HCL AppScan API Security

APIのセキュリティ確保は、まず可視性、つまりどのようなAPIがあるのか​​、どこにあるのか、そしてどのように使用されているのかを把握することから始まります。そこから、APIを継続的にテストする必要があります。これには、HCL AppScanなどのDASTツールを使用し、ソースコードがなくても実行中のAPIの脆弱性をスキャンすることが含まれます。また、コードや依存関係にアクセスできる場合は、SASTまたはSCAを使用する必要があります。APIゲートウェイと適切な認証（OAuth、トークンなど）はアクセス制御に役立ち、スキーマ検証、レート制限、ログ記録によって防御が完結します。

シャドーAPIとは、組織のITチームやセキュリティチームの監視下にない、文書化されていない、または管理されていないAPIです。これらのAPIは、古いバージョン、社内開発、または承認されていないデプロイメントから発生することが多く、標準的なガバナンスを回避し、適切なセキュリティテストが実施されておらず、機密データが漏洩する可能性があるため、重大なセキュリティリスクをもたらします。安全でコンプライアンスに準拠したAPI環境を維持するためには、シャドーAPIを特定し、定期的にテストを行うことが不可欠です。

ゾンビAPIとは、古いAPIや非推奨APIで、まだアクティブまたはアクセス可能ではあるものの、メンテナンスや監視が行われていないAPIのことです。これらのAPIは、新しいバージョンのリリースやシステムのアップグレード後も、見落としにより無防備な状態のままになることがよくあります。ゾンビAPIは忘れ去られ、パッチが適用されないため、潜在的なデータ漏洩や攻撃者に悪用される可能性のある脆弱性など、深刻なセキュリティリスクをもたらします。ゾンビAPIがセキュリティ上の脅威となるのを防ぐには、定期的なAPIインベントリチェックと、使用されていないエンドポイントの廃止が不可欠です。

はい、HCL AppScan はソースコードにアクセスすることなく API をテストできます。
AppScan は DAST 機能を使用して、OpenAPI/Swagger ファイル、Postman コレクション、または WSDL を取り込むことで実行中の API をスキャンできます。また、トラフィック記録やプロキシ統合を通じて API を学習することもできます。AppScan on Cloud と AppScan Enterprise はどちらもこのアプローチをサポートしており、CI/CD パイプラインに完全に統合できます。より高度なシナリオでは、HCL AppScan API Security によって API の検出とテスト範囲が拡張されるため、ソースコードにアクセスできないサードパーティ製 API や本番環境の API を保護するのに最適です。

HCL AppScan API Securityは、自動API検出、高度な脆弱性テスト、継続的なポスチャ管理を組み合わせ、SDLC全体にわたってAPIを保護します。拡張性を重視した設計で、APIエコシステム全体を保護し、シャドーAPIやゾンビAPIを検出し、従来のスキャンでは見逃される可能性のあるランタイムインサイトを提供します。