F5 Distributed Cloud Services Base Packageに API Security機能の無料利用枠が追加されました
はじめに
近年、Web APIセキュリティの重要性が指摘されています。従来のWAFやAPI Gatewayの機能だけでは、APIセキュリティを確保することは難しいとされており、F5のDistributed Cloud Servicesにおいても、これに特化した機能を提供してきていました。これまではオプションライセンスとして提供されていたAPIセキュリティ機能ですが、2025年1月より、基本ライセンスのBase Packageに無料の利用枠が追加されました。
API Discovery機能
F5 Distributed Cloud ServiceのAPI Discovery機能では、Traffic(通信)、Source Code、Crawler（外部からのAPIスキャン）の３つの情報を分析し、APIエンドポイントを漏れなく検出することができます。また、検出したそれぞれのAPIエンドポイントを分析し、通信に含まれるセンシティブデータ（個人情報等）の検出や、各種コンプライアンス(PCI DSS/SOC2/ ISO_IEC_27001,27701等)関連データの有無の洗い出し、さらには、エンドポイント単位でのリスク評価（スコアリング）を行います。この機能を、WAFのクラウドプロキシとして動作するHTTP Load Balancer１台に対して、無料で有効化することができるようになりました。APIセキュリティ対策として、API Discoveryから始めることが重要であることは当社のブログでもご紹介していますが、この取り組みをより簡単に実現していただけるようになります。
API Protection機能
無料枠には、API Protection機能も含まれています。OAS(Open API Spec)ファイルを元にした通信制御(Allow/Block/Report)や、API Protection RuleによるPATH/送信元などの条件でのリクエスト処理とAPI Rate Limit処理を行うことができます。また、JWT Validation機能によるクレーム評価を行うことも可能です。加えて、Malicious User Detectionと呼ばれる機械学習による不正クライアント検知機能も含まれています。Base Packageで、これらのAPI Protection機能を、月間500kリクエスト（Good Request）まで利用することが可能となりました。API Discovery機能により、脆弱なAPIエンドポイントが見つかった場合でも、即座に対策を行うことが可能です。また、Malicious User Detectionについては、APIエンドポイントの保護だけでなく、通常のWebアプリケーションの保護にも活用いただけます。
まとめ
F5 Distributed Cloud API Securityが、Base Packageの中の無料利用枠に追加されたことにより、より包括的にWeb/APIセキュリティを低コストで開始することができるようになりました。もし、ご興味を持っていただけましたら、ぜひ、当社までお問い合わせください。