APIの脆弱性は、企業の評判を失墜させる脅威となります
日常生活において、コミュニケーションは素晴らしいものです。理解を深め、新しいことを学び、関係を築くための最も早い方法だからです。ソフトウェアの世界でも、APIはアプリケーション同士の対話を可能にし、機能や利便性を高めるというコミュニケーションの役割を果たしています。こうした接続性は、エンドユーザーが好み、また日々のソフトウェア利用において期待するようになった、より豊かな体験を生み出しています。
しかし、現実世界と同様に、過度な対話は大きな問題を引き起こします。Experian社は最近、そのことを身をもって経験しました。同社のAPI（サードパーティのパートナーが使用）が、事実上、ほぼすべての米国市民の信用スコアを流出させる可能性があったのです。
問題は迅速に修正されましたが、この脆弱性が完全に阻止されたのかという疑問は残ります。1つのベンダーが影響を受けたのであれば、他も同様である可能性が高く、その脆弱なAPIを利用するすべての人に影響を及ぼすシステム的なバグである可能性も否定できません。
APIセキュリティは、多くのセキュリティ専門家にとって常に意識すべき課題であり、私たちはそれに対抗するための知識を身につける必要があります。
不十分なAPI認証は、技術に精通した攻撃者にとって格好の標的です
データ漏洩やセキュリティインシデントの多くは、天才的な頭脳を必要としないという特徴があります。SolarWinds事件のような複雑で巧妙かつ破壊的な攻撃は、サイバー犯罪の天才集団によるものであり、むしろ例外的なケースです。
APIの認証が脆弱だと、悪用は非常に容易になります。ExperianのAPIバグを発見したセキュリティ研究者のビル・デミルカピ氏は、認証なしでアクセス可能であることを突き止めました。生年月日フィールドに「00/00/0000」と入力するだけで、氏名や住所といった公開情報と組み合わせて個人の信用スコアにアクセスできたのです。報告はされていませんが、こうした記録が収集され、価値のある信用データとして流出する可能性は十分にありました。
利用規模の大小にかかわらず、クリーンで機能的な認証プロセスを導入すべきです。適切に保護されていない「おしゃべりな」APIは、複数のシステムへのアクセスを許すリスクとなり得ます。
「認証の不備」は、OWASP APIセキュリティトップ10の第2位にランクされています。このバグを回避する方法についてはこちらをご覧ください。知識を深めた後は、当社のプラットフォームでスキルを試してみてください。
不十分なAPIセキュリティ管理は広範な問題であり、文化的な変革が必要です
Experianのような組織だけを非難するのは公平ではありませんが、今回のAPI露出で見られたセキュリティ管理の甘さは、ITシステムやエンドポイントの一部としてAPIを運用している多くの企業にとって、決して楽観視できる状況ではありません。
全体として、APIの脆弱性を発見・修正するだけでなく、保護すべき攻撃対象領域の一部として理解を深める必要があります。APIの可視性と構築方法は大きな懸念事項であり、セキュリティのベストプラクティスとして要求されるべきものです。最も厳格なセキュリティ対策を講じている組織であっても、社内の管理外で公開・運用されているAPIによって台無しになる可能性があります。APIの出所、最終的な管理責任者（サードパーティベンダーか？セキュリティ対策は十分か？）、そしてどのような情報にアクセスしているのかを問うことが、これまで以上に重要になっています。
インジェクション脆弱性は、すべてのCISOにとって悩みの種です。
APIセキュリティは比較的新しい分野に見えるかもしれませんが、従来のWebソフトウェアで見られた（非常に）古い手法が悪用されることもあります。
最近公表されたAccellionへの攻撃では、SQLインジェクションとOSコマンド実行の連鎖攻撃により、脅威アクターがAPIを操作し、社会保障番号を含む大量の機密データを抽出しました。攻撃者はAccellionのFTAソフトウェアについて広範な知識を持っていたと判断されており、これは徹底的なリバースエンジニアリングによって可能になったと考えられます。
2020年12月から2021年1月にかけて発生したこの侵害により、攻撃者は被害を拡大させる十分な時間を得ました。2021年2月のさらなる調査で、保存型XSS脆弱性が発見されました。フォレンジック分析の結果、わずか1つのAPIエンドポイントでユーザー入力のサニタイズが不適切だったために、admin.plスクリプトの呼び出し時に引数を注入できたことが判明しました。
多くの名門教育機関を含む3000以上の顧客を抱えるこの侵害は、広範囲に及ぶ可能性があります。残念なことに、これらの悪用は一般的な脆弱性を突いたものであり、セキュリティ意識の高い開発者であれば、本番環境前のコードレベルで対処できたはずのものが多く含まれていました。繰り返し述べているように、わずかな隙間が大きな問題を引き起こします。人間が主導するサイバー防御の文化を、この人間的な問題を解決するための戦略の一部として組み込む必要があります。
今すぐAPIセキュリティのスキルを試してみませんか？Java Spring API、Kotlin Spring API、C# (.NET) Web APIなど、学習プラットフォームでAPIチャレンジに挑戦しましょう（ドロップダウンからすべての言語/フレームワークを確認できます）。
AI主導の開発をリリース前にガバナンスする
AIを活用したリスク測定、コミット時のセキュアコーディングポリシーの強制、そしてSDLC全体を通じたセキュアなデリバリーの加速を実現します。
他のブログ記事を見る
セキュアコーディング、AIガバナンス、ソフトウェアリスク管理に関する専門的なコンテンツをご覧ください。
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
.avif)
AIを活用した開発をリリース前にセキュアに
開発者のリスクを可視化し、ポリシーを適用することで、ソフトウェア開発ライフサイクル全体における脆弱性を未然に防ぎます。
