REST APIのセキュリティ診断とは？対象範囲と確認内容を解説

ECサイトや予約機能、会員ページを使っているなら、「API」という言葉になじみがなくても、実はWebサイトの裏側でAPIが動いているかもしれません。

スマートフォンアプリや顧客管理サービスとの連携でも、情報を受け渡すAPIが使われています。

ここで気をつけたいのが、Webサイトの画面とAPIがつながっていても、セキュリティ診断では別の対象として扱われることがある点です。

「Webサイトは診断したから大丈夫」と思っていても、APIまでは確認されていない可能性があります。

この記事では、REST API診断でどこまで確認するのか、専門知識がなくても相談できる理由とあわせてご紹介します。

APIを含むWeb脆弱性・技術診断の全体像も確認すると、Webサイト全体でどこまで点検すればよいのかがわかりやすくなります。

セキュリティー診断さん

APIって言葉はよく聞くけど…なんだか難しそう。 うちみたいな小さい会社でも、ちゃんと考えなきゃいけないことなのかな？

REST APIのセキュリティ診断とは

REST APIのセキュリティ診断では、Webサイトの画面からは見えにくい「情報の受け渡し」に問題がないかを外部から確認します。

ECサイトの注文や予約機能、会員ページの登録情報、スマートフォンアプリなど、身近なサービスでもAPIは使われています。

制作会社にWebサイトの構築を任せている場合、経営者自身がAPIの存在を知らないケースも珍しくありません。

APIは「レストランの注文係」のようなもの

APIの役割は、レストランで注文を厨房へ伝え、できあがった料理を席まで届ける注文係に置き換えて考えてみるとわかりやすいです。

Webサービスでも、画面から受け取った注文や予約を裏側のシステムへ伝え、その結果を画面へ返しています。

つまりAPIは、Webサイトの画面と裏側のシステムをつないでいる存在です。

そのため、Webサイトの表側を診断しただけでは、APIまで確認できているとは限りません。

APIを悪用されると、どんなことが起こる？

もし、レストランの注文係が他人になりすまして勝手に注文したり、別のお客さんの料理を持ち去ったりできたら困りますよね。

APIでも同じように、利用者の確認や情報の渡し方に問題があると、他人の注文履歴を見られたり、本来は触れない情報を変更されたりするおそれがあります。

REST API診断では、こうした情報の通り道に問題がないかを確認し、Webサイトだけ診断してAPIが対象から漏れてしまうのを防ぎます。

REST API診断では、どこを確認する？

REST API診断で大切なのは、専門用語や細かな設定方法を覚えることではありません。

会社として守りたい情報や機能が、きちんと守られているかを確認することです。

本人以外がアクセスできないか

「認証」とは、アクセスしている人が本当に本人なのかを確かめる仕組みです。

ログインしていない人や、期限切れのログイン情報を使っている人が、会員情報などへアクセスできないかを確認します。

他人の情報まで見られないか

「認可」とは、ログインした人がどこまで情報を見たり変更したりできるかを決める仕組みです。

URLや番号を変えるだけで、他人の注文履歴や管理者だけが使える機能へアクセスできないかを調べます。

大切な情報が安全に送られているか

APIでは、ログイン情報や個人情報などをインターネット上でやり取りすることがあります。

こうした大切な情報が、通信の途中で読み取られにくいよう暗号化されているかを確認します。

外部に見せてはいけない情報が出ていないか

APIキーや管理用の情報など、本来は外部へ見せてはいけない情報がWebサイトやアプリから見える状態になっていないかを確認します。

必要以上の個人情報や社内向けの情報を、APIが外部へ返していないかも大切な確認ポイントです。

大量のアクセスにも備えられているか

短時間に大量のアクセスを受けても、サービスが悪用されにくいよう制限できているかを確認します。

不自然なアクセスを制限できるか、問題が起きたときに状況を確認できるかも見ていきます。

APIゲートウェイで行う公開範囲や通信量の制御については、APIゲートウェイのセキュリティ診断でも詳しく確認できます。

自社だけでAPIの診断範囲を決めるのが難しい理由

APIは、Webサイトの画面を見ただけでは「どこに、いくつあるのか」がわかりにくいものです。

そのため、普段どおりサイトを操作しているだけで、外部に公開されているAPIをすべて把握するのは簡単ではありません。

「Webサイトは診断したから大丈夫」と思っていても、APIだけが別の対象として残っている可能性もあります。

制作会社へ「APIは安全ですか」と確認するだけでは、外部から他人の情報へアクセスできないか、不要な情報が返されないかまで実際に診断したことにはなりません。

とはいえ、相談する前にAPIのURLや仕様書、権限ごとのアカウントを自社ですべてそろえる必要はありません。

まずは対象のWebサイトや利用している機能、制作会社など、今わかっていることを伝えれば大丈夫です。

必要な情報を案内に沿って確認していけば、専門知識がなくても診断する範囲を整理できます。

セキュリティー診断さん

自分でやるのは難しすぎるし、専門家に頼むのはお金も時間もかかるのか…。 一体どうすればいいの？

詳しいことが分からなくても診断を相談できる

APIについて詳しく分からなくても、診断の相談はできます。

まずは対象のWebサイトや利用している機能など、分かる範囲を共有し、外部からアクセスできるWebサイトやAPIを確認していきます。

問題が見つかった場合は、どこに問題があるのか、どのような影響が考えられるのか、どう対応すればよいのかをレポートで確認できます。

そのレポートを制作会社へ渡せば、「どこを確認して、何を直してほしいのか」も伝えやすくなるでしょう。

脆弱性診断レポートの読み方も参考にすると、見つかった問題の優先順位や、修正後に確認したいポイントがわかります。

WebサイトとAPIをまとめて確認する

自社での確認や診断ツールは、すでに把握している設定を日常的にチェックするときには役立ちます。

ですが、そもそもAPIがあるのか、どこまで外部に公開されているのかを経営者自身で判断するのは簡単ではありません。

存在を知らないAPIは、自社で確認しようとしても対象から漏れてしまいます。

Webアプリ脆弱性診断ツールの種類と選び方も参考にしながら、自社だけでは判断が難しいと感じたら、診断サービスへ相談すると安心です。

「セキュリティー診断さん」のAPIセキュリティ診断では、Webサイトだけでなく、外部からアクセスできるAPIについても診断対象を相談できます。

専門用語が分からなくても、診断結果をもとに問題の場所や対応内容を確認できるため、制作会社へ修正を依頼するときにも活用できます。

WebサイトだけでなくREST APIも診断対象か確認しよう

ECサイトや予約・会員機能、スマートフォンアプリ、外部サービスとの連携を利用しているなら、画面の裏側でAPIが使われている可能性があります。

Webサイトをすでに診断していても、外部公開されているAPIまで対象になっているとは限りません。

だからといって、経営者自身がAPIについて詳しく調べてから相談する必要はありません。

まずは分かる範囲を伝え、どこまで診断すればよいのかを確認すれば大丈夫です。

診断を検討している場合は、「セキュリティー診断さん」のAPIセキュリティ診断で対象範囲について相談できます。

「Webサイトは診断したけれど、裏側のAPIまで見てもらっているか分からない」という方は、この機会に一度確認してみませんか？

セキュリティー診断さん

診断を受けて、どこが危ないのか知ることが大事なんだな！ ヨシ！ まずは相談してみよう(๑•̀ㅂ•́)و✧