ローカル デバイスにインストールした場合にのみ実行されるアプリケーションの時代から、私たちは長い道のりを歩んできました。クラウド コンピューティングの台頭、ネットワークの普及、インターネット速度の向上により、最新の Web アプリケーションへのアクセスは、ブラウザーに Web アドレスを入力するのと同じくらい簡単になりました。
これが意味することは、企業が顧客にサービスを提供するアプリケーションを簡単に展開できるようになったことです。同時に、そのようなアプリケーションを標的とするセキュリティの脅威も増加しています。実際、 State of Web Security 2021 調査 from CDNetworks は、2021 年の Web アプリケーション攻撃の数が前年に比べて 141.3% 増加したことを報告しました。
Web アプリケーションおよび API 保護 (WAAP) とは何ですか?
Web アプリケーションは、Web ブラウザからアクセスできるプログラムです。また、アプリケーション プログラミング インターフェイス (API) が含まれている場合もあります。これにより、ブラウザーやその他のソフトウェアが一連の定義とプロトコルを介してアプリケーションにアクセスできるようになります。
WAAP または Web アプリケーションおよび API 保護は、これらの API およびアプリケーションを保護することを目的としたクラウドベースのサービスを指します。この用語は、Gartner の Adam Hils と Jeremy D'Hoinne によって造られ、脆弱な API と Web アプリを保護するために作成されたクラウドベースのサービスを表します。これらのサービスには、通常、ボットの緩和、API セキュリティ保護、および DDoS 攻撃に対する防御が含まれます。
WAAPの重要性
最新の Web アプリが進化するにつれて、悪意のある攻撃者がアプリケーションのセキュリティを侵害するために使用する手法も進化しています。新しい機能と機能により、攻撃者はより多くの領域を試して標的にすることができます。アジャイル手法と DevOps プラクティスの採用により、開発、ソフトウェアの更新、および新機能のリリースのペースが急速に向上しています。
このような開発の傾向により、従来の Web アプリケーション ファイアウォール (WAF) がセキュリティ ニーズに対応できなくなっています。 WAF は通常、手動の調整と定期的なメンテナンスに依存しており、一般に、Open Web Application Security Project (OWASP Top 10) によってリストされている最も重大な脅威の上位 10 件のみを監視します。これらすべては、今日の開発者、アプリケーション セキュリティ チーム、および DevOps が、Web アプリケーションの展開に合わせて拡張できるセキュリティを提供できる、より優れたソリューションを必要としていることを意味します。
ここで WAAP サービスが不可欠になります。顧客にアプリケーションと API へのアクセスを提供することによって運営されているビジネスは、WAAP ソリューションを検討する必要があります。
Web アプリケーションと API 保護でビジネスを安全に保つには?
WAAP サービスは、従来のアプリケーション セキュリティ ソリューションよりも優れています。後者は、Web アプリケーションと API の保護に関しては失敗することが多いためです。ここでは、WAAP ソリューションがビジネスを保護する方法をいくつか紹介します。
シグネチャベースの検出よりも優れています
Web アプリケーションに対する脅威は常に進化しているため、シグネチャ ベースのソリューションを使用してこれらを検出しようとしても効果的ではありません。今日機能するものが翌月には機能しない可能性があり、たとえ機能したとしても、組織全体に拡張することは容易ではありません。 WAAP ソリューションは、継続的な自己学習が可能で、脅威環境の一歩先を行くのに役立ちます。
ポートベースの検出が失敗した場合に機能します
ファイアウォールのような従来のソリューションは、通常、使用中のポートまたはプロトコルに基づいてトラフィックを除外またはブロックすることで機能します。攻撃者はユーザーと同じ Web ポートとプロトコルを利用するため、これらは Web アプリケーションと Web API を標的とする攻撃に対しては機能しない可能性があります。これは、悪意のあるトラフィックを選択的にフィルタリングすることが非常に難しくなり、WAAP ソリューションによって提供されるより高度な検査機能が必要になることを意味します。
HTTP トラフィックに隠された悪意のあるコンテンツを検出できます
Web アプリケーションは、サイバー犯罪者が悪意のあるコンテンツを隠すために使用できる HTTP トラフィックを使用します。侵入検知および防止システム (IDS/IPS) は、ある程度のアプリケーション セキュリティを提供する可能性がありますが、これらの脅威を検出して Web アプリケーションを保護するには十分ではありません。対照的に、WAAP ソリューションは TLS 接続を検査するため、トラフィックに隠れているマルウェアや悪意のあるコンテンツを特定できます。今日のすべての Web トラフィックの半分以上が TLS 暗号化を使用しているため、これはビジネスにとって重要です。
WAAP は他のセキュリティ対策とどう違うのですか?
