Entry № 059
API セキュリティ
API セキュリティ とは何ですか?
API セキュリティ認証・認可・データ露出・濫用耐性が攻撃下でも崩れないように API を設計・実装・運用する分野。
API セキュリティは、REST・GraphQL・gRPC・Webhook など、ビジネスロジックを直接露出しがちな面を扱います。OWASP API Security Top 10(オブジェクトレベル認可不備・認証不備・過剰なデータ露出・リソース消費無制限・SSRF など)を中心に据え、強い ID 基盤(OAuth 2.0/OIDC、署名付き JWT、mTLS、スコープ付きトークン)、あらゆるオブジェクト参照に対する厳格な認可、スキーマに基づくリクエスト/レスポンス検証、レート制限とクォータ、構造化ログ、SAST・DAST・API 専用のファジングなどを組み合わせます。シャドー API やゾンビ API の発見と棚卸しは出発点であり、存在を知らないものは守れません。
● 例
- 01
注文を返す前に、認証済みユーザーがその orderId を所有していることを検証し BOLA/IDOR を防ぐ。
- 02
GraphQL エンドポイントの前段でトークン単位のレート制限とリクエストサイズ上限を強制する。
● よくある質問
API セキュリティ とは何ですか?
認証・認可・データ露出・濫用耐性が攻撃下でも崩れないように API を設計・実装・運用する分野。 サイバーセキュリティの アプリケーションセキュリティ カテゴリに属します。
API セキュリティ とはどういう意味ですか?
認証・認可・データ露出・濫用耐性が攻撃下でも崩れないように API を設計・実装・運用する分野。
API セキュリティ からどのように防御しますか?
API セキュリティ に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。
API セキュリティ の別名は何ですか?
一般的な別名: API セキュリティ対策。