API 資産管理では、API Security の [資産] タブで、サイトの API 資産、その呼び出し統計、機密データタイプ、リスクイベントを一元管理します。API 資産管理を使用して、対象の API オペレーションを特定し、その詳細と保護に関する提案を確認し、資産リストをエクスポートします。
注意事項
API 資産管理には、以下のデータルールと制限が適用されます。
デフォルトの統計期間 — デフォルトの統計期間は30日間です。
非アクティブなアセットのクリーンアップ — 30 日を超えてアクセスされていない API オペレーションは、デフォルトの資産リストから削除されます。
AI 分析の範囲 — ハイブリッドクラウドモードで接続されたオブジェクトの分析はサポートされていません。
API 資産データの表示
API 資産データの詳細は、次のいずれかの方法で表示できます。
API リクエストセキュリティ ページで、資産管理 タブをクリックします。
概要 タブで、リクエストの機密データタイプの統計 テーブルの More をクリックするか、応答の機密データタイプの統計 テーブルの右上隅にある [さらに表示] をクリックします。
API リクエストセキュリティ ページの 資産管理 タブには、API 資産管理の統計と条件検索に関する情報が表示されます。このタブには、API 資産の概要、左側のサイトパネル、API 資産リストの3つの機能モジュールが含まれています。API 資産リストのフィールドと管理アクションについては、「API資産の管理」をご参照ください。リストのエクスポート方法については、「API資産データのエクスポートとダウンロード」をご参照ください。
API 資産の概要
API 資産の概要には、API 資産の総数と、[今日の新規イベント]、[アクティブな API の数]、[Deactivated APIs]、[機密性の高いリクエストのサイト数]、[機密性の高いリクエストの API 数]、[データのクロスボーダー転送の API 数]、[現在存在するマシンからリクエストされた API 数]の数が表示されます。
API 資産の概要で、今日の新規イベント、Deactivated APIs、機密性の高いリクエストのサイト数、または機密性の高いリクエストの API 数 の数をクリックすると、API アセットリスト に対応する詳細データが表示されます。
左側のサイトパネル
左側のサイトパネルには、サイト名と各サイトに含まれるAPIの数が表示されます。パネルでサイトをクリックすると、API アセットリスト にそのサイトの詳細なデータリストが表示されます。
API 資産リスト
API アセットリスト では、2つの検索方法が利用できます。対象の API オペレーションのアドレスまたはコメントがわかっている場合は、簡易検索を使用します。複数のAPI属性で同時にリストを絞り込む必要がある場合は、詳細検索を使用します。
簡易検索
API 資産リストの上にある検索ボックスで、
アイコンをクリックし、API 操作 または 備考 を選択してから、対応する API オペレーションのアドレスまたはコメントを入力します。
詳細検索
その他のフィルター をクリックして検索条件を設定します。検索条件の設定が完了したら、検索 をクリックして検索を実行します。
次の表で、検索条件について説明します。API 資産リストの列に対応する条件は、リストの列と同じ定義です。定義については、「API資産フィールドのリファレンス」のフィールドの説明をご参照ください。
条件 | 説明 |
時間 | API 資産の最終アクティブ日時。デフォルトでは、過去30日間のデータが表示されます（昨日を起点に、クエリ時刻までの過去30日間の全時間データ）。過去15分、過去30分、過去1時間、過去24時間、今日、昨日、過去7日間などのショートカットも利用できます。カスタム時間クエリの最小粒度は10分です。 |
リクエストの機密データタイプ | 複数選択が可能です。 |
レスポンスの機密データタイプ | 複数選択が可能です。 |
サービスオブジェクト | 複数選択が可能です。 |
ビジネス目的 | 複数選択が可能です。 |
リクエストメソッド | 複数選択が可能です。 |
アクティブ状態 | 単一選択が可能です。 |
フォロー状況 | 単一選択が可能です。 |
認証 | 単一選択が可能です。 |
インターフェイスの秘密度レベル | 複数選択が可能です。 |
API 資産リストに表示されるデータフィールドを変更するには、リストの右上隅にある アイコンをクリックしてフィールドを選択します。
API 資産の管理
対象の API オペレーションを検索して特定した後、リスト内の機能を使用して API 資産を管理できます。
認識ポリシーとライフサイクルポリシーの設定
API Security には、APIのステータス、ビジネス目的、認証情報を認識するための組み込みロジックがあります。独自のビジネス特性に基づいて、次の決定ルールを調整できます。
ライフサイクル管理 — ポリシーの設定 > ライフサイクル管理 で、新規 および 非アクティブ ステータスラベルの決定ルールを変更します。詳細については、「ライフサイクル管理の設定」をご参照ください。
ビジネス目的 — ポリシーの設定 > ビジネス用途の設定 でビジネス目的フィールドをカスタマイズします。詳細については、「V. ビジネス目的の設定」をご参照ください。
認証情報 — ポリシーの設定 > 権限付与の資格情報に関する設定 で認証情報ルールをカスタマイズします。詳細については、「IV. 認証情報の設定」をご参照ください。
API オペレーションのフォローとコメントの追加
[フォロー]： 「フォロー」列の アイコンをクリックして、API オペレーションのフォロー状況を変更します。
[備考]： 「コメント」列の アイコンをクリックし、ビジネス要件に基づいて API オペレーションに関するコメントを入力してから、 アイコンをクリックします。
API 資産フィールドのリファレンス
次の表で、API 資産リストのフィールドについて説明します。
フィールド | 説明 |
