OWASP Top 10 API セキュリティリスクは非常に重要です。これは、API に関連する最も重大なセキュリティリスクの最新の概要が示されているためです。OWASP のガイダンスは、API の設定ミスや認証制御の欠如などに起因する API の一般的な脆弱性を組織が理解し、対処するのに役立ちます。また、OWASP Top 10 API リスクに関するガイダンスでは、API 攻撃の仕組み、API の悪用を特定する方法、オブジェクトレベル認可の不備（BOLA）攻撃などの API の脅威から組織を保護する方法についても説明しています。
- API セキュリティのリスク：API は、企業のクラウド、デジタル、AI の取り組みにとって重要です。しかし API には、機微な情報やシステムへの常時アクセス、認証制御の緩さや開発中のコーディングエラーなどの脆弱性が多く存在するため、運用上のリスクが大きくなります。
- OWASP の有益なガイダンス：OWASP Top 10 API セキュリティリスクのリストでは、API の設定ミスなどの API の脆弱性を明らかにし、API ビジネスロジックを悪用する攻撃を含む脅威をセキュリティチームが把握できるようにしています。
- Akamai による API の保護方法：このホワイトペーパーでは、OWASP が調査した各 API リスクについて説明します。また、Akamai の API セキュリティソリューションが、OWASP が特定した API の脆弱性と攻撃方法の検知と緩和にどのように役立つかについての知見も得られます。
よくある質問（FAQ）
Akamai の API セキュリティソリューションは、受信した入力と、API オブジェクトとプロパティ間の関係に基づいて、BOLA 攻撃の影響を受けやすい API エンドポイントを識別して分類することで、BOLA のリスクを緩和します。また、BOLA 悪用の試みを検知した場合や BOLA 悪用に成功した場合にアラートが生成されるため、即座に注意を向け、アクションを実行できます。
Akamai は、リスクのある API エンドポイントを特定し、ボリューム型攻撃の試みに対するリアルタイムアラートを提供することで、制限のないリソース消費のリスクに対処しています。また、ボリューム型攻撃を遅延または遮断するためのワークフローを開始し、過度のエラー、ログイン試行、または異常なふるまいに関するアラートを生成して、API エンドポイントがサービス妨害（DoS）攻撃から保護されるようにします。
Akamai API Security は、レート制限のない API エンドポイントのほか、大規模な辞書攻撃や Credential Stuffing 攻撃を受けている API エンドポイントを特定することで、制限のないリソース消費の緩和に役立ちます。また、Akamai は、ボリューム型攻撃を遅延または遮断するためのワークフローを開始することができ、ボリューム型攻撃の試みに対するアラートを生成することもできます
機能レベル認可の不備（BFLA）は、API エンドポイントのアクセス制御モデルが誤って実装されている場合に発生し、機密情報やシステム全体への不正アクセスが可能になります。Akamai は、ふるまいのタイムラインを追跡し、機密性の高い機能にセキュリティポリシーを適用し、API ゲートウェイを介してキーのローテーションと失効を管理し、管理機能への疑わしいアクセス試行に関するアラートを生成することで、このリスクを緩和します。
サードパーティ API の管理とセキュリティ保護は重要です。これは、組織がサービスと機能を拡張するために、サードパーティ API への依存度が高まっているためです。暗号化、データ検証、サニタイズ、リソース消費制限などの適切なセキュリティ対策がなければ、サードパーティの API が重大なセキュリティ上の脆弱性をもたらす可能性があります。Akamai は、これらのサービスを継続的に監視および検証して、セキュリティを確保し、潜在的な悪用に関するアラートを生成します。
Akamai は、不適切なインベントリ管理について、API トラフィックの継続的な監視や、隠れた API エンドポイントや潜在的なリスクのある API の探索により、組織を支援します。リスクスコアリングとデータ分類に基づいて最新の API インベントリを作成し、潜在的なさまざまな悪用に関するアラートを生成して、シャドウ API を含むすべての API を識別して保護します。
セキュリティの設定ミスとは、セキュリティ制御のセットアップが不適切である状態を指します。この状態では、システムが攻撃に対して脆弱なままになってしまいます。これには、安全でないデフォルト設定、不完全またはアドホックな設定、オープンクラウドストレージ、HTTP（S）ヘッダーの誤設定などが含まれます。Akamai は、シャドウ API エンドポイントの特定、API エンドポイントとセキュリティ設定のベストプラクティスとの照合、API セキュリティのベストプラクティスを通じたセキュリティポリシーの適用、API セキュリティ標準の設定ミスや非準拠に関するアラートの生成によって、セキュリティの設定ミスによって生じるリスクの緩和を支援します。