Web Application Firewall:API セキュリティの概要

本人情報

連絡先および位置情報

金融および支払い情報

ネットワークおよびデバイス識別子

認証情報およびキー

企業および汎用識別子

セキュリティ仕様

• 安全でない HTTP メソッド

  • リスクレベル：低

  • リスクの説明：この API は安全でない HTTP メソッドを使用しています。攻撃者はこれらのメソッドを使用してサーバー情報をプローブしたり、PUT を使用して悪意のあるファイルをアップロードしたり、DELETE を使用してサーバーリソースを削除するなど、サーバーデータを改ざんしたりする可能性があります。

  • 推奨事項：ビジネス要件に基づき、PUT、DELETE、TRACE、OPTIONS などの安全でない HTTP メソッドを無効にしてください。

• 弱い JWT 署名アルゴリズム

  • リスクレベル：低

  • リスクの説明：この API は弱い JSON Web トークン（JWT）署名アルゴリズムを使用しています。

  • 推奨事項：RS256 などのより安全な署名アルゴリズムを使用してください。キーが強力であることを保証し、安全に転送および保存されていることを確認してください。

• URL をパラメーターとして使用

  • リスクレベル：低

  • リスクの説明：この API のリクエストパラメーターに URL 値が含まれています。これにより、サーバーサイドリクエストフォージェリ（SSRF）のリスクが生じる可能性があります。

  • 推奨事項：パラメーターにユーザー制御の URL を直接使用しないように API を再設計してください。パラメーターの内容に対して厳格な検証およびフィルタリングを実装してください。

アカウントセキュリティ

• パスワードのプレーンテキスト送信

  • リスクレベル：低

  • リスクの説明：この API はアカウントパスワードをプレーンテキストで送信しています。攻撃者はスニッフィングなどの手法で通信中の認証情報を傍受し、アカウントを乗っ取る可能性があります。

  • 推奨事項：パスワードフィールドを送信前に暗号化またはハッシュ化し、傍受されないようにしてください。

• 弱いパスワードの許容

  • リスクレベル：低

  • リスクの説明：このログイン API は弱いパスワードを許容しています。攻撃者はこれを悪用してアカウントのブルートフォース攻撃を行う可能性があります。

  • 推奨事項：強力なパスワードポリシーを適用してください。強力なパスワードとは、8 文字以上で、大文字、小文字、数字、記号のうち少なくとも 3 つのカテゴリに属する文字を含むものです。既存の弱いパスワードを使用しているユーザーには、速やかにパスワード変更を通知してください。

• 社内アプリケーションの弱いパスワード脆弱性

  • リスクレベル：高

  • リスクの説明：この社内アプリケーションのログイン API は弱いパスワードを許容しています。攻撃者はこれを悪用してアカウントのブルートフォース攻撃を行う可能性があります。

  • 推奨事項：強力なパスワードポリシーを適用してください。強力なパスワードとは、8 文字以上で、大文字、小文字、数字、記号のうち少なくとも 3 つのカテゴリに属する文字を含むものです。既存の弱いパスワードを使用しているユーザーには、速やかにパスワード変更を通知してください。

• デフォルトパスワードの存在

  • リスクレベル：中

  • リスクの説明：このアプリケーションにはデフォルトパスワードが設定されている可能性があります。攻撃者はデフォルトパスワードを使用して、パスワードが変更されていないアカウントを乗っ取る可能性があります。

  • 推奨事項：デフォルトパスワードを持つアプリケーションでは、初回ログイン時にパスワード変更を強制してください。既存のデフォルトパスワードを持つアカウントについては、ユーザーに直ちにパスワード変更を通知してください。

• プレーンテキストパスワードの返信

  • リスクレベル：低

  • リスクの説明：この API の応答にプレーンテキストパスワードが含まれています。攻撃者は通信中にユーザー認証情報を傍受し、アカウントを乗っ取る可能性があります。

