「便利なだけのAPI」はむしろ悪？ なぜリスクを考慮すべきか：APIを危険にさらす「5大リスク」とは【前編】

攻撃が猛威を振るっている中で意外と軽視されがちなのが、APIのセキュリティリスクだ。企業は何に注意をすべきなのか。本稿は対策も含め、APIのさまざまなリスクを解説する。

[Twain Taylor，TechTarget]

　API（アプリケーションプログラミングインタフェース）は昨今のアプリケーション開発に欠かせない要素として、企業のビジネスを陰で支えている。APIを攻撃から守るセキュリティ対策が重要だ。APIの安全な利用を実現するにはどうすればいいのか。注意が必要なAPIのセキュリティリスク5つを紹介する。

1．ユーザー認証

併せて読みたいお薦め記事

知っておきたい、「API」を巡るセキュリティ対策

• 犯罪者に狙われ始めた「API」　その笑えない理由
• APIを安全に利用する4つのセキュリティ対策、具体的な実装方法は？

　まず大切なのは、APIのユーザー認証が強固な仕組みであることだ。そうでない場合、APIの機能や機密情報への不正アクセスが可能になる恐れがある。APIの強固なユーザー認証手法として、以下の3点に取り組むことが有効だ。

• 多要素認証（MFA）ツールの利用
• 安全なパスワード設定や保管
• タイムアウトや再認証要求など、セッション管理機能の利用

2．APIレート制限

　APIレート制限とはユーザーの権限によって、APIにアクセスする回数や範囲を制限することを指す。APIレート制限がされていないと、攻撃者はAPIに対して分散型サービス拒否（DDoS）攻撃を仕掛けることが可能になる。DDoS 攻撃によってAPIサーバに大量のリクエストが送信されれば、クラッシュ（サーバ停止）や応答不能を引き起こす恐れがある。

　DDoS攻撃を防ぐには、以下の対策が有効だ。

• クライアント端末からAPIサーバに一定時間内に送信できるリクエスト数を制限する
• 頻繁にアクセスされるデータをキャッシュしてサーバにリクエストを送信する必要性を最小限に抑えることにより、APIの応答時間を向上させる
• ロードバランサーを採用し、APIへのリクエストを複数のサーバに分散する

　DDoS攻撃に備え、フェイルオーバー（システム障害が生じた際に自動的に他のシステムに切り替えること）の仕組みを実装すれば、サーバ障害時にもAPIにアクセスできる状態を維持することが可能になる。

---

　中編は、3つ目のセキュリティリスクを取り上げる。

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。