「API 乱用の脅威が拡大、企業を狙うボットトラフィックへの警告」 RADWARE RESEARCH 調査発表

2020年のクラウドマイグレーション加速からアプリケーションを狙うサイバー攻撃へ

サイバーセキュリティおよびアプリケーション・デリバリー・ソリューションのリーディングプロバイダーであるラドウェア、Radware®（NASDAQ: RDWR）は、「2020-2021年のWebアプリケーションセキュリティの現状報告書」を発表しました。オスターマンリサーチ社に委託し、従業員数1,000人以上の組織の意思決定者や影響力保持者205人を対象に調査を実施しました。今回の調査により、世界中で組織における複数のプラットフォーム上の一貫したアプリケーションセキュリティを維持することの難しさが浮き彫りになりました。

サイバーセキュリティおよびアプリケーション・デリバリー・ソリューションのリーディングプロバイダーであるラドウェア、Radware®（NASDAQ: RDWR）は、「2020-2021年のWebアプリケーションセキュリティの現状報告書」を発表しました。

【調査方法】
ラドウェアがオスターマンリサーチ社に委託し、従業員数1,000人以上の組織の意思決定者や影響力保持者205人を対象に調査を実施しました。調査対象となった組織の従業員数の中央値は2,200人です。調査対象者の主な職務は、ネットワークセキュリティ、DevOps/DevSecOps、ネットワーク運用および関連業務、アプリケーション開発、アプリケーションセキュリティ、その他様々なITおよび関連業務でした。調査対象者の大多数は、幹部職を含む上級管理職または管理職です。

【報告書の要点】
今回の調査により、世界中で組織における複数のプラットフォーム上の一貫したアプリケーションセキュリティを維持することの難しさが浮き彫りになりました。また、新しいアーキテクチャの出現やアプリケーションプログラムインターフェース（API）の採用により、ビジビリティ（可視性）を失っていることが明らかになりました。これらの課題の主な要因は、COVID-19のパンデミックに伴い必要となったリモートワークや顧客エンゲージメントモデルへの迅速な適応です。意思決定者が適切なセキュリティ計画を実施するための時間が無かったことに由来しています。

本報告書の概要は以下の通りです。

• これからの大きな脅威、API

APIを介したウェブアプリケーションへの依存度が高まっています。ユーザーの認証情報、支払い情報、社会保障番号など、さまざまな種類の機密データがAPIによって処理されます。APIの悪用は、最も頻繁に発生する攻撃のベクトルになると予想されます。そのため、APIセキュリティは、2021年に企業が対策を講じるべき最も重要な課題となっています。

調査対象となった組織のおよそ40%が、「自社のアプリケーションの半分以上がAPIを介してインターネットやサードパーティのサービスにさらされている」と報告しています。55%がAPIに対するDoS攻撃を少なくとも月に一度は経験しています。49%がインジェクション攻撃を少なくとも月に一度は経験しています。42%がエレメントやアトリビュートの悪意ある操作を少なくとも月に一度は経験しています。
 

• 企業はボットトラフィックへの備えができていない

企業がボットトラフィックを適切に管理する準備ができていない状態も、大きな課題となっています。ウェブアプリケーションファイアウォール（WAF）がAPIなどに対する攻撃を検出して防ぐための防御を担う一方で、ボット管理ツールが高度なボット攻撃に対する防御を行います。セキュリティチームはこの2つを通して、さまざまな脅威や攻撃への対処法を的確に把握することができます。

本報告書では、本物のユーザーとボットを区別するための専用ソリューションを導入している組織はわずか24％にすぎないことが明らかになりました。さらに、調査対象者のうち、洗練された悪質なボットが何をしているのかを理解していると自信を持っているのは、わずか39％にとどまりました。
 

• 揺らぐモバイルアプリの安全性

2020年は、情報に携わる労働者のほとんどが在宅勤務に切り替えました。またほとんどの人が娯楽、連絡、教育、購買にモバイルアプリを利用するようになりました。こうした変化に伴い、モバイルアプリがいっそう重要な役割を果たすようになりました。しかし、モバイルアプリがサードパーティによって開発されることが多くなっていることとも関連し、モバイルアプリの開発はまったく安全ではないのが現状です。

