グーグル、増大する脅威からAPIを保護する「Advanced API Security」発表【テッククランチ】

米グーグルはアメリカ時間2022年6月30日、API絡みのセキュリティ脅威を検出するために設計されたグーグルクラウド向けの新機能「Advanced API Security」のプレビューを発表した。新機能はグーグルのAPI管理プラットフォーム「Apigee（アピジー）」を基に構築されている。本日からアクセスをリクエストできる。

「アプリケーション・プログラミング・インターフェース」の略であるAPIはコンピュータ間やコンピュータプログラム間の接続を取り持つものだ。APIの利用は増加傾向にあり、2021年のある調査では61.6%超の開発者が前年より API に依存したことが明らかになっている。その一方で、攻撃のターゲットになることも増えている。サイバーセキュリティサービス、インパーバの2018年レポートによると、組織の3分の2が安全でないAPIを一般やパートナーに公開している。

Advanced API SecurityはAPIの設定ミスの特定とボットの検出という2つのタスクに特化している。管理されたAPIを定期的に評価し、設定の問題を検出した場合に推奨されるアクションを指南する。また、事前設定されたルールを使用して、APIトラフィック内の悪質なボットを識別する方法も提供する。各ルールは単一のIPアドレスからの異常なトラフィックのさまざまなタイプを表し、APIトラフィックのパターンがいずれかのルールに合致する場合、Advanced API Securityはそれをボットとして報告する。

「API の設定ミスは、API セキュリティ事案の主要な理由の1つだ。API の設定ミスを特定して解決することは多くの組織にとって最優先事項だが、設定管理のプロセスは時間がかかり、かなりのリソースを必要とする」とグーグルクラウドの製品責任者である Vikas Ananda（ヴィカス・アナンダ）氏は発表に先立ってテッククランチと共有されたブログ投稿で述べている。「Advanced API SecurityはAPIチームがセキュリティ標準を守っていないAPIプロキシを簡単に特定できるようにする。さらに、Advanced API Securityは『HTTP 200 OK』のレスポンスの取得に成功したボットを特定することで、データ侵害を特定するプロセスを迅速化する」とある。

Advanced API Securityの提供開始により、グーグルが2016年に5億ドル（約690億円）超で買収したアピジーのセキュリティサービスを強化しようとしているのは明らかだ。グーグルは、APIセキュリティ分野での競争激化にも対応している。APIに特化したサイバーセキュリティ製品を提供するスタートアップには、「Salt Security（ソルトセキュリティ）」、「Noname Security（ノーネームセキュリティ）」、「Neosec（ネオセック）」などがある。「Barracuda（バラクーダ）」、「Akamai（アカマイ）」、「42Crunch（42クランチ）」、「Traceable（トレーサブル）」、「 Ping Identity（ピングアイデンティティ）」、「Signal Sciences（シグナルサイエンス）」など多くの既存ベンダーも近年、提供する製品を拡充している。

3月には、「Cloudflare（クラウドフレア）」がAPIセキュリティの強化を目的とした新しいゲートウェイを発表した。そして5月には、「Imperva（インパーバ）」がAPIセキュリティ会社「CloudVector（クラウドベクター）」を買収した。

これらの製品がどれほど機能するかはまだわからないが、APIを媒介とする攻撃の脅威は非常に現実的だ。「Peloton（ペロトン）」、「Parler（パーラー）」、そして「LinkedIn（リンクトイン）」といった企業がここ数カ月でAPIを使った攻撃の犠牲になっている。これらの企業だけではない。クラウデニティの最近の調査によると、44％の企業が内部および外部向けのAPIでプライバシー、データ漏洩、オブジェクトのプロパティの露出に関する「かなりの」API認証の問題を経験したことがあるという。

From TechCrunch. © 2022 Verizon Media.  All rights reserved.  Used under license.

元記事はこちら
Google launches Advanced API Security to protect APIs from growing threats
By Kyle Wiggers
翻訳：Nariko