Coders Conquer Security OWASP APIトップ10シリーズ - 不適切な資産管理

OWASP APIセキュリティのトップ10に挙げられる脆弱性の多くとは異なり、不適切な資産管理は特定のコーディングミスに起因するものではありません。むしろ、この脆弱性は、古いAPIが新しい安全なバージョンに置き換えられるべき時期を過ぎても放置されてしまうという、人的または管理上の問題です。また、開発中のAPIが脅威に対する十分な対策を講じられる前に本番環境へ公開されてしまった場合にも発生します。

この脆弱性は、マイクロサービスやクラウドコンピューティングの普及により、管理が非常に困難になっています。こうした環境では、一時的なニーズを満たすために新しいサービスが迅速に立ち上げられ、そのまま忘れ去られて廃止されないことが多々あります。古いAPIが本番環境に接続されたまま放置されると、ネットワーク全体が危険にさらされる可能性があります。

このセキュリティバグをゲーム形式のチャレンジで体験してみませんか？アリーナはこちら： [こちらから開始]

不適切な資産管理の欠陥は、APIにどのような影響を与えるのでしょうか？

不適切な資産管理という欠陥は、現代特有の産物です。ビジネスのスピードを重視する組織では、毎日何百、何千ものサービスやマイクロサービスが立ち上げられることがあります。多くの場合、これらは迅速に行われ、関連するAPIの用途、必要な期間、重要度といった説明やドキュメントが作成されません。その結果、APIが際限なく増殖し、特にAPIの存続期間を定義する包括的なポリシーがない場合、制御不能な状態に陥る可能性があります。

そのような環境では、一部のAPIが所在不明になったり、忘れ去られたり、廃止されないまま放置されたりする可能性が非常に高くなります。

通常のプロセス外で新しいサービスを作成する権限を持つユーザーが原因となることもあります。例えば、マーケティング部門が製品発表などのイベントを支援するためにサービスを作成し、イベント終了後もそのまま放置してしまうケースです。後からそのサービスやAPIを見た担当者は、なぜそれが存在するのか分からず、ドキュメントもなければ謎のままとなります。重要度や用途が不明なため、本番環境から削除したり、新しいバージョンにアップグレードしたりすることに不安を感じるかもしれません。

この脆弱性が危険なのは、フレームワーク内のAPIセキュリティが時間の経過とともに向上するためです。研究者が脆弱性を発見したり、巧妙化する攻撃を防ぐためにセキュリティが強化されたりします。古いAPIはアップグレードされない限り攻撃に対して脆弱なままであり、ハッカーは自動化ツールなどを使用してそれらを標的にします。

OWASPが挙げた実際の事例では、ある企業がユーザーデータベース検索用のAPIをアップグレードして重大な欠陥を修正しましたが、誤って古いAPIをそのまま残してしまいました。

攻撃者は、新しいAPIの場所が「api.criticalservice.com/v2」のような形式であることに気づきました。URLを「api.criticalservice.com/v1」に置き換えることで、既知の脆弱性を持つ古いAPIを利用することが可能となり、結果として1億人以上のユーザーの個人情報が流出しました。

不適切な資産管理の欠陥を排除する

環境から不適切な資産管理の欠陥を排除する唯一の方法は、すべてのAPI、その用途、およびバージョンを厳格にインベントリ管理することです。まずは既存のAPIの棚卸しから始め、本番環境や開発環境といったデプロイ先、ネットワークアクセスの権限、そして当然ながらバージョンなどの要素に焦点を当てます。

それが完了したら、新しく作成されるすべてのAPIやサービスに対して、ドキュメントが自動的に追加されるプロセスを導入する必要があります。これには、レート制限、リクエストとレスポンスの処理方法、リソース共有、接続可能なエンドポイント、適用される関連ポリシーなど、後の監査に必要なあらゆる情報を含めるべきです。また、非本番環境用のAPIや開発環境のAPIを本番環境で使用することは避けてください。APIに期限を設け、所有者が継続利用の正当性を証明しなければ自動的に廃止される仕組みの導入も検討しましょう。

アクティブなAPIの新しいバージョンが利用可能になったら、リスク評価を実施してアップグレードの必要性を判断し、本番環境への影響を最小限に抑える手順を策定してください。新しいAPIへの移行が完了したら、古いAPIは環境から完全に削除します。

これらを実行することで、不適切な資産管理の脆弱性が組織、ユーザー、ネットワークに害を及ぼすのを防ぐことができます。この脆弱性に関する詳細や、他のセキュリティ上の欠陥から組織と顧客を守る方法については、Secure Code Warriorのブログをご覧ください。また、サイバーセキュリティスキルを常に最新の状態に保つために、Secure Code Warriorトレーニングプラットフォームのデモを試すことも可能です。

‍