WAAP ソリューションには、WAF などの従来のセキュリティ対策よりも優れた機能が備わっています。注意すべき一般的なもののいくつかを次に示します。
次世代 Web アプリケーション ファイアウォール (次世代 WAF)
次世代 WAF は、行動分析や人工知能 (AI) などの独自の機能により、従来の WAF ソリューションよりも優れた保護を提供します。これらは、既知の攻撃パターンや設定されたセキュリティ ルールによる手動調整に依存しないため、幅広い攻撃に対する保護が可能になります。
悪意のあるボットやトラフィックに対する保護
従来のセキュリティ ソリューションでは、多くの場合、正当なトラフィックと悪意のあるトラフィックを区別できませんが、WAAP ソリューションは、疑わしいトラフィックを分離してボット保護を提供しながら、安全なトラフィックを通過させて意図したとおりにアプリケーションに到達させることができます。
分散型サービス妨害 (DDoS) に対する保護
DDoS 攻撃は、アプリケーションを標的とする最も一般的な脅威の 1 つです。 WAAP ソリューションは、アプリケーション層での DDoS 攻撃からアプリケーション、API、およびマイクロサービスを保護します。このタイプの保護は、攻撃の量に合わせてスケールアップすることもできます。
高度なレート制限
レート制限は、アプリケーション レベルで不正行為を制限する 1 つの手法です。基本的に、ボットがアプリケーションへの総当りログインを試行する回数など、特定の期間内に誰かがアクションを繰り返すことができる頻度に上限を設けます。このようなアクティビティを制限することで、WAAP ソリューションの高度なレート制限機能がアプリケーションと API を保護し、パフォーマンスを維持します。
マイクロサービスと API の保護
API、マイクロサービス、Web アプリケーションには個別のセキュリティ要件があり、個別の保護が必要です。 WAAP ソリューションは、それぞれにセキュリティを配置し、必要に応じてデータとコンテキストを認識する境界を使用することで、これを実現します。
アカウント乗っ取り対策
サイバー犯罪者が機密データにアクセスする 1 つの方法は、以前に取得したデータ ダンプとパスワード リストから侵害された資格情報を使用することです。アカウント乗っ取り防止ツールは、認証 API またはアプリケーションの顧客向け認証プロセスを使用して不正アクセスを検出することで、これを防ぎます。
コンテンツ配信ネットワーク (CDN)
一部の WAAP ソリューションは、アプリケーションの保護も強化するコンテンツ配信ネットワークで構成されています。 CDN は、グローバルに分散されたサーバーのネットワークに負荷を分散することにより、DDoS 攻撃中など、悪意のあるトラフィックが急増した場合にサーバーの負荷を軽減するのに役立ちます。このようにして、コンテンツのキャッシュ、負荷分散、およびフェイルオーバーに役立ち、アプリケーションのパフォーマンスを維持し、世界中のユーザーがアクセスできるようにすることができます。
WAAP セキュリティのための CDNetworks との提携
CDNetworks WAAP Capabilities のコア機能は、ボット軽減、WAF、API 保護、および DDoS 攻撃からの保護を中心としています。これらのクラウド WAAP サービスは、CDNetworks のセキュリティ モジュールで構成されています。 サービス特徴 組織が異種のデジタル インフラストラクチャ全体にクラウド インフラストラクチャを展開できるようにします。
CDNetworks のクラウド セキュリティ ソリューションは、コンテンツ配信ネットワーク (CDN) の堅牢なパフォーマンスと強化されたセキュリティを組み合わせて、Web サイトのコンテンツを迅速かつ安全に配信します。 Web サイト、アプリケーション、および API 用の多層セキュリティ テクノロジが付属しており、企業が柔軟かつ経済的な方法で事業運営を保護するのに役立ちます。
CDNetworks も提供しています Application Shield
(マルチレイヤWAF)、Bot Shield、API Shield は、Web アプリケーションと API を一緒に保護するソリューションです。アプリケーション シールドは、Web アプリケーション ファイアウォール (WAF)、DDoS 保護、および CDN アクセラレーションを統合して、トロイの木馬、クレデンシャル スタッフィング、Web アプリケーション攻撃などのさまざまな脅威から保護します。 Bot Shield - Bot対策 はクラウドベースのボット管理ソリューションであり、企業が正当な人間のトラフィックとボット トラフィックを簡単に区別し、善良なボットと悪意のあるボットを区別するのに役立ちます。 API Shield は、組織の API リソースを保護するフルサイクル管理であり、繰り返されるリクエストに対する API 保護も提供します。
