ここ数年、APIは事実上あらゆるデジタルプラットフォームに不可欠な要素となっています。ガートナー社は、APIがデジタルビジネスの中核を成していると報告しています。Slashdata社の「Slashdata 19th Developer Economics Survey」によると、開発者の約90%が何らかの形でAPIを利用しています。
従って、デジタル環境が進化し続けるにつれて、堅牢なセキュリティ・フレームワークの重要性はますます高まっています。この分野における最も重要な戦略の一つが、ゼロトラスト・セキュリティ・フレームワークです。APIセキュリティについて検討している際に、このフレームワークについて聞かれたことがあるかもしれません。ゼロトラストは、APIセキュリティの最適なモデルの一つなのです。Microsoftのレポートによると、セキュリティに関する意思決定者の96%が、ゼロトラストが組織の成功に重要な役割を果たすことに同意しています。では、ゼロトラストとは？ そして、ゼロトラストの導入を検討すべきでしょうか？
ゼロトラストAPIに何が含まれるのか？
ゼロトラストは、大手テクノロジ調査会社Forrester Researchによって開発されたもので、「決して信頼せず、常に検証する」という基本理念に基づき、デジタル領域における最高のセキュリティを確保します。つまり、継続的に認証、承認、検証されたユーザのみがネットワークにアクセスできるのです。
しかし、その普及に伴い、リスクも増大しています。APIには、機密データの暴露、不正アクセス、データ漏洩など、それぞれがビジネスに甚大な影響を与える可能性のある固有の脆弱性があります。そのため、ゼロトラスト・フレームワークの「決して信頼せず、常に検証する」というコンセプトは、APIセキュリティの強化にも重要な役割を果たし、組織がデジタル防御を強固にするための基盤を提供します。
ゼロトラストセキュリティモデルの概要
ゼロトラストモデルは、場所やネットワークの状態に関係なく、ユーザやデバイスをデフォルトで信頼してはならないという原則に基づいています。ネットワーク内のすべてのものが安全であると想定する従来の境界ベースのセキュリティモデルとは対照的に、ゼロトラストモデルは侵入を前提とし、すべてのリクエストをオープンネットワークから発信されたかのように検証します。
ゼロトラストセキュリティモデルは、いくつかの基本原則に基づいています。
- 最小減のアクセス権限: ユーザには必要最小限のアクセスのみが提供されるため、アカウント侵害の潜在的な影響が軽減されます。
- マイクロセグメンテーション: ネットワークは安全なゾーンに分割され、それぞれに独自のセキュリティ制御が設けられます。これにより、ネットワーク内での横方向の移動が制限されます。
- ユーザとデバイスの検証: 場所やネットワークに関係なく、すべてのユーザとデバイスはアクセスを許可する前に検証されます。
- リアルタイムの監視と分析: すべてのネットワークアクティビティは継続的に監視および分析され、疑わしい動作は即座に特定して対応します。
- 自動化とオーケストレーション: セキュリティのプロセスは可能な限り自動化され、セキュリティインシデントへの対応時間が短縮され、人為的エラーの可能性が低減されます。
この戦略はゼロトラスト・アーキテクチャの基盤を形成します。これは、ユーザID、デバイス、ネットワーク、アプリケーション、データのセキュリティを網羅する、企業のサイバーセキュリティへの包括的なアプローチです。
ゼロトラストAPIの必要性を理解する
APIセキュリティにゼロトラストの原則を採用することで、全体的なセキュリティが強化され、データ暗号化のアプローチが刷新されます。データセキュリティをベンダやサービスプロバイダに依存する従来のアプリケーションとは異なり、ゼロトラストAPIはユーザデータのエンドツーエンドの暗号化を保証し、サービスプロバイダへの依存を軽減します。
