Commerzbank、Akamai との連携で API セキュリティを強化 

国際的なプレゼンスを誇るヨーロッパ最大の金融機関の 1 つである Commerzbank は、API を活用した革新的なデジタルサービスを通じて顧客に価値を提供しています。同行はごく初期段階から、CRUD（作成（Create）、読み取り（Read）、更新（Update）、削除（Delete））操作を起点とし、再利用性の高いソリューションを作成することに重点を置いていました。このアプローチにより、卓越したスケーラビリティと伸長性の基盤が築かれ、時間の経過とともに内部および外部の API をエコシステムに統合しやすくなりました。

しかし、AI によって加速する時代において、Commerzbank は、従来のセキュリティ・バイ・デザインの対策では、顧客の信頼を維持し、安全でシームレスなアクセスに対する高まる期待に応えるには不十分であることを認識していました。同行は、OWASP 原則への準拠、明確かつクリーンなインターフェース定義、厳格なポリシー、セキュリティが確保されたトークン概念、定期的な侵入テストなど、幅広い堅牢なメカニズムを導入しました。しかし、脅威と複雑さが増大するにつれ、Commerzbank はリアルタイムで適応できるソリューションを必要としていました。

そのために、同行は Akamai および Deloitte と提携し、既存の API 管理プラットフォームを強化および拡張する、専用の API セキュリティレイヤーを導入しました。この取り組みにより、異常の検知、管理されていないシャドウ API の発見、部門間のガバナンスの強化を実現しながら、API エコシステムの拡大に合わせたアジリティ、コンプライアンス、および安全なスケーリング能力を維持できました。

Commerzbank は、毎月 60 億件を超える API コール を処理し、顧客、パートナー、行内アプリケーションから成る広大なデジタルエコシステムをサポートしています。2017 年以降、同行は Axway Amplify API Management Platform を使用して行内 API とインターネットに面した API の両方を管理していました。しかし、脅威の巧妙化に伴い、Principal Software Engineer 兼 Solutions Architect の Volker Sulzbach 氏は、強力な API 防御の必要性を認識するようになりました。

「当行の API 管理プラットフォームはその役割を十分に果たしています」と、Sulzbach 氏は述べています。「しかし、API の異常なふるまいや潜在的な攻撃を、問題が発生する前に特定する手段が必要でした」

同行の SOC はファイアウォールなどの広範なネットワーク保護を担当していましたが、Sulzbach 氏のチームは、イノベーションの勢いを阻害することなく、すべてのビジネス関連 API を直接監視し、異常やシャドウ API を早期に検知したいと考えていました。

複数のベンダーを評価した結果、Commerzbank は Akamai の API Security ソリューションを選択しました。このソリューションは、環境全体で API を継続的に探索し、分類し、保護します。「異常検知は、当行にとって最優先事項でした」と、Sulzbach 氏は述べています。

「単なるコールごとの検査だけでなく、ふるまいに基づく評価が必要でした。Akamai はそれを可能にします」と同氏は続けます。機械学習を活用した異常検知により、API Security は異常な API 動作、潜在的な悪用、シャドウ API を特定し、管理対象と管理対象外のエンドポイントの両方を完全に可視化します。

「API Security が「野良」API を特定し、開発段階でセキュリティを組み込むのに役立つことに感銘を受けました」と、Sulzbach 氏は説明します。

実装の最初のフェーズは、本番稼働前に API のシミュレーションとテストを行うために使用される、Commerzbank のサンドボックスゲートウェイから始まりました。チームが API Security の正確性と応答性を検証した後、最初に約 25 の本番環境 API を保護しました。

「まず、ルールを整備し、フォールス・ポジティブ（誤検知）を減らし、チームがアラートに対応できるようにしたいと考えました。次の段階では、API Security の使用を拡大しました」と Sulzbach 氏は説明します。

この拡大により、最終的には数千もの API とエンドポイントがカバーされ、内部トラフィックと外部トラフィックの両方で継続的な可視性とセキュリティが提供されます。