企業がアプリを最新化するにつれて、より優れた API セキュリティが必要になる

Aug 31, 2023

アプリケーション プログラミング インターフェイス (ソフトウェア アプリケーションの通信を可能にするコード) は、最新のアプリケーションの中核コンポーネントです。 開発者は API を使用してサードパーティのサービス、ライブラリ、ツールをアプリケーションに統合し、これらのリソースを最初から構築する手間を省きます。 これらはモバイル アプリ開発や Web アプリケーションにとって非常に重要です。 API を使用すると、開発者はコンポーネントを簡単に更新または置換し、必要に応じてアプリを拡張できます。

ビジネス ニーズを満たすために開発者が API の使用を劇的に増やしているにもかかわらず、セキュリティ ツール、プロセス、スキル セットが追いついていない、と TechTarget のエンタープライズ戦略グループのシニア アナリストである Melinda Marks 氏は説明します。 API セキュリティに関する最近の ESG 調査では、API を使用しているほぼすべての組織が過去 12 か月間に少なくとも 1 件のセキュリティ侵害を経験しており、API への依存度が高まっているにもかかわらず、基本的なセキュリティ対策に苦労していることが示されました。

アプリケーションとクラウドのセキュリティを担当し、この調査の共著者であるマークス氏は、「基本的なことに対する懸念にショックを受けた。[回答者の] 90% が、安全な接続とアクセスに不可欠な認証について懸念していると答えた」と述べた。 。

「API 攻撃対象領域の保護」と題され、2023 年 8 月 24 日に公開されたこの調査は、クラウド セキュリティ テクノロジ製品およびサービスの評価または購入を担当する IT/情報セキュリティおよびアプリケーション/DevOps 専門家 397 名からの回答に基づいています。

API の更新頻度に関する調査結果も Marks 氏にとって驚きでした。 継続的インテグレーションと継続的デプロイメント (CI/CD) は、アプリケーションを最新の状態に保つために不可欠ですが、「しかし、CI/CD は、チェックが必要な変更が行われていることも意味します」と同氏は述べた。 回答者の 35% は API を毎日更新していると回答し、40% は毎週、22% は毎月と回答しました。 API セキュリティ プログラムの現状を考えると、「毎日 35% が更新されるということは、少し憂慮すべきことです」と彼女は言いました。

わかりやすく長くするために編集されたこの Q&A で、Marks は API セキュリティが組織にとってなぜ課題であり、なぜ緊急に必要なのかについて語ります。

API セキュリティに関するこの調査を行う動機について少し話してください。

Melinda Marks: クラウド ネイティブ アプリケーションと開発者について考えると、より複雑なアプリケーションを構築するために使用する API、つまりアプリケーション プログラミング インターフェイスの数が増加しています。 API を使用すると、アプリケーションは他のアプリケーション、他のコンポーネント、リソースに接続できるため、アプリケーションはユーザーにより多くの機能を提供できます。

これらの最新のアプリケーション、つまりクラウド ネイティブ アプリケーションやマイクロサービス ベースのアプリケーションの機能が優れているのは、その複雑さと、呼び出しを行い、より多くのリソースを利用し、動的に実行する能力です。 そして、これらすべてに必要となる API が増加し、作成される API が増加します。

生産性とイノベーションの向上を可能にする多くのことと同様、人々はセキュリティへの影響や、これらの強化された機能が追加の攻撃対象領域を生み出し、適切に管理され安全に保たれていない場合、攻撃者が侵入できるという事実について考えていないことがよくあります。また、攻撃者が他のルートで侵入した場合は、API 接続を介して横方向に移動して大混乱を引き起こす可能性もあります。

したがって、私たちがこの調査を行おうと思った大きな理由は、API が成長しており、そのリスクが高いことを知っているからです。 さらに、API やマーケティング、多くのセキュリティ ベンダーが自社の製品について話題になっています。 人々は、これに対処するために何をする必要があるかを考えようとしています。現在のセキュリティ ツールは API に対応していますか? 他に何を見るべきでしょうか? これが組織にとって大きな懸念にならないように、リスクを軽減する方法をどのように見つければよいでしょうか?

API に関連するセキュリティ リスクが他の種類のソフトウェアのセキュリティ リスクとどのように異なるかについて詳しく説明してもらえますか?

マークス: アプリケーションのセキュリティ侵害について考えるとき、アプリケーションの構築と実行に必要なコードをハッキングする攻撃を思い浮かべる傾向があります。 OWASP トップ 10 [Web アプリケーションに対する重大なセキュリティ リスクのコンセンサス リスト] などのアプリケーション セキュリティ リソースを見ると、従来はアプリケーションの構築と実行に必要なコードに焦点が当てられてきました。 通常、最も深刻な脆弱性は、コードまたは SQL インジェクション、アクセスの問題、クロスサイト スクリプティングなどです。 セキュリティ チームは、これらの主要なアプリケーション セキュリティ リスクに対処する方法を模索しています。