「APIエコノミー」に迫る“検知できない脆弱性攻撃”の脅威
コンテンツデリバリーネットワーク（CDN）サービスを基盤に、各種のクラウド型セキュリティサービスを手掛けるアカマイ・テクノロジーズでWebセキュリティの動向を追う中西一博氏が、非常に発見が難しくなっているWeb攻撃の実態と手口を暴き、その対策について解説する。 以前の連載：迷惑bot事件簿 アプリのマイクロサービス化とAPIの関係 世界中のWeb通信を中継しているAkamai Technologies （以下 Akamai）が取り扱う通信の8割以上は、すでにAPIの通信が占めている。 APIを利用するスマートフォンやブラウザアプリが普及の後押しをしているのは間違いないが、近年ではサーバ側のマイクロサービス化（あるシステムを小規模なシステムを組み合わせて開発する手法）の影響も大きい。 日本も同様だ。商用のWebアプリケーション開発者に話を聞くと「いま開発中のWebアプリやスマホアプリのサーバ
フェラーリやトヨタ、主要な自動車メーカーのAPIに多数の重大な脆弱性
サイバーセキュリティ研究者のSam Curry氏は1月3日、同氏のブログ「Web Hackers vs. The Auto Industry: Critical Vulnerabilities in Ferrari, BMW, Rolls Royce, Porsche, and More」において、主要な自動車メーカーが車両の制御や監視などの目的で使用しているWeb APIの脆弱性について調査した結果を公表した。 これによると、多くの自動車メーカーが脆弱なAPIを使用しており、悪用するとリモートからエンジンの始動や停止、ロックおよびロック解除、ライトの点滅、クラッションを鳴らすなどといった行為を行えることが判明したという。 Web Hackers vs. The Auto Industry: Critical Vulnerabilities in Ferrari, BMW, Rolls R
Stolen OAuth tokens used to download data from dozens of orgs, GitHub warns
VMware fixed a code execution flaw in Fusion hypervisor | Vulnerabilities in Microsoft apps for macOS allow stealing permissions | Three men plead guilty to running MFA bypass service OTP.Agency | Transport for London (TfL) is dealing with an ongoing cyberattack | Lockbit gang claims the attack on the Toronto District School Board (TDSB) | A new variant of Cicada ransomware targets VMware ESXi sys
“危ないAPI”のセキュリティ確保には「コミュニケーション」力が不可欠な理由
関連キーワード API | アプリケーション | セキュリティ | 脆弱性 | 脆弱性対策 | アプリケーション開発 API（アプリケーションプログラミングインタフェース）が標的となる攻撃に備えるためのセキュリティ対策は、どうすれば実現できるのか。専門家によると、APIのセキュリティを確保するには、さらなる努力と対策の優先順位付けが必要だ。 コミュニケーションは、API開発の全段階で重要になる。スムーズなコミュニケーションには、ある程度の成熟が欠かせない。「コミュニケーションが欠如している企業は多い」と、Akamai Technologiesでセキュリティ戦略部門の最高技術責任者（CTO）を務めるパトリック・サリバン氏は述べる。同社のレポート「The State of the Internet」は、「API開発にはさまざまな部門や人が関与する必要がある」と指摘する。具体的には開発部門、ネッ
FacebookやTwitterも被害に 「API攻撃」の危険性と注意点は？
関連キーワード API | アプリケーション | セキュリティ | 脆弱性 | 脆弱性対策 | アプリケーション開発 Akamai Technologiesでセキュリティ戦略部門の最高技術責任者（CTO）を務めるパトリック・サリバン氏は、API（アプリケーションプログラミングインタフェース）セキュリティの最大の課題は「認証プロセスの構成要素」にあるという。重要なデータへのAPIを使ったアクセスが増加するにつれ、その重要性は高まる。 最近ではAPIが重要なデータにアクセスすることが珍しくなくなった。企業はアジャイル型（小規模な変更を短期間で繰り返す手法）開発を実施する上で、頻繁にAPIを変更するようになった。こうした変化により、APIは攻撃者にとって魅力的な攻撃対象になってきた。「攻撃対象に関する知識を身に付けることがAPIセキュリティの第一歩だ」と、APIセキュリティベンダーSalt Se
「危ない『API』」はこうして生まれる
