セキュリティチームはAPIの脅威が増大することによる影響を実感していることが調査で明らかに

APIセキュリティインシデントが増加していることは、驚くべきことではありません。このように考えてみてください。あらゆる企業の従業員と同様に、APIにも仕事があります。それは、デジタルテクノロジー間でデータを迅速に交換することです。この仕事は重要です。APIは顧客やパートナーが必要なサービスを利用できるようにしています。しかし、この仕事はハイリスクでもあります。なぜなら、従業員とは異なり、APIはほとんど監視を受けずに機微な情報を処理するからです。

多くのAPIは組織の中心的なIT部門の知らないうちに作成されるため、ひっそりと存在しており、従来のセキュリティツールでは見落とされがちです。セキュリティチームは、自らが説明責任を負うことのできるAPIに関してさえ、リスクを可視化できないことがよくあります。

2024年のAPIセキュリティの影響に関する調査では、APIの完全なインベントリを持っていると考えている回答者のうち、機微な情報を返すAPIがどれかを知っている人の割合はわずか27%で、昨年の40%から減少しました。さらに、役割間で差異があります。調査に回答したCIOのうち、機微な情報を返すAPIがどれかを知っていると考えている人の割合は43%でしたが、そのように考えているCISOの割合はわずか17%でした。

「見えないものは守れない」という格言があります。次のことを考慮すると、このような可視性の欠如は問題であることがわかります。

• 2023年1月から2024年6月にかけて1,080億件のAPI攻撃が記録されたことが、Akamaiの最新のインターネットの現状（SOTI）に関するレポートで明らかになりました

• APIが1つでも侵害されると、重大なデータ窃取につながり、収益の損失や規制上の罰金が発生する可能性があります

これらの所見から何がわかるでしょうか？どんな形の攻撃も必ず懸念を引き起こします。しかし、よく知らない攻撃ベクトルに対処することには特殊なストレスが伴います。多くの組織は、迅速にAPIリスクの複雑さに対応しようとしています。さらに、API攻撃の直後に感じられるプレッシャーは、シニアリーダーが「どのように発生したのか？」と質問すると、高まる一方です。

幸い、ほとんどのセキュリティチームが関心を抱き、API攻撃が発生する仕組みに関する知識を深めています。また、多くの場合、APIのセキュリティを確保するために一般的に使用されるツールだけでは不十分であることも認識しています。回答者は、これまでに経験したAPIインシデントの主な原因をあげました。その回答から、次の要因が組み合わさっていることがわかりました。

• 管理されていない大半のAPI資産を把握または保護するように設計されていないツールを使用しているため、狭い視野の外で発生したインシデントを検知できなかった

• OWASP Top 10 APIセキュリティリスクに含まれている脆弱性（急いで行われたコーディングのエラーや認証制御の欠如など）

現在のAPIの脅威に対処するためには、次の4つの主要な領域に根差した戦略とソリューションが必要です。

• API探索

• ポスチャ管理

• ランタイム保護

• セキュリティテスト

可視性の向上：APIは管理されておらず、データへのアクセスがチェックされていないことが多くあります。そこで、その陰に光を当てます。自動化されたアプローチでAPI探索を行うツールを探します。APIを分析してリスクを文書化し、包括的なインベントリに記録します。

ポスチャの強化：APIの通常のふるまいと非典型的なふるまいを明確にすると同時に、よくあるアラートのタイプを可視化します。これにより、攻撃のシグナルをプロアクティブに検知できるようになります。その知見を活用して、リスクを軽減し、優先順位を設定し、APIセキュリティ戦略を強化します。

ランタイムでの把握とセキュリティ確保：包括的なAPIセキュリティソリューションを既存のセキュリティスタック（WebアプリケーションファイアウォールやWebアプリケーションとAPIセキュリティツールなど）と統合します。これにより、ユーザーはリスクの高いふるまいを特定し、重要なリソースにアクセスされる前に疑わしいトラフィックをブロックできるようになります。