通信企業

多くの組織のセキュリティチームが、APIとそのリスクに対する可視性の欠如に悩まされています。Akamaiの調査結果によると、APIの完全なインベントリを作成している組織のうち、どのAPIが機微な情報を返すかを知っている組織の割合は、わずか10分の4です。AkamaiのAPIセキュリティソリューションの探索モジュールを使用したところ、Akamaiの顧客である通信企業も同様の課題を抱えていることがわかりました。

Akamaiと提携する前、この顧客のAPIセキュリティ制御は主に従来のAPI管理プラットフォームとWebアプリケーションファイアウォール（WAF）で構成されていました。アプリケーションセキュリティとAPI配信の観点から見れば、この形態は理にかなっていました。しかし、いずれのソリューションも、今日の攻撃手法からAPIを包括的に保護するために必要とされる高度なセキュリティ制御と可観測性を提供するものではありませんでした。その主な理由の1つは、すべてのAPIがWAFやAPIゲートウェイのようなプロキシを経由してルーティングされるわけではなく、これらの管理されていないAPIは攻撃者にとって魅力的なターゲットとなっていることです。

しかし、APIインベントリの正確な監査が行われるとしても、同社にはリクエストの運用や管理を行う際に正常に動作しながらAPIを保護する機能が必要でした。簡単に言えば、組織のセキュリティチームが環境内の悪性のふるまいを手動で特定するのは非現実的です。

リアルタイムで保護する必要のあるAPIエンドポイントは数百（場合によっては数千）にも及びます。一般的に使用されているAppSecソリューションは通常、顧客の環境内のすべてのAPIコールに対応することはできません。そのため、適切なAPIランタイム保護機能がなければ、企業のIT環境はサイバー攻撃に対して脆弱なままになる可能性があります。

手を組んだ両社は第1段階としてパイロットを展開して、社内のAPIを特定し、設定を評価し、APIを通過するデータのタイプを把握しました。この顧客はすぐに、探索の実行速度、正確なインベントリ調査結果、およびツールによる機微な情報の露出の特定に感銘を受けました。

パイロットでプラスの成果が得られたため、同社はNoname API Security Platform（現在はAkamai API Securityの一部）の対象範囲を社内外のAPI環境全体に拡張しました。これにより、本番環境の隠れたAPIも明らかになり、環境が直面している最も差し迫った脅威が発見されました。

Akamaiは、同社の顧客が将来の攻撃からAPIを保護するために、主要なセキュリティ脆弱性に対する強力な防御を必要としていることに気づきました。Akamai API Securityを展開したことで、同社は疑わしいふるまい異常を検知し、インシデント対応プロトコルをリアルタイムでトリガーできるようになりました。これにより、修正プロセスに必要な情報を得るために事後的なレポートやアクセスログを利用する必要がなくなります。Akamai API Securityで疑わしいふるまいが検知されると、この顧客のAPIゲートウェイ、SIEMシステム、その他の情報セキュリティエンジンに報告され、セキュリティチーム全体に情報が提供されます。同社は、ユースケースと脆弱性の重大度に応じて、従業員に問題を手動、半自動、または完全自動で修正させることができます。