ゼロトラストモデルの鍵となるのは、ID検証とリアルタイムの信頼確立という概念です。APIには、各リクエストがリアルタイムで認証・承認される厳格な認証・認可メカニズムが組み込まれている必要があります。これには、API呼び出しを行うユーザ、デバイス、アプリケーション、またはサービスIDの検証が含まれます。トークンベース認証（OAuth）、多要素認証、リスクベースの適応型認証などのテクノロジを活用することで、信頼レベルを高めることができます。ゼロトラストモデルでは、「最小のアクセス権限」とマイクロセグメンテーションも重視されています。これは、きめ細かなアクセス制御を実装し、認証された各エンティティがアクセスできる範囲を制限することを意味します。
従来型アプリケーションとゼロトラストアプリケーションを比較する場合、データ保護へのアプローチが焦点となります。従来型アプリケーションは、データの保護、分離、監視を優先し、境界防御や信頼の前提に頼ることがよくあります。一方、ゼロトラストアプリケーションは、データ中心のセキュリティアプローチを採用しています。このアプローチには、保存時および転送中のデータを暗号化するための強力な暗号化制御と、サーバ側でのデータ処理を必要とせずにユーザがデータを活用できるようにする技術設計が含まれます。
API の設計と使用にゼロトラストを組み込む場合は、次の 4つの視点を考慮してください。
ユーザ
ゼロトラストモデルでは、すべてのユーザが潜在的な脅威とみなされます。アクセスを許可する前に、各ユーザの認証と認可を必ず確認する必要があります。ネットワーク上の所在地に基づいてユーザの信頼性を推測しないでください。このプロセスは、個人情報の盗難、内部脅威、資格情報の侵害に関連するリスクを軽減するのに役立ちます。
トランザクション
個々のAPIトランザクションは、真正性を確保するために徹底的な精査が必要です。ゼロトラストモデルでは、すべてのAPI呼び出しが潜在的なセキュリティリスクとして扱われます。このアプローチにより、権限のないユーザやデバイスが正当なユーザやデバイスになりすましてアクセス権限を取得したり、業務を妨害したりするのを防ぐことができます。セキュリティを確保するために、各トランザクションでは、その送信元、送信先、そして転送するデータを認証・検証する必要があります。
データ
各APIを介して共有されるデータについて明確なパラメータを定義することは非常に重要です。これには、データへのアクセス方法を決定し、保存時と移動時の両方で機密データを保護するための包括的なポリシーを設定することが含まれます。強力な暗号化標準の適用、データ損失防止（DLP）戦略の実装、データ匿名化技術の活用は、機密データの保護を強化するのに役立ちます。
モニタリング
APIトランザクションとユーザの振る舞いを監視・分析することは、APIの異常な利用を特定する鍵となります。これらは、潜在的な攻撃や機密データの不正取得の兆候となる可能性があります。高度な分析、AI、機械学習を活用することで、リアルタイムのAPIアクティビティを効果的に監視し、パターンを特定し、異常を検知し、迅速に対応することで、潜在的なセキュリティ脅威を軽減できます。
eBookのダウンロード(英語)：The Definitive Guide to API Attack Protection
APIアーキテクチャにおけるゼロトラスト原則の実装
以下は、API アーキテクチャでゼロトラストの原則を実装するための手順とベストプラクティスです。
設計段階
ゼロトラストAPIアーキテクチャは、設計段階から始まります。セキュリティはAPI設計の中核となるべきであり、後付けとすることは避けるべきです。明確なアクセスポリシーの定義、きめ細かな権限設定、そして保存データと転送データに使用する暗号化技術の決定などが含まれます。適切な認証と認可なしにAPIにアクセスできないように設計する必要があります。
開発段階
開発段階では、コーディングのベストプラクティスと標準を厳格に遵守することが不可欠です。これにより、インジェクション攻撃やクロスサイトスクリプティングといった一般的なセキュリティ問題を防ぐことができます。定期的なコードレビューと自動テストは、潜在的なセキュリティ上の欠陥を早期に特定するのに役立ちます。さらに、開発者は、認証、暗号化、その他のセキュリティ機能のための組み込み関数を提供するAPIセキュリティのフレームワークとライブラリを活用する必要があります。
