アプリとAPIのセキュリティが、より専門化していることは明らかです。APIはもはや、URIベースのアプリケーションへのエントリーポイントにとどまりません。APIは成熟し、固有のセキュリティニーズを持つ独立した存在となっています。
こうしたセキュリティ要件の多くは、APIのやり取りの性質に関係しています。具体的には、APIではトランザクションごとに認可する必要があります。これは、一般にセッション単位で認可を適用するアプリとは大きく異なります。
APIはやり取りの頻度も高く、ほかにもAPIのセキュリティ確保を特に難しくする特性がいくつかあります。
アプリ APIメッセージ形式への対応 HTML、JSON、XML ProtoBuf、JSON、GraphQL、バイナリ、XML、各種データ形式インタラクション 静的、変更頻度が低い 動的、変更頻度が高いデータ 構造化、トランザクション 非構造化／構造化、ストリーミング、トランザクションユーザー 人間 ソフトウェア、人間ユーザーエージェント ブラウザー、アプリ ソフトウェア、デバイス、スクリプト、アプリ、ブラウザー認証 セッションベース トランザクションベース（よりZTに近い）プロトコルへの対応 HTTP/S、QUIC gRPC、WebSockets、HTTP/S、QUIC
アプリとAPIを比較すると、セキュリティニーズの相違をもたらした両者の違いが明らかになります。
とはいえ、セキュリティソリューションを導入する際には、アプリとAPIに共通するセキュリティリスクも考慮する必要があります。たとえば、最近更新された「2023 API Security Top 10」では、アプリケーションにも共通するリスクの一部が明確に示されています。
- 脆弱な認証・認可制御
- 設定ミス
- ビジネスロジックの悪用（クレデンシャルスタッフィング、アカウント乗っ取り）
- サーバーサイドリクエストフォージェリ（SSRF）
これらのリスクに加え、可用性を狙う攻撃も依然として多数発生しています。具体的には、アプリとAPIの両方に共通するDDoS攻撃です。一般に、アプリとAPIはいずれもTCPとHTTPに依存しており、これらはアクセスや可用性の妨害を目的とするさまざまな攻撃の対象となります。
アプリ、API、およびそれらを支えるインフラストラクチャのセキュリティ確保という課題に対処する方法の1つは、複数のソリューションを導入することです。具体的には、ボットおよび不正対策、DDoS対策、アプリセキュリティ、APIセキュリティです。これによりセキュリティ上の課題には対処できますが、運用上の課題が生じ、ポリシー変更の管理や、アプリとAPIの両方に影響する脅威への対応など、セキュリティ関連の多くの作業が複雑になります。複雑さは、セキュリティだけでなく、スピードの妨げにもなります。
新たな脅威に対応できるスピードは、F5の年次調査によると、Security as a Serviceの導入を促す主な要因の1つです。新たな脅威を緩和するためにパッチやアップデート、新しいポリシーの導入が必要なソリューションが増えるたびに、対応に要する時間が長くなり、設定ミスやその他の誤りが生じる可能性も高まります。そのため、複雑さが増すほど、脅威の緩和に要する時間も長くなります。特に、組織が複数の環境（ハイブリッドIT）を運用し、環境ごとに異なるセキュリティソリューションを利用している場合は顕著です。それが線形的な増加なのか指数関数的な増加なのかを計算するつもりはありません。率直に言えば、差し迫った脅威への対応時間を長引かせる要因は、どのようなものであれ望ましくないからです。
そのため、より優れたアプローチは、ソリューションを統合し、脅威への対処を目的とした機能の運用管理とセキュリティ管理を共通化しながら、アプリやAPIに固有のプロトコルとペイロードには個別のセキュリティポリシーで対応できるようにすることです。
これにより、アプリケーションとAPIのセキュリティを統合した戦略が実現します。この戦略では、共通機能を共有しつつ、アプリやAPIに近い領域ほど、よりきめ細かく個別の要件に応じた対策を適用します。結局のところ、ボットはボットであり、データ品質、配信コスト、アプリとAPIのリスクプロファイルに及ぼす影響は共通の課題です。DDoSも同様です。同じ問題に対処するために2倍の数のサービスを運用することは、どの指標で見ても非効率です。
アプリケーションとAPIを統合的に保護するセキュリティ戦略は、運用面、財務面、アーキテクチャ面のいずれにおいても合理的です。
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
SOAS 2025：足並みの乱れが凡庸さを招く
AI導入における方針の不一致は、非効率を招きます。セキュリティ、自動化、導入の各戦略を整合させ、AIの可能性を最大限に引き出す方法をご紹介します。
WebAssemblyが重要な理由
WebAssembly（Wasm）は、あらゆるプラットフォームで高性能なアプリケーションを実現する、ポータブルで高速かつセキュアなバイナリ命令セットです。
インフラストラクチャは依然として格好の攻撃経路
クラウドコンピューティングでは、APIやドラッグ＆ドロップ式の設定ツールを活用し、ネットワークやインフラストラクチャを敬遠する人がそれらを直接扱わずに済むようにすることで、インフラストラクチャへの対応を不要にすることが長年追求されてきました。しかし、インフラストラクチャを無視することも、攻撃の主要な標的であるという事実を見過ごすこともできません。
堅牢なデータアーキテクチャがもたらす戦略的メリット
適切に構築されたデータアーキテクチャがもたらす効果は、業務プロセスの改善にとどまりません。戦略的な業務効率の向上、より深いビジネスインサイトの獲得、隣接するビジネス機会への展開にもつながり、これらすべてをより俊敏に実行できるようになります。
デジタルワークフローにおける不正検知には、データだけでは不十分
2019年には、業界全体でクレジットカード詐欺の試みが約25万件確認されました。これは約2分に1件の割合です。今日、不正を検知するには、デジタルワークフロー上のできるだけ多くのポイントから収集したデータを相互に関連付け、手作業によるデータ処理をはるかに上回る速度で分析する能力が求められます。