今回の調査によると、セキュリティが完全に統合されているモバイルアプリは36%しかなく、大多数のアプリではセキュリティが最小限か全くない（22%）という結果が出ています。モバイルアプリのセキュリティ対策が講じられるまでは、モバイルチャネルを攻撃するインシデントがさらに発生し、より深刻になることが予想されます。企業は、モバイルアプリのセキュリティを確保し、消費者のデータをハッカーに晒さないようにすることが求められるようになるでしょう。
 

• セキュリティ担当者が意思決定者でないゆがみ

本報告書が指摘する脅威にもかかわらず、アプリケーション開発の実践の現場では、セキュリティは最優先事項ではありません。調査対象の約90%において、セキュリティスタッフは、アプリケーション開発のアーキテクチャや予算に影響を与える主な存在ではありません。約43%が、セキュリティはリリースサイクルのエンドツーエンドの自動化を妨げるべきではないと答えています。これは、企業のセキュリティ責任者が、アプリの開発方法をほぼコントロールできない状況を示しています。
 

• なくならない DDoS攻撃

最も一般的なボット攻撃は、様々な形のサービス拒否攻撃（DDoS）です。86%が同様の攻撃を経験したことがあると答え、3分の1は毎週のように発生、5%は毎日のように発生していると報告しています。アプリケーション層でのサービス妨害は、HTTP/Sフラッドの形で頻繁に発生します。60%が、1ヶ月に1回以上の頻度でHTTPフラッドを経験しています。

最も一般的なボット攻撃はサービス拒否攻撃（DDoS）の86％

コメント
オスターマンリサーチのマイケル・オスターマン氏
「2020年の急速なクラウド移行に伴い、モバイルやクラウドベースのアプリやAPIに危険なレベルのセキュリティが驚くほど組織全体に蔓延しています」

ラドウェアのチーフ・オペレーティング・オフィサー ガビ・マルカ
「回答者の70%以上が、本番アプリがすでにデータセンターを離れていると報告しています。特にマルチクラウド環境では、これらのデータやアプリケーションのセキュリティと完全性を確保することがより困難になっています。このクラウドマイグレーションは、APIへの依存度の高まりや、安全性の低いモバイルアプリの追加と相まって、サイバーセキュリティの脆弱さにつけ込む犯罪者のターゲットとなります。すでにパブリッククラウドに移行し、APIにさらされているアプリをいくつか持っている現状を把握している回答者は、リスクを理解しているようです。しかし、それ以外の回答者は、無関心で危険に気づいていないだけだと言えます」
 
ラドウェアのテクノロジー担当バイス・プレジデント ヤニヴ・ホフマン
「日本は常に技術の進化の最前線です。日本のブランドは世界的に認知され、展開されています。このリーダーシップを継続するためには、本報告にあるグローバルなトレンドと脅威を認識し、人、プロセス、技術の面で適切な対処を行う必要があります」
 
日本ラドウェア株式会社 取締役 カントリーマネージャー安藤 嘉教
「DDoS攻撃、ボット攻撃は、今日のパンデミック下で厳しさを増すビジネスの継続性を揺るがす大きな脅威です。一方で日本企業はこのサイバーセキュリティ上の脅威への防御策が手薄になりがちです。日本市場の啓発に引き続き尽力してまいります」

本リリースは本社 Radware Ltd.（米国ニュージャージー州マーワー）発2021年1月20日付け発表の抄訳です。
本報告書全文（英語）は、https://www.radware.com/resources/complete-protection/ をご覧ください。

ラドウェアについて
ラドウェア® (NASDAQ:RDWR) は、物理、クラウド、およびソフトウェアで定義されたデータセンター向けのサイバーセキュリティおよびアプリケーション・デリバリー・ソリューションのグローバルリーダーです。受賞歴のある同社のソリューションポートフォリオは、インフラストラクチャ、アプリケーション、ビジネスのIT保護ならびに可用性のサービスを提供し、デジタル体験を守ります。ラドウェアのソリューションは、世界中の企業や通信事業者の速やかな市場課題への対応、事業継続性の維持、コスト削減、生産性の最大化に貢献しています。詳細については、日本ラドウェア株式会社https://jp.radware.com/ならびにwww.radware.com をご覧ください。セキュリティセンターのDDoSWarriors.comでは、DDoS攻撃ツール、トレンド、脅威に関する包括的な分析を提供しています。