AIベースの再起動：WebアプリとAPIの防御を再検討する

変化の時代には、知識が極めて重要です。その知識を共有するために、Akamaiは新しいインターネットの現状（SOTI）レポート「アプリと API セキュリティの現状 2025：AI はデジタル領域をどうシフトさせるか」をダウンロードしてください。このレポートでは、WebアプリケーションとAPIに影響を与えているトレンドに関するAkamaiの分析を提示しています。この新しい環境の形勢を探り、セキュリティ専門家が重要なシステムとデータを同時に保護するためにはどうすればよいのかを説明します。

Webアプリケーションに対する攻撃とAPIに対する攻撃は相互につながっていますが、相互に依存してはいません。API以外のWebアプリ攻撃が数多く存在し、その逆も同様です。攻撃の手法と戦術は、攻撃者の動機と技術力によって異なります。

• Webアプリケーション攻撃は、公開されているログインページなどのWebアプリケーションのユーザー向けコンポーネントを標的としており、通常は比較的単純な手法を使用します。

• API攻撃は、アプリケーションのAPIエンドポイント（システム間の連携など）に存在する脆弱性を悪用することに重点を置いており、APIの構造とふるまいをより深く理解する必要があります。

攻撃自体が相互依存していない場合は、それに対する防御も相互依存しません。最新のアプリケーションは、機能にAPIを使用することが増えています。そのため、Web攻撃とAPI攻撃の両方に対応する、将来を見据えたサイバーセキュリティ戦略を開発することが重要です。

これらの側面をおろそかにすると、アプリケーションのフロントエンドとバックエンドの両方の弱点を悪用する高度なマルチベクトル攻撃に対して脆弱になる可能性があります。大規模言語モデル（LLM）と生成AIによって実現する自動化機能により、攻撃者は大規模なボットネットやフィッシングキャンペーンをこれまで以上に簡単に実行できるようになります。

Akamai Security Intelligence Group（SIG）は、適切なデータサイエンスと研究には、データ出力の徹底的なレビューと、生データの取得元の調査の両方が必要であることを十分に認識しています。また、APIは現在、攻撃者のお気に入りの遊び場になっていることを実感しています。この2つの知見に基づき、Akamaiは最近、レポートデータセットを進化させ（API脅威調査と分析の強化）、興味深い調査結果を得ました。2024年には：

• OWASP API Security Top 10に関連するインシデントが32%増加しました。これにより、認証や認可の欠陥が原因で機微な情報や機能が脅威にさらされていることが明らかになりました

• 攻撃者がAIと自動化を使用してAPIを悪用したため、MITREセキュリティフレームワークに関連するセキュリティアラートが30%増加しました  

• 欧州・中東・アフリカ（EMEA）地域で発生した1,160億件のWeb攻撃のうち、37%がAPIを標的としていました。これは他のどのグローバル地域よりも大きい割合です

AIベースのAPIは、人力のAPIよりも安全性が低いことが実証されました。そのようなAPIの大多数は、認証メカニズムが脆弱であるため外部からアクセス可能であり、適切にテストされていないため攻撃に対して脆弱です。

APIが他の何に接続するかによって、悲惨な結果につながるおそれがあります。脅威アクターが電子署名プロバイダーのAPIを悪用して不正な請求書を送信したときのことを覚えていますか？まさに悲惨な結果でした。😬

私たちはまだAPI攻撃について学習している段階ですが、現実では「本番環境でのテスト」による学習方法が採用されています。消費者はイノベーションを求めており、利益を上げるためには迅速なイノベーションが必要です。 

セキュリティはコード・レビュー・プロセスの中でも目を光らせる「べき」要素ですが、そうすることにより、このプロセスは製品を市場に投入する上で最も妨げとなるステップになる可能性があります。残念なことに、それが理由でテストの回数が減り、テストされていないコードの上にコードが構築されることが増えます。 

セキュリティチェックは本質的に開発者の目的と対極にありますが、テストを最小限に抑えると、理想的とは言えないシナリオにつながる可能性があります。  

• セキュリティアラートの増加：Akamaiの分析により、Payment Card Industry Data Security Standard（PCI DSS）、一般データ保護規則（GDPR）、国際標準化機構（ISO）–27001に関連するセキュリティアラートがそれぞれ16%、21%、22%増加したことが明らかになりました。

• API の悪用の検知に関する課題：これらの課題は、脅威を事前に特定するために異常とふるまいをリアルタイムで監視することの必要性を明確に示しています。

• 管理されていないゾンビAPIとシャドウAPI：この2つはAPIセキュリティインシデントの主な原因であり、セキュリティチームは包括的なAPIインベントリの維持に苦慮しています。

