APIセキュリティへの懸念【第3回】

「危ない『API』」はこうして生まれる

企業やIT製品／サービスがAPIを利用する機会が増えるにつれて、APIを狙う攻撃が活発化している。APIへの攻撃の実態や懸念点と、セキュリティ強化に向けた取り組みを紹介する。

　アプリケーションやモノのインターネット（IoT）デバイスの裏側で、API（アプリケーションプログラミングインタフェース）がクラウドサービスとデータをやりとりすることは一般的になった。それに伴って、企業がAPI起因の攻撃を受けるリスクも高まっている。

　APIセキュリティベンダーNoname Gate（Noname Securityの名称で事業展開）の最高情報セキュリティ責任者（CISO）カール・マトソン氏は、「クラウドサービスが使うAPIが多様化し、APIの利用機会が急増している」ことがセキュリティ面での最重要課題だと言う。「IT部門にとっても、セキュリティ部門にとっても、こうしたAPIの多様化や増加に付いていくのは極めて難しい」（マトソン氏）

　マトソン氏は「複雑に絡み合うAPIの構図を描き出すだけでも困難だ。大量のAPIが極めて複雑化、多様化し、『動く標的』になっている」と述べる。

　2021年8月、セキュリティベンダーRapid7の研究者アラビンド・ビシュワカルマ氏が、ホームセキュリティ機器ベンダーFortress Security Storeの家庭用無線LANセキュリティ製品「S03 WiFi Security System」に、複数の脆弱（ぜいじゃく）性が存在することを発見した。ビシュワカルマ氏のブログのエントリ（投稿）によると、これらの脆弱性の一つ「CVE-2021-39276」は、未承認のAPIアクセスを許す恐れがある。

“危ないAPI”はなぜ生まれるのか

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「SDK」と「API」の違いとは？　どう使い分ける？

• 

  APIとは何か？　Web APIとの違い、利用者のタスクを解説

新着ホワイトペーパー PR

• 製品資料
  サイバー脅威「トップ50」完全解説ガイド、新たな攻撃手法に対抗するには
• 製品資料
  「入札市場」完全ガイドブック：メリットから資格取得のポイントまで
• 市場調査・トレンド
  はじめての「自治体／官公庁入札」　必要な知識がすぐに学べる入門ガイド
• 製品資料
  「入札市場」徹底解説：入札で結果を出す企業はどんな方法を使っているのか？
• 製品資料
  入札活動の成否を分ける情報収集　“狙い目案件”を効率よく見つけるには？