再びOWASPより：サーバはデータのプロキシとして使用されます。レンダリングコンポーネントはクライアントであり、サーバーではありません。クライアントは生データを消費します。APIはアプリの基本的な実装を公開します。ユーザーの状態は通常、クライアントによって維持・監視されます。各HTTPリクエストでは、さらに多くのパラメータが送信されます（オブジェクトID、フィルタ）。

Q: APIセキュリティは一般的なアプリケーション・セキュリティとどう違うのか？

APIセキュリティは 、API特有のセキュリティリスクを軽減する戦略に焦点を当てています。API ベースのアプリでは、従来の脆弱性は少なくなっています。CSRF - クッキーの代わりに認証ヘッダ。パスの操作 - クラウドベースのストレージ。古典的なITセキュリティ問題 - SaaS。

Q: OWASPのAPIセキュリティ・トップ10とは？

OWASP は最近、API Security Top 10 Release Candidate を発表しました。 OWASP API Security Project についてもっと読む.以下がトップ10です：API1 - オブジェクトレベルの認可の失敗 API2 - ユーザー認証の失敗 API3 - 過度のデータ露出 API4 - リソースの不足& レートの制限 API5 - 関数レベルの認可の失敗 API6 - 大量割り当て API7 - セキュリティの誤設定 API8 - インジェクション API9 - 不適切な資産管理 API10 - 不十分なロギング& 監視

概要

API（アプリケーション・プログラミング・インターフェース）はデジタルトランスフォーメーション戦略の重要な部分であり、APIのセキュリティ確保は最重要課題である。APIは、急速に成長している攻撃対象であるが、広く理解されていないため、開発者やアプリケーション・セキュリティ管理者が見落としている可能性がある。

APIセキュリティ

OWASPのAPIセキュリティ・プロジェクトから引用しよう：「APIは最新のモバイル、SaaS、Webアプリケーションの重要な部分であり、顧客向け、パートナー向け、内部アプリケーションに存在する。APIはその性質上、アプリケーション・ロジックや個人を特定できる情報（PII）のような機密データを公開するため、ますます攻撃者の標的になっています。セキュアなAPIがなければ、迅速なイノベーションは不可能だ。

APIベースのアプリはどう違うのか？

再びOWASPから：

サーバーはデータのプロキシとして使われることが多い。
レンダリングコンポーネントはクライアントであり、サーバーではない。
クライアントは生データを消費する。
APIはアプリの基本的な実装を公開する。
ユーザーの状態は通常、クライアントによって維持・監視される。
各HTTPリクエストでは、さらに多くのパラメーターが送信される（オブジェクトID、フィルター）。

APIセキュリティは一般的なアプリケーション・セキュリティとどう違うのか？

APIセキュリティは、API特有のセキュリティリスクを軽減する戦略に焦点を当てています。APIベースのアプリでは、従来の脆弱性はあまり一般的ではありません：

SQLi - ORMの利用が増加。
CSRF - クッキーの代わりに認証ヘッダ。
パスの操作 - クラウドベースのストレージ。
古典的なITセキュリティ問題 - SaaS。

なぜAPIのセキュリティが重要なのか？

APIのセキュリティが重要なのは、企業がAPIを使ってサービスを接続し、データを転送しているため、APIがハッキングされるとデータ漏洩につながる可能性があるからだ。

APIの利用は増え続けている

2021年12月、CloudflareはAPIコールが総リクエストの54% を占め、2021年2月から12月にかけて21% 増加したと報告した。攻撃者はこれに注目し、APIへの注力を強めている。

APIセキュリティテストは、Gartner MQ for Application Security Testingの中核機能の一部です。

APIは、最新のアプリケーション（シングルページやモバイルアプリケーションなど）にとって不可欠な要素となっているが、従来のASTツールセットでは十分にテストできない可能性があり、特殊なツールや機能が求められている。開発環境と本番環境の両方でAPIを検出し、APIのソースコードをテストする機能、また、実行中のAPIのテストをサポートするために記録されたトラフィックやAPI定義を取り込む機能は、典型的な機能である。

OWASPのAPIセキュリティ・トップ10とは？

OWASPは最近、API Security Top 10 Release Candidateを発表した。OWASP API Security Project についてもっと読む。これがトップ10だ：

API1 - 壊れたオブジェクトレベルの認証
API2- 壊れたユーザー認証
API3 - 過度のデータ露出
API4 - リソース不足& レート制限
API5 - 壊れたファンクションレベルの認証
API6 - 大量割り当て
API7 - セキュリティの設定ミス
API8 - インジェクション
API9 - 不適切な資産管理
API10 - 不十分なロギング& 監視

オープンテキストがAPIセキュリティを支援

アプリケーションのセキュリティ

攻撃対象範囲- テスト中に新しいAPIエンドポイントやシャドーAPIエンドポイントを自動的に検出し、OpenAPI、Swagger、Odata、またはWSDLスキーマを使用してエンドポイントの幅を特定します。
API認証- API認証は多様で複雑です。オープンテキストは、ほぼすべてのタイプのベアラートークンと実装をサポートしています。
脆弱性の検出- ベアラートークンやGraphQLイントロスペクションなどの分野に影響するAPI固有の脆弱性を常にカバー。
スキャンの自動化- SaaS、ホスト型、またはオンプレミスで提供されるエンタープライズグレードのオーケストレーションで、APIテストを拡張します。

APIセキュリティ

今すぐ始める

詳細情報

Resources

Application security testing

Developer Guide to the 2023 OWASP Top 10 for API Security white paper