  • 推奨事項：応答にプレーンテキストパスワードを返さないように API を再設計してください。

• Cookie へのパスワード保存

  • リスクレベル：低

  • リスクの説明：この API はアカウントパスワード情報を Cookie に保存しており、攻撃者に簡単に盗まれる可能性があります。

  • 推奨事項：Cookie に機密認証情報を保存しないように API を再設計してください。

• 制限のないログイン

  • リスクレベル：中

  • リスクの説明：このログイン API には CAPTCHA などの検証メカニズムがありません。攻撃者はこれを悪用して無制限にパスワードのブルートフォース攻撃を実行する可能性があります。

  • 推奨事項：ブルートフォース攻撃を防ぐために、CAPTCHA などの検証メカニズムを追加してください。特に、複数回ログインに失敗した後に導入することを推奨します。

• 不適切なログイン失敗時のメッセージ

  • リスクレベル：低

  • リスクの説明：この API のログイン失敗時のメッセージは、ユーザー名が存在するかどうかを明らかにしています。攻撃者はこの情報を使用して有効なアカウントを列挙し、さらなる攻撃を仕掛ける可能性があります。

  • 推奨事項：ログイン失敗時には、「ユーザー名またはパスワードが正しくありません」といった一般的なメッセージを返し、ユーザー名の有効性を明らかにしないようにしてください。

• URL によるアカウントパスワード送信

  • リスクレベル：中

  • リスクの説明：この API は URL 内でアカウントパスワードを送信しています。URL が漏洩した場合、認証情報も漏洩します。URL はサーバーログ、リファラーヘッダー、ブラウザ履歴などに記録されることがよくあります。

  • 推奨事項：認証情報データをリクエストボディ内で送信する POST メソッドを使用してください。

アクセス制御

• インターネットからアクセス可能な社内アプリケーション

  • リスクレベル：低

  • リスクの説明：この API は社内アプリケーションに属しており、アクセス制限なしにインターネットからアクセス可能です。これにより、攻撃者が社内アプリケーションを悪用または攻撃する可能性があります。

  • 推奨事項：IP アドレスホワイトリストなどのアクセス制御ポリシーを追加し、アクセス元を制限してください。

• 制限のないアクセス元

  • リスクレベル：低

  • リスクの説明：この API は、通常のベースライン外のアクセス元（IP アドレスまたは地域）からアクセスされています。

  • 推奨事項：アクセス制御ポリシーを追加してください。IP ブラックリストとホワイトリスト、または地域ブラックリスト機能を使用してアクセス元を制限してください。

• 制限のないアクセスツール

  • リスクレベル：低

  • リスクの説明：この API にアクセスするために使用されているクライアントタイプが、API のクライアントアクセスベースラインと一致していません。

  • 推奨事項：アクセスツールを制限するアクセス制御ポリシーを追加し、攻撃者が悪意のあるスクリプトを使用して API を攻撃したり、データをスクレイプしたりするのを防いでください。

• 制限のないアクセス頻度

  • リスクレベル：低

  • リスクの説明：この API は、単一の IP アドレスから 1 分間に一定回数アクセスされています。

  • 推奨事項：高頻度アクセスを制御し、悪用を防ぐために、レート制限ポリシーを追加してください。

権限管理

• 十分にランダムでない認証情報

  • リスクレベル：中

  • リスクの説明：この API は十分にランダムでなく、推測可能な認証情報を使用しています。攻撃者はこれらの認証情報をブルートフォースで推測し、不正または昇格されたアクセスを獲得する可能性があります。

  • 推奨事項：認証情報のランダム性を高めてください。短すぎたり、簡単に推測できる形式を避けましょう。

• 認証不要で機密 API にアクセス可能

  • リスクレベル：高

  • リスクの説明：この API は高秘密度データを含んでおり、認証なしでアクセス可能です。これにより、重大なデータ漏洩が発生する可能性があります。

  • 推奨事項：不正使用を防ぐために、厳格かつ包括的な身分認証メカニズムを追加してください。

• 内部 API への不正なアクセス

  • リスクレベル：高

  • リスクの説明：この API は社内アプリケーションに属しており、認証なしでアクセス可能です。これにより、内部サービスの不正使用や内部データ漏洩が発生する可能性があります。