関連キーワード API | アプリケーション | セキュリティ | 脆弱性 | 脆弱性対策 | アプリケーション開発 アプリケーションやモノのインターネット（IoT）デバイスの裏側で、API（アプリケーションプログラミングインタフェース）がクラウドサービスとデータをやりとりすることは一般的になった。それに伴って、企業がAPI起因の攻撃を受けるリスクも高まっている。 APIセキュリティベンダーNoname Gate（Noname Securityの名称で事業展開）の最高情報セキュリティ責任者（CISO）カール・マトソン氏は、「クラウドサービスが使うAPIが多様化し、APIの利用機会が急増している」ことがセキュリティ面での最重要課題だと言う。「IT部門にとっても、セキュリティ部門にとっても、こうしたAPIの多様化や増加に付いていくのは極めて難しい」（マトソン氏） マトソン氏は「複雑に絡み合うA
大人気の「API」が抱える“危険”なセキュリティ問題とは？
関連キーワード API | アプリケーション | セキュリティ | 脆弱性 | 脆弱性対策 | アプリケーション開発 API（アプリケーションプログラミングインタフェース）の活用が急速に広がる中、企業にとってAPIのセキュリティ確保が課題となっている。GoogleはAPIに関するレポート「State of the API Economy 2021」で、同社のAPI管理ツール「Apigee」ユーザーによるAPI呼び出し回数の変化を紹介。新型コロナウイルス感染症（COVID-19）のパンデミック（世界的大流行）が深刻化する中、2020年のAPI呼び出し回数は、2019年から49％増加して2兆2100億回になった。 企業は今回のパンデミックに対処するため、テレワークを導入するとともにデジタルトランスフォーメーション（DX）に向けた取り組みを加速させた。同レポートが調査対象としたIT担当幹部およそ
【実録】攻撃者のお気に入り API 10選 | DevelopersIO
AWSアクセスキーセキュリティ意識向上委員会って何？ 昨今、AWSのアクセスキーを漏洩させてしまうことが原因でアカウントへの侵入を受け、 多額の利用費発生・情報漏洩疑いなど重大なセキュリティ事案が発生するケースが実際に多々起きています。 そこで、アクセスキー運用に関する安全向上の取組みをブログでご紹介する企画をはじめました。 アクセスキーを利用する場合は利用する上でのリスクを正しく理解し、 セキュリティ対策を事前に適用した上で適切にご利用ください。 はじめに 弊社オペレーションチームでは、AWS よりお客様アカウントの侵害疑いの連絡を受けた際に、状況確認のため CloudTrail を調査しています。本記事では調査で気づいたことをいくつかお伝えできればと思います。 仮想通貨のマイニングを例とすると、攻撃者は自分たちの IAM ユーザーを作り、とにかく「ハイスペックなインスタンス」をとにかく
スマホアプリの“目立たぬ弱点” 分かっていても対策が難しいワケ
コンテンツデリバリーネットワーク（CDN）サービスを基盤に、各種のクラウド型セキュリティサービスを手掛けるアカマイ・テクノロジーズでWebセキュリティの動向を追う中西一博氏が、非常に発見が難しくなっているWeb攻撃の実態と手口を暴き、その対策について解説する。 以前の連載：迷惑bot事件簿 攻撃の約20%がAPIを標的に 普段利用するスマホアプリでも、購買や決済、パーソナライズなどの目的で、ID、パスワード認証を行うものは多い。そのログインを司るAPI認証・認可サーバには日々大量の不正なログイン試行がbot（自動実行プログラム）により行われている。世界中の主要なWebベースのコンテンツを配信している米Akamai Technologies（アカマイ）では、観測データからWebベースのサービスに対する不正なログイン試行総数の約20%が、APIサーバに対するものだと分析している。 SNSなどか
【セキュリティ ニュース】Kaspersky、一部脅威インテリジェンスをオープンに（1ページ目 / 全1ページ）：Security NEXT
Kasperskyは、同社が収集、分析した脅威情報をもとに、ファイルやIPアドレス、URLなどを分析できるポータルサイトを公開した。同社と契約がない場合も利用できるという。 ファイル、ファイルのハッシュ値、IPアドレス、URLについて、脅威であるか確認し、登録状況や拡散状況などを同社データベースと照らし合わして調査できるポータルサイト「Kaspersky Threat Intelligence Portal」をオープンしたもの。 従来契約者向けに提供していた一部機能を公開。企業やマネージドサービスプロバイダのインシデント担当者、SOCアナリストなどが調査に活用できる。 同社が2019年に実施した調査では、脅威インテリジェンスを利用している回答者は36％にとどまっており、金額の高さが導入障壁となっていたことから、一部機能をオープンにしたという。 URLやハッシュ、IPアドレスについては、1日
Google、Android向けの「reCAPTCHA API」を発表
「reCAPTCHA Android API」では、Googleの最新技術を使って人間とボットを識別し、人間と認識されればクリックなしでユーザーを通過させる。 米Googleは6月9日、人間とボットを識別するための変形文字「reCAPTCHA」を進化させた、Android対応版のreCAPTCHA APIを発表した。Googleサービス用のAPIをパッケージ化した「Google Play開発者サービス」の一環として提供する。 同APIは、Googleの最新技術「Invisible reCAPTCHA」を使って人間とボットを識別する。Invisible reCAPTCHAでは、背後でリスク分析を行って、人間と認識されればクリックなしでユーザーを通過させる仕組み。「モバイルユーザーはスパムや不正を遠ざけたまま、中断されることなくアプリを楽しめる」とGoogleは解説する。
