スポーツおよびメディア企業

このお客様は 、APIセキュリティの必要性は十分に認識していましたが、どこから始めればよいか、どの分野を優先すべきかについては当時正確には把握していませんでした。それまでは主にアプリケーションセキュリティに重点を置き、APIゲートウェイやWebアプリケーションファイアウォールなどの既存のツールで十分にAPIを保護できると考えていました。しかし、このようなツールはある程度の基本的な保護は提供できますが、APIセキュリティに特化したソリューションが提供するような可視性、リアルタイムセキュリティ、および継続的なテストを提供するレベルには設計されていません。同社の当時のインフラではこれらの保護の多くに対応できませんでした。たとえば、APIセキュリティには認証と認可という2つの重要な側面があります。適切な認証メカニズムにより、許可されたユーザーまたはシステムのみがAPIにアクセスできるようになります。 

Akamai API Securityチームは、独自のポスチャ管理モジュールとランタイム保護モジュールを使用して、このお客様の当時のAPIセキュリティポスチャを理解しました。お客様の環境内にあるAPIの正確なインベントリを作成した後、既存のセキュリティ脆弱性と誤設定を明らかにすることができました。

最初に明らかになったのは、お客様がStructured Query Languageインジェクション（SQLi）の被害に遭っているということでした。SQLiは、攻撃者がAPI要求の入力パラメーターを操作して不正なSQLコマンドを実行できるセキュリティ脆弱性の一種です。SQLi攻撃が成功すると、重大な影響が生じる場合があります。攻撃者は、機微な情報に不正アクセスし、データの変更や削除を行ったり、基盤となるデータベースサーバー上で任意のコマンドを実行したりする可能性があります。

次に明らかになったのは、お客様が認証を行っていないことでした。適切な認証が行われなければ、誰でもAPIエンドポイントにアクセスでき、機微な情報を取得または変更できます。誰でもデータの修正や削除を行えるため、データの整合性の問題や重要な情報の損失につながる可能性があります。これにより、データ漏えい、不正な情報開示、さらにはシステム全体の侵害が発生する恐れがあります。

本番環境のAPIをしっかりと把握できるようになった今、同社は本番環境に移行する前に脆弱性に対処する方法を模索しています。こうした脆弱性の発見と修復を支援するために、Akamai API SecurityにはActive Testingが含まれています。Active Testingとは、組織固有のビジネスロジックを理解し、API特有の脆弱性を包括的にカバーするAPIセキュリティテスト用ソリューションです。Active Testingにより、シフトレフトを実行し、開発のあらゆる段階にAPIセキュリティテストを組み込めるようになります。