APIセキュリティソリューション

APIは多くの点でユニークです。例えば、WebアプリケーションはエンドユーザーがWebブラウザ経由でアクセスするものであるのに対し、APIはシステム間でデータを交換します。また、APIはデータ転送フォーマットも異なり、バックエンドシステムに直接アクセスし、多くの場合、最新Webアプリとバックエンドデータベースやサーバーとの間を中継する働きをします。そうした相違があるため、APIセキュリティとWebアプリケーションセキュリティは、インジェクション攻撃やアクセスリスクなど脆弱性カテゴリーに共通点はあっても、検出方法が異なるのです。

増加するAPIの管理には、フルライフサイクルのAPI管理、APIの可観測性確保、そしてより総合的なWAAP（WebアプリケーションとAPIの保護）など、アプローチがいくつかあります。API可観測性ツールはAPIのパフォーマンスを観測し、（セキュリティではなく）インサイトを提供します。フルライフサイクルのAPI管理はAPIの管理に重点を置き、高度なセキュリティは提供しないのが通常です。WAAP（WebアプリケーションとAPIの保護）は、Gartnerの定義によれば、ホスト場所を問わずWebアプリケーションを保護するために設計されたセキュリティソリューションのカテゴリーです。WAAPは本番環境のAPI、リアルタイムモニタリング、そして不正利用やゼロデー脅威、攻撃からの保護に最も適しています。

REST APIを介して、クライアントはサーバーにリソースをリクエストでき、サーバーはその情報を現在の状態でクライアントへ返します。REST APIの「呼び出しと応答」が行われている間、攻撃者はいつでもAPIを狙えます。そのため、REST APIの不正利用を防止するには、認証済みの「良性」APIトラフィックのみを認可し、不正クライアントからのリクエストをブロックする必要があります。APIでの認証と認可の方法は、mTLS証明書、JSON Webトークン、有効なAPIキー、OAuth 2.0トークンなどがあります。

APIアクセスキーは、認証をユーザー資格情報から切り離し、代わりに秘密の文字列をAPI呼び出しと共に送信するもので、これによりAPIへのよりセキュアなアクセスが可能になります。ただ、APIキーを使っても、中間者攻撃や開発者の不正利用、ソースコードに秘密情報が含まれる問題などのリスクは残ります。JSON Webトークン（JWT）は、セキュアな暗号化アルゴリズムを用いて署名し、ペイロードから機密データを除外し、トークンに有効期限を設定する限り、静的なAPIキーより安全で柔軟な方法です。

IT、セキュリティ、アプリケーション開発のステークホルダーがAPIセキュリティのレベルを評価する際は、さまざまなメトリクスが使えます。例えば、堅牢なAPIセキュリティモデルを採用している企業であれば現行APIのアセットインベントリがあり、それを見れば全APIでデータコンプライアンスが確保され、厳格な認証・認可方法が用いられていることがわかるはずです。また、露出または漏洩した資格情報が使われているAPI呼び出しを識別し、API呼び出し・応答をスキャンして個人を特定できる情報（PII）、クレジットカードデータ、個人の健康情報が含まれないか確認する監査も実施されているはずです。適応型でインテリジェントなレート制限（各エンドポイントで観測されるトラフィックパターンによって決定）をAPIに設定する能力も、高度なAPIセキュリティの印といえます。

APIの不正利用とは、リアルユーザーエクスペリエンスの阻害や劣化につながるビジネスロジックの欠陥やアプリケーションの脆弱性に乗じてAPIを悪用することをいいます。現在のAPIでは、オブジェクトレベルの認可不備（BOLA）や関数レベルの認可不備（BFLA）として知られる認証・認可制御の欠如が原因となり、データ露出、無認可アクション、セキュリティ制御迂回、サービス中断、アクセス権限昇格が頻繁に起こっています。