「銀行API公開」のセキュリティで金融機関、TPPs、ユーザーが注意すべきポイント
銀行APIを公開に向けて銀行が懸念すること まずAPI（Application Programming Interface）とは、特定のプログラムを別のプログラムによって動作させるための技術仕様である。 ある金融機関のAPIが公開されることで、顧客はサービス提供者のTPPsが開発した専用アプリを使ってその金融機関が公開したAPIを介して金融機関にアクセスすることが可能になるのである。 たとえば、LINE上で銀行口座の残高を確認したり、振込を行ったりといったことが簡単にできる。あるいは口座の入出金の情報から家計簿を作ったり、家計のアドバイスをオンラインで行うサービスなども考えられる。 多くの銀行がAPIをオープンにすれば、複数の銀行口座を統合的に管理できるサービスも可能だ。企業や事業者は、銀行口座の情報と直結した財務システム、受発注システムの開発が容易になるだろう。 このような動きは、Fin
シマンテック、APIで感染状況を調査できる企業向けウイルス対策ソフト
シマンテックは2016年11月9日、個々のパソコン上で動作するホスト型のウイルス対策ソフトで、管理サーバーを介して一元管理できる製品の新版「Symantec Endpoint Protection 14」（SEP）を発表、同日提供を開始した。新版では、管理サーバーにWeb APIを搭載し、統合ログ管理製品やセキュリティゲートウエイなどの外部製品からマルウエアの感染状況などを調べられるようにした。 管理サーバーにWeb APIを搭載し、統合ログ管理製品やセキュリティゲートウエイなどの外部製品からマルウエアの感染状況などを調べられるようにした 新版では、企業向けに特化した新機能として、API連携機能を追加した。また、先行して販売しているSOHO/個人向けのウイルス対策ソフト「ノートン セキュリティ」で追加した三つの新機能を搭載した。さらに、日々更新するパターンファイルの量を減らす策として、検体
【セキュリティ ニュース】日立、FinTechへ金融機関の認証情報提供が不要となるAPI連携サービス（1ページ目 / 全1ページ）：Security NEXT
日立製作所は、金融機関のシステムとFinTechサービスのデータ連携を実現する「金融API連携サービス」の販売を開始した。2017年2月より順次提供開始する。 同サービスは、金融機関のシステムと、預金情報などのアグリゲーション機能を提供するFinTechサービスのデータ連携を支援するソリューション。 同サービスの導入により、FinTechサービスに金融機関の認証情報を提供することなく、API連携により金融機関のデータをFinTechサービスに読み込むことが可能。必要なデータのみ送信するため、システムへの負荷を軽減できるほか、ウェブインタフェースの仕様変更などの影響を受けなくなる。 具体的には、国内金融機関向けに普通預金の口座情報を参照できる「銀行API連携サービス」と、同社のオンラインバンキング共同センターサービス「FINEMAX」の加盟機関向けにインターネットバンキングのIDに関連する口
APIフレームワーク「Swagger」に深刻な脆弱性、主要言語に影響
攻撃者が悪質な細工を施したSwagger文書を利用して、クライアントやサーバでリモートからコードを実行し、サービスシステムの定義に干渉できてしまう恐れがあるという。 セキュリティ企業のRapid7は6月22日、オープンソースのAPIフレームワーク「Swagger」に深刻な脆弱性が見つかったと報告した。NodeJS、PHP、Ruby、Javaなど主要言語向けのSwaggerコードジェネレータに脆弱性が存在すると指摘している。 Rapid7によると、脆弱性はSwaggerの一部のコードジェネレータで、悪質なSwagger定義文書の可能性が考慮されていないことに起因する。Swagger文書内のパラメータのチェックが不適切なために、攻撃者が悪質な細工を施したSwagger文書を利用して、クライアントやサーバでリモートのコードを実行し、サービスシステムの定義に干渉できてしまう恐れがあるという。 同社
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
URL and website scanner - urlscan.io
https://jp.techcrunch.com/2020/06/18/2020-06-16-salt-security-closes-20m-series-a-to-help-protect-apis/
WebUSBでレイヤーが低まるWeb開発 - Speaker Deck
カスペルスキー、セキュリティインテリジェンスデータベースに直接アクセスできる法人向け「脅威情報ルックアップサービス」を発売 - SecurityInsight | セキュリティインサイト
URLフィルタリングAPIをAWS Marketplaceで提供（エフセキュア） | ScanNetSecurity