  • 推奨事項：不正使用を防ぐために、厳格かつ包括的な身分認証メカニズムを追加してください。

• URL による認証情報送信

  • リスクレベル：中

  • リスクの説明：この API は URL 内で認証情報を送信しています。URL が漏洩した場合、認証情報が悪用される可能性があります。URL はサーバーログ、リファラーヘッダー、ブラウザ履歴などに記録されることがよくあります。

  • 推奨事項：認証情報を送信する別の方法（カスタムヘッダー、Cookie、リクエストボディなど）を使用してください。

• AccessKey ペア情報の漏洩

  • リスクレベル：高

  • リスクの説明：この API の応答に AccessKey ID および AccessKey Secret が含まれており、攻撃者に悪用される可能性があります。

  • 推奨事項：AccessKey ペア情報を返さないように API を再設計してください。さらに、漏洩した AccessKey ペアを直ちに無効化または削除してください。

• STS トークン取得への不正アクセス

  • リスクレベル：中

  • リスクの説明：API セキュリティリスク検出モデルにより、この API が認証なしでアクセス可能であり、応答にクラウドプラットフォームの STS トークン（一時的なセキュリティ認証情報）が含まれていることが特定されました。攻撃者はこの API を使用して、クラウドリソース操作権限を持つ一時的な認証情報を直接取得でき、これにより不正なクラウドサービス呼び出し、機密データ窃取、計算リソースの悪用、悪意のある操作、さらにはアカウントの完全乗っ取り、大規模なビジネデータ流出、重大な財務損失につながる可能性があります。

  • 推奨事項：この API に対して厳格な身分認証およびアクセス制御メカニズムを直ちに実装し、信頼できる環境でのみ承認されたエンティティが STS 関連 API を呼び出せるようにしてください。これにより、不正または昇格されたアクセスを防止します。さらに、漏洩した可能性のある STS トークンの権限範囲および使用記録を徹底的にレビューし、一時的な認証情報を速やかに取り消し、関連する IAM ロールポリシーのセキュリティを強化してください。STS API が外部に公開されないよう、またフロントエンドコード、クライアントアプリケーション、パブリックリポジトリにこのような高リスク API を埋め込んだり呼び出したりしないようにしてください。

データ保護

• 応答に含まれる機密データタイプが過剰

  • リスクレベル：中

  • リスクの説明：この API の応答には、過剰な数の機密データタイプが含まれています。これは不要なデータ公開を示唆しており、データ漏洩のリスクを高める可能性があります。

  • 推奨事項：返される各データタイプのビジネス上の必要性をレビューしてください。重要な機密データはマスクし、必須でないデータタイプは削除してください。

• 応答に含まれる機密データ量が過剰

  • リスクレベル：中

  • リスクの説明：この API の応答には機密データが含まれており、返されるデータ量が制限されていません。これにより、攻撃者が大量のデータ漏洩を引き起こすために悪用する可能性があります。

  • 推奨事項：ビジネス要件に基づき、1 回の応答で返されるデータ量を制限してください。これにより、攻撃者が API を使用して大量の機密データを取得するのを防ぎます。

• 不十分なデータ匿名化

  • リスクレベル：中

  • リスクの説明：この API の応答は、同じデータの匿名化（マスク）されたバージョンと非匿名化（プレーンテキスト）されたバージョンの両方を返しており、匿名化の目的を無効にしています。

  • 推奨事項：サンプルデータをレビューしてこのリスクを確認してください。マスクされるべきデータが、応答内の他の場所でプレーンテキストとして公開されていないことを保証してください。

• 機密サーバー情報の漏洩

  • リスクレベル：高

  • リスクの説明：この API の応答に機密サーバー情報が含まれています。攻撃者はこの情報を使用して攻撃を計画し、サーバーを制御する可能性があります。

  • 推奨事項：サンプルデータをレビューしてリスクを確認してください。内部サーバー情報をクライアントに直接返さないようにしてください。

• 内部 IP アドレスの漏洩

  • リスクレベル：中

  • リスクの説明：この API の応答には内部 IP アドレスが含まれているようで、内部ネットワーク情報が漏洩しています。攻撃者はこの情報を使用して内部アプリケーションを攻撃する可能性があります。

