APIを危険にさらす「5大リスク」とは【前編】

「便利なだけのAPI」はむしろ悪？　なぜリスクを考慮すべきか

攻撃が猛威を振るっている中で意外と軽視されがちなのが、APIのセキュリティリスクだ。企業は何に注意をすべきなのか。本稿は対策も含め、APIのさまざまなリスクを解説する。

公開 2023年11月09日 05時01分

[TechTarget]

印刷する連載新着通知を受け取る

　API（アプリケーションプログラミングインタフェース）は昨今のアプリケーション開発に欠かせない要素として、企業のビジネスを陰で支えている。APIを攻撃から守るセキュリティ対策が重要だ。APIの安全な利用を実現するにはどうすればいいのか。注意が必要なAPIのセキュリティリスク5つを紹介する。

1．ユーザー認証

併せて読みたいお薦め記事

知っておきたい、「API」を巡るセキュリティ対策

　まず大切なのは、APIのユーザー認証が強固な仕組みであることだ。そうでない場合、APIの機能や機密情報への不正アクセスが可能になる恐れがある。APIの強固なユーザー認証手法として、以下の3点に取り組むことが有効だ。

多要素認証（MFA）ツールの利用
安全なパスワード設定や保管
タイムアウトや再認証要求など、セッション管理機能の利用

2．APIレート制限

　APIレート制限とはユーザーの権限によって、APIにアクセスする回数や範囲を制限することを指す。APIレート制限がされていないと、攻撃者はAPIに対して分散型サービス拒否（DDoS）攻撃を仕掛けることが可能になる。DDoS 攻撃によってAPIサーバに大量のリクエストが送信されれば、クラッシュ（サーバ停止）や応答不能を引き起こす恐れがある。

　DDoS攻撃を防ぐには、以下の対策が有効だ。

クライアント端末からAPIサーバに一定時間内に送信できるリクエスト数を制限する
頻繁にアクセスされるデータをキャッシュしてサーバにリクエストを送信する必要性を最小限に抑えることにより、APIの応答時間を向上させる
ロードバランサーを採用し、APIへのリクエストを複数のサーバに分散する

　DDoS攻撃に備え、フェイルオーバー（システム障害が生じた際に自動的に他のシステムに切り替えること）の仕組みを実装すれば、サーバ障害時にもAPIにアクセスできる状態を維持することが可能になる。

　中編は、3つ目のセキュリティリスクを取り上げる。

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

印刷する

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

Twain Taylor

Googleでキャリアをスタートさせ、広告出稿サービス「Google AdWords」（現Google Ads）の技術サポートといった職務を経験した。その後、独立し、スタートアップ向けにマーケティング業務を自動化するアプリケーションを開発。マーケティング会社のFixate IOでテクノロジージャーナリストを務める。アプリケーション開発工程の改善を主なテーマとして取材・執筆している。趣味はベースの演奏と、2児の娘と遊ぶこと。