APIの保護：ミッション・インポッシブル？

サイバー攻撃が増加していることは疑いようのない事実です。Verizon社の「2021年データ侵害調査報告書」によると、脅威の状況はかつてないほど危険になっています。あらゆる規模の組織が、より多くの攻撃と、組織を標的とする脅威アクターによる高度な攻撃に直面しており、攻撃者の成功率も急上昇しています。

最新の攻撃を分析することは、サイバー防御に対するこの前例のない猛攻の中で、ハッカーが利用している最も一般的な脆弱性や手法を明らかにするのに役立ちます。Open Web Application Security Project（OWASP）の2021年版セキュリティリスク・脆弱性トップ10に含まれるような一般的な攻撃のいくつかは、認証情報の窃取や侵害を伴うものでした。また、Akamaiによるセキュリティ調査によると、攻撃の圧倒的多数（約75%）がAPIが保持する認証情報を直接標的にしていました。

APIの台頭と破滅の可能性

アプリケーション・プログラミング・インターフェース（API）が、ほぼすべての組織のネットワーク内で増加しているのは不思議ではありません。APIは、ほとんどの企業、組織、政府機関においてオンプレミス資産の機能を急速に代替しているクラウドベースサービスの重要な構成要素です。今日では、特に一般向けのサービスにおいて、クラウドなしでビジネスや業務を遂行することはほぼ不可能です。つまり、APIはあらゆるネットワークにおいて、多くのサービスを繋ぎ止める接着剤となることは間違いありません。

APIの素晴らしい点は、ネットワークリソースの割り当てという観点から見ると、そのほとんどが小さく目立たないことです。また、完全に柔軟であるため、ほぼあらゆる業務を遂行するように設定できます。APIの本質は、特定のプログラムを制御または管理するために調整された個別のソフトウェアです。ホストOS、アプリケーション、サービスからデータにアクセスするなど、非常に具体的な機能を実行するために利用できます。

残念ながら、この柔軟性こそが、そしてAPIが小さくセキュリティチームに見過ごされがちであるという事実が、APIを魅力的な標的にしています。ほとんどのAPIは、管理対象のコアプログラムが変更されても機能し続けられるよう、開発者によって最大限の柔軟性を持たせて設計されています。また、標準規格もほとんどありません。多くのAPIは、特定のネットワーク上の単一プログラムで特定の機能を果たすために作成されるため、雪の結晶のようにそれぞれがユニークです。セキュリティ意識の低い開発者や、セキュリティに特化していない開発者によってコーディングされた場合、攻撃者が発見して悪用できる脆弱性が数多く含まれる可能性が高いのです。

悲しいことに、この問題は急速に手に負えなくなっています。Gartnerによると、2022年までにAPIに関連する脆弱性は、すべてのサイバーセキュリティカテゴリの中で最も頻繁な攻撃ベクトルになると予測されています。

攻撃者がAPIを侵害しようとする主な理由は、APIが実行する特定の機能を乗っ取ることではなく、それに関連付けられた認証情報を盗むためです。APIの最大の問題の一つは、脆弱性が豊富であることに加え、そのコア機能に対して過剰な権限が付与されていることが多い点です。単純化のために、ほとんどのAPIはネットワーク上で管理者レベルに近いアクセス権を持っています。攻撃者がAPIの制御権を奪うと、その権限を利用してネットワークのより深部へ、より大規模な侵入を行うことがよくあります。APIは攻撃者が指示するあらゆるタスクを実行する権限を持っているため、その行動は「どこへでもアクセスできるVIPパス」のおかげでルール違反とはみなされず、従来のサイバーセキュリティ監視をすり抜けてしまうのです。

組織が注意を怠れば、ネットワークやクラウド内でのAPIの台頭は、攻撃者の標的となった場合に大きな災いをもたらす可能性があります。

APIの防御

APIを取り巻く状況は危険になりつつありますが、決して絶望的ではありません。DevSecOpsのような動きを通じて、開発者のセキュリティ意識を高め、開発からテスト、デプロイに至るまで、ソフトウェア作成のあらゆる側面にセキュリティとベストプラクティスを取り入れようとする大きな取り組みがあります。2022年以降もAPI悪用の傾向を食い止めたいと考える組織にとって、APIセキュリティをそのトレーニングの一部に組み込むことは不可欠です。

とはいえ、APIセキュリティに関して今すぐ実装できる非常に優れたベストプラクティスがいくつかあります。

第一に、すべてのAPIに対して厳格なID管理を導入することです。権限を割り当てる際は、APIを人間と同じように扱うべきです。APIは特定の機能のみを実行するように設計されているからといって、攻撃者に侵害された場合に何が起こり得るかを考えなければなりません。ロールベースのアクセス制御（RBAC）の利用を検討してください。理想的には、APIとユーザーの両方にゼロトラストの原則を適用すべきですが、それには長い道のりが必要です。優れたID管理は良い出発点となります。そのプログラムの一部として必ずAPIを含めるようにしてください。

また、APIによって行われる様々な呼び出しを可能な限り厳密に制御する必要があります。これらの呼び出しを非常にコンテキストに沿ったリクエストに限定すれば、攻撃者が悪意のある目的のためにそれらを改ざんすることははるかに困難になります。APIを階層化することも可能です。最初のAPIが、何を監視し何を無視すべきかを正確に把握している別のAPIに対して、高度にコンテキスト化された呼び出しを行うようにします。これは、たとえ攻撃者がチェーン内のAPIを悪用・侵害できたとしても、脅威アクターが利用できる機能を制限する効果的な方法となり得ます。

APIに対する脅威は圧倒的に思えるかもしれません。しかし、ベストプラクティスを実装し、セキュリティの推進者となる開発者を支援・評価することで、状況はそれほど絶望的ではなくなります。適切なトレーニングと実践があれば、たとえ小さくても不可欠なAPIという働き手が侵害されたとしても、攻撃者が動き回る余地をほとんど与えない堅牢なセキュリティプログラムを構築できます。