実装段階
ゼロトラストの原則を実装する際には、「デフォルトで拒否」のアプローチを採用してください。検証されるまで、すべてのAPI呼び出しを信頼できないものとして扱う必要があります。これには、各APIリクエストの検証、その発信元の精査、ユーザ資格情報の検証、そしてペイロードに潜在的な脅威がないかのチェックが含まれます。
APIゲートウェイは、APIトラフィックの管理、監視、セキュリティ保護に利用できます。レート制限、IPフィルタリング、トラフィックログなどの機能も利用できます。さらに、トークンベースの認証にはOAuth、アイデンティティサービスにはOpenID Connect、情報交換にはJWTなどのソリューションを活用することで、強力なセキュリティ制御を実現できます。
ただし、API アーキテクチャにゼロトラストの原則を実装する場合は、次のような落とし穴に気をつけてください。
- 原則の一貫性のない適用: ゼロトラストの原則が、内部 API を含むすべての API に適用されていることを確認します。
- API依存関係の無視: APIは多くの場合、他のAPIやサービスに依存しています。これらが安全でない場合、攻撃者の侵入口となる可能性があります。したがって、包括的なセキュリティを確保するには、APIエコシステム全体を包括的に捉える必要があります。
- 静的なセキュリティ対策: サイバー脅威と攻撃手法は絶えず進化しており、防御戦略も同様に進化する必要があります。進化するサイバー脅威と攻撃手法に対応するため、セキュリティ対策を定期的に更新してください。
ゼロトラストAPIを検討する際の課題
ゼロトラストAPIアーキテクチャへの移行においては、いくつかの課題に直面するかもしれません。それは、技術的な複雑さから組織文化の変化まで、多岐にわたります。いくつか例を挙げてみましょう。
- 複雑なクライアントアプリケーション: クライアントはネットワーク経由でデータを送受信する必要があるだけでなく、強力な暗号化制御も実装する必要があるため、クライアント アプリケーションは少し複雑になります。
- 全体最適化の問題: 開発者は通常、APIの使用や認証トークンの提供には慣れていますが、強力な暗号化制御の実装には慣れていない場合があります。
- セキュリティ侵入: データへの不正アクセスを企む個人やグループによる侵入の試みのリスクは常に存在します。彼らはデータへのアクセス方法を巧みに模索するでしょう。
- パフォーマンスのオーバーヘッド: 暗号化と復号は、ある程度のパフォーマンスオーバーヘッドをもたらします。最新のプロセッサではこのオーバーヘッドを軽減できますが、ビッグデータを扱うパフォーマンス重視のアプリケーションには影響を与える可能性があります。
- 量子コンピューティングの脅威: 将来、量子コンピューティングは暗号化されたデータの解読に利用される可能性があります。これは確かにリスクではありますが、差し迫った懸念事項となる可能性は低いでしょう。量子コンピューティングの発展は、量子暗号を用いた対抗策の開発にもつながるはずです。
- スケーラビリティ: パフォーマンスに影響を与えずにゼロトラストAPI をスケールアップするのは難しい作業です。
- 組織の変更: ゼロトラストへの移行には、セキュリティの捉え方と実装方法に関する文化的変化が伴い、スタッフ向けの包括的な認識およびトレーニングプログラムが必要になります。
ThreatX はどのような防御層を提供するのか？
ThreatX by A10 Networksは、 確かな機能を備えたAPI保護ソリューションを提供します 。企業の機密データをエンドツーエンドで保護できるよう支援します。ThreatXは、ゼロトラストの原則をAPIインフラストラクチャにシームレスに統合し、保存時と転送時のデータの安全性を確保します。セキュリティ専門家が24時間365日体制で待機し、設定や脅威ハンティングなど、APIのセキュリティ確保に不可欠な機能のサポートを提供します。