  • 推奨事項：応答に内部ネットワーク情報を漏洩しないように API を再設計してください。

• URL による機密データ送信

  • リスクレベル：中

  • リスクの説明：この API は URL 内で高秘密度データを送信しています。URL が漏洩した場合、機密データ漏洩が発生する可能性があります。URL はサーバーログ、リファラーヘッダー、ブラウザ履歴などに記録されることがよくあります。

  • 推奨事項：POST メソッドを使用し、リクエストボディ内で機密データを送信してください。

• OpenAPI ドキュメントの漏洩

  • リスクレベル：中

  • リスクの説明：API セキュリティリスク検出モデルにより、この API が OpenAPI や Swagger などのインターフェイス定義ドキュメントを公開していることが特定されました。攻撃者はこれらのドキュメントを使用してビジネス API パス、パラメーター構造、ビジネス詳細を取得し、正確にリクエストを構築してバッチプローブ、データ窃取、ビジネスロジック攻撃を実行し、さらには機密インターフェイスや潜在的な不正操作を発見する可能性があります。深刻な場合は、システムの機密データ漏洩や不正操作につながる可能性があります。

  • 推奨事項：実際のビジネス要件に基づき、インターフェイス定義ドキュメントへの外部アクセス権限を厳しく制限してください。本番環境では、オープンな API ドキュメントインターフェイスを無効化または暗号化し、不正アクセスを防止してください。アクセスが必要な場合は、信頼できるアカウントまたは内部ネットワーク呼び出しだけに制限してください。さらに、定期的に API ドキュメントの公開ポリシーをレビューし、機密フィールドやビジネス説明が含まれないようにしてください。身分認証、IP ホワイトリスト、API ゲートウェイを通じてセキュリティ制御を強化し、外部攻撃者がインターフェイスメタデータを取得できないようにしてください。

• 大規模モデル API キーの漏洩

  • リスクレベル：高

  • リスクの説明：API セキュリティリスク検出モデルにより、この API が認証なしでアクセス可能であり、応答に大規模モデルサービスの API キーが含まれていることが特定されました。攻撃者はこの API を使用して大規模モデル API キーを盗み、これにより不正なデータアクセス、リアルタイムクォータ消費、機密情報窃取、悪意のあるコンテンツ生成、ビジネデータ流出、アカウントの悪用につながる可能性があります。

  • 推奨事項：不正または昇格された API アクセスを防ぐために、厳格かつ完全な身分認証メカニズムを実装してください。さらに、API キーの実際の使用状況を直ちにレビューし、キーを速やかにローテーションし、API キーが安全で制御された環境でのみ使用されるようにしてください。フロントエンドコードやパブリックリポジトリに API キーを直接公開しないでください。

API 設計

• リクエストパラメーターのトラバース可能性

  • リスクレベル：低

  • リスクの説明：この API のリクエストパラメーターは固定的で予測可能な形式を持っています。攻撃者はこのパターンに基づいてパラメーター値を繰り返し変更し、データをバッチでアクセスする可能性があります。

  • 推奨事項：パラメーターのランダム性を高めてください。短い数字などの単純で順序的、または簡単に推測できる値の使用を避けてください。

• 返されるデータ量の変更可能性

  • リスクレベル：低

  • リスクの説明：この API のリクエストパラメーターは返されるアイテム数を制御しており、任意の値に設定可能です。攻撃者はこのパラメーターを変更して、1 回のリクエストで大量のデータを取得する可能性があります。

  • 推奨事項：このパラメーターに制限を追加してください。たとえば、任意の数値を許可するのではなく、いくつかの固定オプションのみを提供することで、悪用を防止します。

• データベースクエリ

  • リスクレベル：高

  • リスクの説明：この API のリクエストパラメーターにデータベースクエリ文が含まれています。攻撃者はこの API を使用して任意のデータベース操作を実行し、データベースを攻撃したり、重要なデータを窃取したりする可能性があります。

