11月13日、金融業界がサイバー攻撃の主要な標的となっていることが報じられました。クラウドサービスプロバイダーのAkamaiは先日、APIのセキュリティと安定性を強化するAkamai Native Connectorソリューションをリリースし、増加するAPI攻撃への金融業界の対応を支援しています。

Akamai の SOTI レポート「セキュリティ脅威の急増への対応：金融サービス業界における攻撃傾向」によると、金融業界は 2 年連続で DDoS 攻撃による被害が最も大きい業界となっています。金融機関はレイヤー 3/4 DDoS 攻撃の割合が最も高く、34% に達しています。

一方、HTTPウェブアプリケーション層を標的とした攻撃も大幅に増加しています。特に、タグなしおよび未識別のシャドーAPIが大きな標的となっています。アジア太平洋地域および日本（APJ）では、API攻撃が最も多く発生しており、同地域におけるDDoS攻撃の約50%を占めています。

実際、金融業界におけるAPIの利用とそれに伴うリスクは継続的に増加しており、多くのビジネスモデル（デジタルネイティブバンクなど）がAPIをフル活用して業務を行っています。そのため、金融業界におけるAPIの利用は今後さらに拡大し、リスクはより深刻化していくでしょう。

Akamai のシニア ソリューション テクニカル マネージャー、Ma Jun 氏

Akamai のシニア ソリューション テクニカル マネージャーである Ma Jun 氏は、API 保護に関して、現在業界で広く使用されている WAF (Web アプリケーション ファイアウォール) ソリューションには解決できない 3 つの問題があると説明しました。

まず、「シャドーAPI」の問題があります。これらのAPIはセキュリティチームによって十分に特定されておらず、トラフィックに対するセキュリティ保護が不十分になっています。これらのシャドーAPIの明確なインベントリがないため、完全に制御不能になっています。定義、対象範囲、リストが不足しているため、企業は既存のWAFやセキュリティ対策ではこれらのAPIを保護するのに苦労しています。

第二に、脆弱なAPIがあります。これらの脆弱性は主にAPIのビジネスレベルに存在します。例えば、OWASPのグローバルAPI脆弱性トップ10リストによると、多くのAPI脆弱性は認証とアクセス制御に関連しています。攻撃者はAPIのパラメータを変更するだけで、ユーザー、企業、さらには情報セキュリティの境界を越えて、他のユーザーや個人の機密情報にアクセスできるようになります。これは、従来のWAFでは解決できない脆弱性の問題です。

3つ目はAPIの不正利用です。これは、権限のない呼び出し元、特にパートナーがAPIの整合性を悪用する（あるいは呼び出し回数、範囲、シナリオ、順序を適切に考慮しない）いわゆる「スパイ活動」を指します。攻撃者はAPIを利用して機密データをスクレイピングしたり、バックエンド構成を変更したり、「クレデンシャルスタッフィング」攻撃や、より複雑な不正行為や侵入攻撃を実行したりする可能性があります。

上記の課題に効果的に対処するため、Akamai は API ディーププロテクション機能を通じて包括的なガバナンスフレームワークを提案しています。このフレームワークは、API 保護における課題を包括的に解決し、API のセキュリティと安定性を確保することを目的としています。同時に、Akamai は金融業界のお客様向けに、迅速に導入可能なソリューションである Akamai Native Connector も提供しています。

馬軍氏は、Akamai ネイティブコネクタは、Akamai の既存ユーザーと革新的な高度な API セキュリティソリューションを繋ぐ重要なリンクであると説明しました。この新しい統合機能は、Akamai の接続クラウドプラットフォームに直接組み込まれており、クラウドプラットフォームから Akamai の高度な API エンジンへトラフィックのコピーをシームレスに転送します。この設計により、お客様は数回クリックするだけで、あるいは物理的な導入を必要とせずに、高度な API 検出および保護機能を迅速に実装できます。このソリューションは非常に使いやすく効率的で、お客様は高度な API 検出および防御の導入を数分、あるいは数秒という非常に短い時間で完了できます。「検出、認識、ランタイム監視」、「テスト」といった主要機能を網羅し、お客様の API セキュリティを強固に保護します。

Akamai は近年、API セキュリティへの継続的な投資と革新に取り組んできました。また、今年は API 保護のリーディングカンパニーである Noname を買収しました。この買収により、Akamai は企業がシャドー API の脆弱性や API の不正利用といったセキュリティ脅威に効果的に対処できるよう支援できるようになります。

馬俊氏は、「セキュリティ保護と攻撃は、いわばいたちごっこです。セキュリティ保護の進化は、攻撃者の能力、ツール、そして技術の進化と密接に関連しています。アカマイのプラットフォーム機能とデータを通じて、私たちは多くの新たなセキュリティ脅威とシナリオを観察してきました。これにより、お客様がアカマイ製品を効果的に活用し、実際の問題を解決できるよう、的を絞ったセキュリティ戦略を策定することが可能になりました。」と強調しました。（郭青）