API | このフィールドには、API名、APIステータス、リクエストメソッドが表示されます。同じAPIの異なるリクエストメソッドは、複数の API オペレーションとして扱われ、リストに表示されます。API Security には、ステータスを認識するための組み込みロジックがあります。 |
AI 分析 | AI セキュリティアシスタントを使用してAPIを分析し、ビジネス目的、呼び出しトレンド、セキュリティに関する提案などの情報を取得できます。 |
ドメイン/IP | API オペレーションが属するドメインまたはIPアドレス。 |
呼び出し | 過去30日間の API オペレーションの呼び出し数。 |
インターフェイスの秘密度レベル | レスポンスに含まれる機密データの種類と量に基づいて評価されます。高機密、中機密、低機密、非機密の4つのレベルに分けられます。 |
リクエストの機密データタイプ | リクエストに含まれる機密データタイプ。 |
レスポンスの機密データタイプ | レスポンスに含まれる機密データタイプ。 |
マシンリクエスト | マシンによって開始されたリクエストの数。レイヤー4 および レイヤー7 のトラフィックフィンガープリント分析により、送信元IPがマシンと識別されたリクエストの数をカウントします。 |
クロスボーダーリクエスト | 送信元IPが中国本土以外であるリクエストの数。 |
ビジネス目的 | API オペレーションの機能的な目的を識別します。オペレーションのパスとパラメーター名の特徴を、組み込みおよびカスタムのビジネス目的フィールドと照合して決定します。 |
サービスオブジェクト | API オペレーションの呼び出し元またはユーザー。オペレーションの命名規則とアクセス元の集約に基づいて決定し、内部オフィス、サードパーティ連携、パブリックサービスの3つのカテゴリに分類します。 |
認証 | API オペレーションの認証フィールド。システムには、認証情報を認識するための組み込みロジックがあります。 |
リスク/IP イベント/アカウントイベント | 列の数字をクリックすると、APIリスク詳細リストでリスクまたはイベントの詳細が表示されます。 |
初回検出日時 | API オペレーションが最初に検出された日時。 |
最終アクティブ日時 | API オペレーションの直近のアクセス日時。 |
フォロー | API オペレーションのフォロー状況。 |
コメント | API オペレーションに追加したコメント。 |
機密データタイプの詳細については、「API Security が検出できる機密データ」をご参照ください。
サービスオブジェクトタイプの詳細については、「API Security がインターフェイスのサービスオブジェクトを区別する方法」をご参照ください。
ビジネス目的タイプの詳細については、「API Security が API のビジネス目的を分類する方法」をご参照ください。
インターフェイスの秘密度レベルの詳細については、「API Security のインターフェイスの秘密度レベルの区分方法」をご参照ください。
リスト内の リスク/IPイベント/アカウントイベント のカウントの詳細については、「リスクとイベント」をご参照ください。
API 詳細の表示
API アセットリスト の [API] 列のリンクをクリックすると、API 詳細のドロワーページが開きます。API 資産の詳細を全画面で表示するには、表示されるドロワーページの右上隅にある 
アイコンをクリックします。
API 詳細ページには、API 資産の詳細情報に加えて、サンプルリクエスト、Traffic Analytics、リスクとイベント、保護提案 の各タブがあります。
リクエストサンプル
リクエストサンプルには、ランダムにサンプリングされた最大 5 つの API リクエストサンプルが含まれます。分割表示 と 一括表示 をクリックして、表示形式を切り替えます。
分割表示では、サンプルを 正規、リクエストヘッダー、レスポンスヘッダー、リクエストボディ、レスポンスボディ に分けて、それぞれ表示およびコピーできます。
統合表示では、サンプルを サンプルリクエスト と 応答サンプル に分けて、それぞれ表示およびコピーできるため、トラフィックリプレイに便利です。
ブラウザ`で開く をクリックしてクイック検証操作を実行します。コマンドライン をクリックして、手動アクセス検証用のコマンドコンテンツを取得します。
リクエストパラメータタイプ と レスポンスパラメータータイプ のセクションには、現在のサンプルのリクエストパラメーターとレスポンスパラメーターの パラメーター、値の特性、パラメーターの場所 が表示されます。これらの情報は、API Security 機能が現在のサンプルのトラフィックベースラインを識別・マーキングして取得したものです。
トラフィック分析
アクセス傾向 — トラフィック分析では、30 日以内の API オペレーションのアクセス傾向が表示され、オペレーションの[総呼び出し量]、[マシンリクエスト]、[クロスボーダーリクエスト]が集計されます。
[Top 20 Access Sources] — 過去30日間のアクセス元トップ 20 を、総トラフィック、マシントラフィック、クロスボーダートラフィックのディメンションで一覧表示します。
[クライアントソースの統計] — 過去30日間のアクセスクライアントのソースを、リファラー、デバイス、地理的な場所、アカウントの4つのディメンションで集計します。
リスクとイベント
[リスクとイベント] タブには、API に関連するリスクイベント、IP セキュリティイベント、アカウントセキュリティイベントが表示され、各項目にすばやく移動できます。
保護に関する提案
保護に関する提案は、API の呼び出しベースラインに基づいて提供されます。
API 資産データのエクスポートとダウンロード
API 資産リストの右上隅にある
アイコンをクリックします。エクスポートタスクが作成されます。API リクエストセキュリティ ページの右上隅にある レコードのエクスポート をクリックします。ダウンロードするファイルを見つけ、操作 列の ダウンロード をクリックします。