金融企業

この金融機関ではすでに認証とトラフィック制御のためのAPI管理プラットフォームを展開していましたが、APIの悪用とサイバー攻撃を防止する能力に疑問が生じていました。APIゲートウェイは必須かつ基本的なAPIセキュリティ制御を提供しますが、残念ながらAPI特有の脅威から組織を適切に保護するためには不十分です。

たとえば、ゲートウェイはBroken Object Level Authorization（BOLA）を通常のAPIトラフィックとして認識します。APIリクエストと応答の間の状況を認識する機能がないため、BOLA攻撃は検知されずに通過し、重要なバックエンドサービスにアクセスできます。この欠陥により、組織はBOLAに対して脆弱なままになるだけでなく、他の攻撃やビジネスロジックの悪用が生じる可能性があります。

可視性に関するもう1つの制約は、正確なAPIインベントリの維持にあります。ほとんどの大規模組織と同様に、この銀行も自社環境内の未知のAPIに悩まされていました。現実として、企業は何千ものAPIを管理しており、その多くはAPIゲートウェイなどのプロキシを介してルーティングされていません。このようなAPIを「不正API」または「ゾンビAPI」と呼びます。これらのAPIは、おそらくは元従業員が展開したか、組織がAPIセキュリティを重視するようになる前に展開されたものです。理由の如何に関わらず、この銀行のAPIゲートウェイはこれらのAPIを認識できなかったため、社内のAPIの実際の数を過小評価しやすくなっていました。

この組織は、APIポスチャ管理、ランタイム保護、テストのためのソリューションを含む完全なNoname API Security Platform（現在はAkamai API Securityの一部）を自社環境全体に展開しました。その結果、同社のセキュリティポスチャは大幅に改善し、世界で最も知られていない脅威ベクトルの脆弱性を検知して修復できるようになりました。

プラットフォーム内で未知のAPIを探索して明らかにすることができるようになり、完全な可視化とリスクの緩和が可能になりました。Akamai API Securityは機微な情報を分類し、GDPRやHIPAAなどの規制への準拠に役立つため、同銀行ではAPIの乱立が大幅に減少し、コンプライアンスが向上しました。

また、同銀行は現在、リアルタイムで攻撃を阻止し、顧客データ資産を保護する能力も備えています。ランタイム保護ソリューションがAPIアクティビティを継続的に監視し、潜在的な脅威をインテリジェントに検知して優先度付けを行います。Akamaiのプラットフォームは、Webアプリケーションファイアウォール、APIゲートウェイ、セキュリティ情報およびイベント管理、情報テクノロジーサービス管理、その他のワークフローツールと統合することで、手動、半自動、または自動で、脅威の修復を可能にします。

APIは瞬く間にハッカーが好む攻撃ベクトルとなりました。そして、攻撃の勢いが衰える兆候は見られません。たとえば、2022年には「金融サービスに対するWebアプリケーションおよびAPI攻撃数が前年比で257%増加」しました。金融サービス企業は、Akamai API Securityにより、攻撃の被害者になることを回避し、このトレンドから身を守る態勢を整えることができます。特に、お客様のセキュリティチームは、APIがもたらす危険をより深く理解し、より安全なシステムを構築することができます。