APIの脆弱性を狙うbot攻撃の被害を防ぐ、セキュリティ対策の9つのポイントとは

　モバイルやIoTデバイスの普及により、アーキテクチャの異なるアプリケーションが多数存在する昨今、それらの間の通信を助けるAPIを活用し、DevOpsの取り組みを進める企業が増えている。その一方で、APIが抱える脆弱性を狙ったbotによる自動化された攻撃が急増し、世界中で被害事例が報告されている。

　その種類としては、認証の弱点を突いたアカウント乗っ取り、強固な暗号化の欠如を利用した情報窃取やトランザクションデータ改ざん、ビジネスロジックの悪用などがある。同一のブラウザやセッションが発信源の単一HTTPリクエスト、404エラーや認証エラー率の増加などが見られたら、APIが攻撃を仕掛けられている兆候と考えるべきだろう。

　本資料では、自動化された攻撃からAPIを守るセキュリティ対策の9つのポイントを解説するとともに、それらの実践に役立つソリューションを紹介している。ファイルやフィンガープリンティングで識別されたデバイスなどの情報からなる「集約型インテリジェンス」を活用して、高精度な検出を実現する他、既存クラウドWAFサービスとも容易に連携可能な同ソリューションの実力を、詳しく見ていこう。