WebアプリケーションおよびAPI保護（WAAP）購入ガイド

はじめに

APIとAIを基盤とする分散型アプリケーションアーキテクチャが、新世代のデジタルイノベーションを加速させています。一方で、こうした動的な分散環境は攻撃対象領域を拡大し、侵害、ダウンタイム、ビジネスロジックの悪用が発生する可能性も高めます。効果的なセキュリティソリューションが、データセンター、クラウド、エッジ全体で、コード、テスト、ランタイムに至るまで、従来型アプリ、モダンアプリ、AIアプリを重大なリスクからどのように保護するかをご覧ください。

WebアプリケーションとAPIの保護（WAAP）はどのように進化してきたのか？

Webアプリケーションセキュリティ市場は、新たなデジタル経済の進展に対応するために進化してきました。Webアプリケーションファイアウォール（WAF）は、アプリケーションの脆弱性を緩和する効果的なツールであることが実証されています。一方、APIやサードパーティエコシステムの急増、攻撃者の手口の高度化を背景に、WAF、APIセキュリティ、ボット管理、DDoS攻撃の緩和がWAAPソリューションへと統合されつつあります。これにより、ゼロデイエクスプロイト、ビジネスロジック攻撃、アカウント乗っ取り（ATO）につながる可能性のある自動化された脅威など、さまざまなリスクからアプリケーションとAPIエンドポイントを保護します。

競争が激化するデジタル環境において、組織は市場で優位に立つために最新のソフトウェア開発を取り入れています。その結果、新機能を導入するリリースサイクルが短期化し、各種統合、フロントエンドのユーザーインターフェース、バックエンドAPIが複雑に組み合わされるようになりました。ショッピングカートやロイヤルティプログラム自体は弱点でも欠陥でもありませんが、商取引や顧客エンゲージメントを支えるエンドポイントは、攻撃者の主要な標的となります。そのため、すべてのユーザー操作とビジネスロジックを、ソフトウェアの脆弱性に加え、ボットや悪意のある自動化によるログオン、アカウント作成、カートへの追加といった機能の悪用につながり得る本質的な脆弱性から保護する必要があります。

APIは従来のWebアプリと同様に、脆弱な認証／認可制御、設定ミス、サーバーサイドリクエストフォージェリ（SSRF）など、数多くのリスクにさらされています。APIセキュリティ対策を適切に実施している企業でも、リスクにさらされる可能性があります。ハイブリッド環境やマルチクラウド環境にまたがるサードパーティ統合とAIエコシステムにより、防御側が対処すべき脅威領域は大幅に拡大します。シャドーAPIやゾンビAPIと呼ばれることの多い不正なAPIエンドポイントには、継続的な検出と自動保護が必要です。コード内、テスト時、ランタイムで実施することが理想的です。

今日、顧客にはかつてないほど多くの選択肢があり、好ましくない体験は受け入れられにくくなっています。セキュリティインシデントや、パフォーマンスの遅延、過度な認証要求など取引時のあらゆる障害は、収益の損失を招き、さらにはブランド離れにつながる可能性があります。

このように、新たなデジタル経済では、イノベーションを安全に促進し、リスクを効果的に管理し、運用の複雑さを軽減するために、アプリケーションセキュリティの新時代が求められています。

「現状のままでは到底対応できません。2024年には40,000件を超える脆弱性（CVE）が公開され、AIを活用した攻撃も増加する中、アプリケーションとAPIは攻撃にさらされています。」

^{– Cyber Security News}

なぜ今、WAAPが急務なのか？

クラウドの普及に続く生成AIの台頭により、アーキテクチャが多様化し、アプリケーションコンポーネント間の相互依存関係も複雑化しています。従来の3層Webスタックは、API間の通信を促進するため、マイクロサービスを基盤とする分散型アーキテクチャを活用したモダンアプリへと改修され、場合によっては置き換えられています。複数の環境にまたがるセキュリティスタックやクラウドネイティブのツールキットの管理は、対処困難なほどの複雑さを招き、インシデント対応担当者に大きな課題をもたらしています。AIによって脅威が急速に武器化されるなか、手作業で脅威に対処することは現実的ではありません。一方、容易に利用できるモバイルアプリやAPIを介したサードパーティ連携は、市場投入までの時間を短縮し、絶え間ないデジタルイノベーションが進む市場で競争優位性を維持するうえで重要です。

アーキテクチャの分散化、アジャイルソフトウェア開発、複雑なソフトウェアサプライチェーンによって攻撃対象領域が拡大し、未知のリスクが生じています。そのため、シフトレフトの原則に改めて注力し、脅威モデリング、コードスキャン、ペネトレーションテストなどを実施するとともに、環境全体で一貫したセキュリティ態勢を維持するための組織的な取り組みが必要です。InfoSecは、エクスプロイトや構成ミスを軽減するだけでなく、ソフトウェア開発ライフサイクル（SDLC）全体を通じてアプリとAPIを保護し、重要なビジネスロジックを不正利用から守るよう努める必要があります。

APIの急増とツールの乱立が広範に進み、転換点を迎えつつあります。セキュリティチームは、テレメトリを活用して実用的なインサイトを引き出すとともに、人工知能を用いてセキュリティ対策を自動調整し、リスクを適切に軽減する必要があります。

目指すべきは、データセンター、クラウド、エッジの全環境にわたり、コード作成からテスト、ランタイムに至るまで、リスクを継続的かつ一貫して低減する防御策を講じ、アプリケーションセキュリティを本質的に組み込むことです。

EBOOKを入手

WAAP購入ガイド

効果的で運用しやすいWebアプリケーションとAPIの保護によって、ビジネスの俊敏性とカスタマーエクスペリエンスを維持し、セキュリティをコストセンターではなくデジタル分野の差別化要因として捉え直す方法をご紹介します。