主な課題は、API が急速にしており、多くの場合無秩序に増加していることです。API は通常、セキュリティではなくスピードを重視して構築されています。今日のアタックサーフェスには、急いで開発され、十分にテストされておらず、誤設定やコーディングエラーなどの脆弱性を伴ってリリースされた API が多数存在するため、これらが攻撃者にとって格好の標的となっています。
Akamai を選ぶ理由
API によりアタックサーフェスが拡大：アプリケーション、クラウドサービス、デジタル・サプライ・チェーン全体で API が急速に拡大し、攻撃者の主な標的となっています。84% の組織が過去 1 年間に API セキュリティインシデントを経験しており、従来型のセキュリティツールではもはや不十分であることは明らかです。組織は API とそのリスクに対する可視性を高め、API 脅威に特化したセキュリティ制御を組み合わせる必要があります。
可視性は API のセキュリティを確保するための土台：API の状況を明確かつ継続的に把握できていない組織は、適切に保護も管理もされておらず、忘れられた API を認識できません。さらに、完全な API インベントリを備えている企業のうち、どの API が機微な情報を返すかを把握している企業の割合はわずか 27% です。ここで役立つのが、より強力な API 探索機能とポスチャ管理機能です。
API のセキュリティを確保するために作られた脅威検知および緩和機能：組織にはさらに、OWASP Top 10 API セキュリティリスクに詳述されているすべての脅威を含め、API の悪用や API 攻撃を検知して対処するためのより深い機能が必要です。このホワイトペーパーでは、次のような 11 の重要な API セキュリティ機能について説明します。
継続的な API の探索とポスチャ管理
機微な情報へのアクセスを含む API のふるまいの可視化
ユーザーエンティティのコンテキストを介した API の悪用の試みの発見
セキュリティに重点を置いた厳格なリアルタイム API テスト
継続的な API 探索とポスチャ管理が不可欠である理由は、それによって環境内のすべての API の包括的なリアルタイムのインベントリを確保し、機微な情報への露出などのリスクに関する包括的な分析を行えるようになるからです。この可視性は、ゾンビ API やシャドー API などの管理されていない API を特定して保護するために不可欠です。このような API を抑制しなければ、重大なリスクが発生するおそれがあります。
API のふるまいを可視化することで、API がどのように使用または悪用されているかをセキュリティチームが明確かつ実用的な形で把握するのに役立ちます。これにより、セキュリティ、開発、運用の関係者が効率的にコミュニケーションを取り、ケースを調査し、疑わしいアクティビティを迅速に特定して対処できるようになります。
組織は、開発段階の API テストにシフトレフトアプローチを採用することで、API の脆弱性を早期に発見し、対処できるようになります。コア機能には、OWASP Top 10 API セキュリティリスクで取り上げられているタイプなどの悪性トラフィックをシミュレートする自動テストを実行することが含まれます。
攻撃確実度エンジンは、API のふるまい、ネットワーク・トラフィック・パターン、ジオロケーションデータ、脅威インテリジェンスフィード、その他のコンテキスト要素など、外部および内部のシグナルを評価するためにトレーニングされた高度な機械学習アルゴリズムを使用し、検知されたランタイムインシデントが悪性アクティビティの結果であることの確実度を判定できます。