前述のとおり、Webアプリケーションに対する攻撃とAPIに対する攻撃は相互につながっていますが、相互に依存してはいません。「相互につながっている」部分は、次のとおりです。Akamaiの調査によると、WebアプリケーションとAPIの両方を標的としたWeb攻撃が過去2年間に世界中で大幅に増加しています。

場所によって問題が異なるため、Akamaiは特定の業界、地域、攻撃の傾向を分析して、レイヤー7の悪用による影響を複数の視点で把握しました。このレポートで取り上げている極めて重要な調査結果の例として、次のものが挙げられます。

• 2023年第1四半期から2024年第4四半期までに、WebアプリケーションとAPIを標的としたWeb攻撃が65%増加（140億件から290億件以上に増加）しました。

• 同期間にレイヤー7分散サービス妨害（DDoS）攻撃が94%増加し、1か月あたり5,000億件強から1.1兆件以上に急増しました。

• アジア太平洋・日本地域を標的としたWeb攻撃が73%増加し、2023年の290億件から、2024年には510億件に達しました。

• コマース業界は引き続き主要なターゲットであり、2024年には2,300億件以上のWeb攻撃を受けました。これは、2番目に標的とされることが多かったハイテク業界の約3倍の件数です。 

攻撃者はAIを使用して何ができるのかということが、よく話題になります。AIシステムの悪用に関しては、基本的に次のようなさまざまなオプションがあります。

• 以前は考えられなかった速度での自動脆弱性スキャン
• AIによって生成された悪性コード
• AIベースのボットによる自動攻撃
• 自動化されたボリューム型DDoS攻撃
• ふるまいベースの攻撃（検知を回避し、よくあるAPIの脆弱性を標的とするLow & Slow（少しずつ時間をかけた）攻撃）

ここで一筋の光明が差しているとすれば、それは、AIの恩恵を受けているのは犯罪者だけではないということです。AIは、AIベースの新しいWebアプリケーションファイアウォール（WAF）システムによって脅威への対応を後押しし、ボット、DDoS攻撃、スクレイパー、スキャナーなどのサイバー脅威の特定と緩和を支援しています。

コンプライアンスは組織の全体的なリスク管理ポスチャに大きな影響を与えるため、Akamaiは、このSOTIレポートで規制について取り上げています。ビジネスに対する脅威はサイバー攻撃だけではありません。世界中の変化する無数のセキュリティ規制に準拠し続けることだけで、フルタイムの仕事になります。

このSOTIレポートでは、米国のCyber Incident Reporting for Critical Infrastructure Act（重要インフラ向けサイバーインシデント報告法、CIRCIA）や欧州のNetwork and Information Systems（NIS2）Directive（ネットワークおよび情報システムに関する指令、NIS2指令）など、さまざまな地域の新規および更新版のサイバーセキュリティ要件を取り上げました。地域によって規制の複雑さのレベルが異なるため、世界的な影響を及ぼす差異が生じます。

たとえば、北米は包括的なリスク管理と義務的なインシデント報告に重点を置いていますが、欧州は規制を拡大し、モバイルサービスも対象としています。

• 防御担当者は、攻撃者と同じレベルと速度で自動化とイノベーションを行うと同時に、政府の基準を満たし、インシデントだけでなく、チームが防御者に求める他のあらゆることに対処する必要があります。  

• 規制当局はアプリやAPIに対する脅威の増大に積極的に対応しているため、組織は、より将来を見据えて行動できることが望ましいです。そのため、プロアクティブな防御に重点を置くことで、コンプライアンスとセキュリティを確保できます（もちろん、規制が適切に構築されていれば、という前提ではありますが）。

AI時代にセキュリティを確保し続けるための鍵は、侵害を想定し、基本をカバーすることに重点を置いた包括的なセキュリティプランを確立することです。規制当局に促されていないとしても、現在のレビュー慣行を見直して基礎を強化するのにこれほど適した時期はありません。

フィッシングメールをクリックしたことが原因で大規模な侵害や攻撃が発生したことは何回ありますか？攻撃者は成功を収め続けるために、基本的な保護の穴を悪用します。

強化された入力検証、安全な開発方法、定期的なセキュリティ監査といった慣行は、決して過大評価されているわけではありません。これらは、将来的に想定外の結果につながる可能性のある保守的な保護や短期的な流行りの保護ではなく、プロアクティブで長期的なセキュリティをもたらします。