというF5の継続的な取り組みを示すものです。導入方法を問わず、あらゆるアプリケーションとアーキテクチャに存在するシャドーAPIや非推奨APIをより効果的に特定し、初期段階の脆弱性を緩和するとともに、進行中の脅威をより効果的に検知できます。F5は、極めて複雑かつ分散し、多様化したアプリケーションとAPIのエコシステムにおいて、可視性と制御を維持できるよう支援していきます。

詳細については、F5の「プレスリリース」をご覧ください。また、「製品ページ」でF5の包括的なAPIセキュリティ機能をご確認いただき、F5とともにAPIセキュリティ体制の最適化に向けた次の一歩を踏み出してください。

ここでご紹介した早期アクセス製品に関心をお持ちのお客さまは、詳細について担当のF5アカウントチームにお問い合わせください。

著者について

Ian Dinnoシニアプロダクトマーケティングマネージャー | F5

Ian Dinnoのその他のブログ記事