アプリケーション連携のためにAPIを公開する動きが広がっているが、API公開とセットで考える必要があるのがセキュリティ対策だ。API公開時の8つのリスクと対策を解説する。
企業は自社アプリケーションのAPI（アプリケーションプログラミングインタフェース）を公開することで、他社のアプリケーションとの連携を促進するなどビジネスの可能性を広げることができる。しかしAPIにセキュリティの脆弱（ぜいじゃく）性が潜んでいれば、API公開は攻撃を受ける結果につながりかねない。アプリケーション連携を安全にするために知っておくべき、APIの“8つのリスク”と対策を紹介する。
APIを安全に運用するためには、強固な「認証」の仕組みが重要だ。認証によって、APIにリクエストを送信する主体（エンティティー）が正当なエンティティーであることを確認する必要がある。アプリケーションの開発過程において、APIの認証の仕組み作りを軽視してはいけない。APIの認証が脆弱になれば、当然の結果として攻撃者によるAPI侵害が発生しやすくなる。APIの侵害はデータ流出に限らず、不正なコード入力のリスクももたらす。
アプリケーションの開発工程においてセキュリティを強く意識し、できるだけ強固な認証の仕組みを作ることを目指すべきだ。そのためには、アプリケーション開発者がセキュリティ担当者と密に連携し、ペネトレーション（侵入）テストといった手法によって不適切な認証ができないかどうかを確認しながら進めることが欠かせない。
APIリクエストの発信元の特定と、それに基づいた適切なアクセス制御が、APIのセキュリティ管理に欠かせない。アクセス権の管理が不十分だと、正当なビジネスパートナーがアプリケーション連携のために必要なデータを取得できなくなる可能性がある。一方で、「広過ぎるアクセス権の付与」も要注意だ。APIユーザーが不要なデータを閲覧や操作をしたり、攻撃者が情報を盗んだりするリスクがある。
アクセス制御の本番環境を開始する前、ユーザーの受け入れテストを実施し、APIが適切に認証されたリクエストに対して必要なデータへのアクセスを許可するようになっていることを確認しよう。テストには、テストアカウントが許可していないデータの取得やアクション実行要求も含めるとよい。
APIはインターネットに接続されているので、DoS（サービス拒否）やDDoS（分散型サービス拒否）の対象となり得る。これらの攻撃はAPIに大量のトラフィック（ネットワークで送受信するデータの総称）を送信する。その負荷が、サーバが処理し切れないほどになればビジネスに悪影響が及びかねない。DoS攻撃やDDoS攻撃により、APIが正当なリクエスト（要求）を迅速に処理できなくなる可能性もある。
リクエストが処理される前にリクエストを待ち行列に入れる「キューイング」や、リクエストの速度制限をかける「スロットリング」などが有効な対策になる。
サーバサイドリクエストフォージェリ（SSRF）攻撃は公開サーバ（インターネットを介してアクセスできるサーバ）から内部サーバ（社内のネットワークに設置するサーバ）に不正なリクエストを送信し、内部サーバへの侵入を図る手法だ。SSRF攻撃ではAPIが侵入に悪用されることがある。具体的には、攻撃者がAPIを悪用して不正リクエストを送信し、APIを通じて標的システムへのアクセスを試みる。
入力されたURLの種類と範囲を制限し、意図した動作のみを実行できるようにすることが重要だ。最新のURLパーサー（URLを解析するツール）を使用し、URLが適切に形成されているかどうかを確認しよう。全ての通信を危険と見なす「ゼロトラストセキュリティ」の考えをAPIにおいても実装することで、SSRF攻撃を受けるリスクを軽減できる。
中編は、APIのセキュリティリスクの第2弾をお届けする。
米国TechTargetの豊富な記事の中から、さまざまな業種や職種に関する動向やビジネスノウハウなどを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.
情報漏えいを防ぐためには、重大なインシデントになる前のヒヤリハットをいかに防ぐかが重要になる。そこで本資料では、Microsoft 365を利用している組織に向けて、情報漏えいの危険性が高い5つのヒヤリハットを紹介する。
サイバー脅威に対するレジリエンスと脆弱性管理を強化することは、多くの企業にとって喫緊の課題になっている。リソースとコストが限られている中で、効果的に進めるにはどうすればよいのか。そのヒントを解説する。
クラウド活用が進む今、高度なリスク管理やコンプライアンス対応、セキュリティ強化があらゆる企業で求められている。そこでカギとなるのが、AIや自動化、予測技術といったテクノロジーをどう選択し、どう活用するかだ。そのポイントとは？
さまざまなITツールの導入が進んだことで、脅威アクターにとっての攻撃対象領域も拡大し、ランサムウェア攻撃が増加し続けている。しかし、多くの企業で対応が後手に回ってしまっている。この状況から脱却するにはどうしたらよいだろうか。
セキュリティ対策チームの57％が人材不足の影響を受けているといわれる昨今、インシデントや脆弱性への対応の遅れが、多くの企業で問題視されている。その対策として有効なのが「自動化」だが、どのように採り入れればよいのだろうか。
お知らせ
米国TechTarget Inc.とInforma Techデジタル事業が業務提携したことが発表されました。TechTargetジャパンは従来どおり、アイティメディア（株）が運営を継続します。これからも日本企業のIT選定に役立つ情報を提供してまいります。
「ECプラットフォーム」売れ筋TOP10（2025年4月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年4月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
Cookieを超える「マルチリターゲティング」 広告効果に及ぼす影響は？
Cookieレスの課題解決の鍵となる「マルチリターゲティング」を題材に、AI技術によるROI向...
ITmediaはアイティメディア株式会社の登録商標です。