  • 推奨事項：クライアントから生のデータベースクエリ文を渡さないように API を再設計してください。すべてのパラメーターに対して厳格な検証およびフィルタリングを実装してください。

• コマンド実行 API

  • リスクレベル：高

  • リスクの説明：この API のリクエストパラメーターにシステムコマンドが含まれています。攻撃者はこの API を使用して任意のシステムコマンドを実行し、サーバーを制御したり、重要なデータを窃取したりする可能性があります。

  • 推奨事項：クライアントから生のコマンド文を渡さないように API を再設計してください。すべてのパラメーターに対して厳格な検証およびフィルタリングを実装してください。

• 任意の SMS メッセージ送信

  • リスクレベル：中

  • リスクの説明：この SMS 送信 API のリクエストパラメーターには電話番号とメッセージ本文が含まれています。攻撃者はこの API を使用して、任意の電話番号に悪意のあるメッセージを送信する可能性があります。

  • 推奨事項：クライアントから任意のコンテンツを受け入れるのではなく、バックエンドで固定のメッセージテンプレートを使用するように API を再設計してください。

• 任意のメール本文送信

  • リスクレベル：中

  • リスクの説明：このメール送信 API のリクエストパラメーターにはメールアドレスとメール本文が含まれています。攻撃者はこの API を使用して、任意のメールアドレスに悪意のあるメールを送信する可能性があります。

  • 推奨事項：クライアントから任意のコンテンツを受け入れるのではなく、バックエンドで固定のメールテンプレートを使用するように API を再設計してください。

• SMS 認証コードの漏洩

  • リスクレベル：高

  • リスクの説明：この SMS 送信 API の応答には認証コード自体が含まれているようです。攻撃者はこの API を使用して認証コードを直接取得し、セキュリティチェックをバイパスする可能性があります。

  • 推奨事項：認証コードをクライアントに返さないでください。認証プロセスはバックエンドで完了させる必要があります。

• メール認証コードの漏洩

  • リスクレベル：高

  • リスクの説明：このメール送信 API の応答には認証コード自体が含まれているようです。攻撃者はこの API を使用して認証コードを直接取得し、セキュリティチェックをバイパスする可能性があります。

  • 推奨事項：認証コードをクライアントに返さないでください。認証プロセスはバックエンドで完了させる必要があります。

• 指定ファイルのダウンロード

  • リスクレベル：中

  • リスクの説明：このファイルダウンロード API のリクエストパラメーターにファイルパスが含まれています。攻撃者はこのパラメーターを変更して任意のファイルをダウンロードし、重要なデータを窃取する可能性があります。

  • 推奨事項：フルファイルパスを使用したダウンロードを防止するように API を再設計してください。パラメーターの内容を厳格に検証およびフィルタリングし、パストラバーサル攻撃を防止してください。

• アプリケーション例外情報の漏洩

  • リスクレベル：中

  • リスクの説明：この API の応答にはアプリケーション例外の詳細が含まれています。攻撃者はこの情報を使用してサーバーアプリケーションの構成やその他の機密詳細を把握する可能性があります。

  • 推奨事項：ビジネス例外処理メカニズムを改善してください。例外が発生した場合、生の例外詳細を漏洩するのではなく、一般的なエラーメッセージを返すか、標準的なエラーページにリダイレクトしてください。

• データベース例外情報の漏洩

  • リスクレベル：中

  • リスクの説明：この API の応答にはデータベース例外の詳細が含まれています。攻撃者はこの情報を使用してデータベースクエリ文やテーブル構造を把握し、SQL インジェクションなどの攻撃を仕掛ける可能性があります。

  • 推奨事項：ビジネス例外処理メカニズムを最適化してください。例外が発生した場合、生のデータベース例外詳細を漏洩するのではなく、一般的なエラーメッセージを返すか、標準的なエラーページにリダイレクトしてください。

カスタム

カスタムリスク検出ルール

• リスクレベル：カスタムレベル

• リスクの説明：この API は、お客様が設定したカスタムリスク検出ルールに一致しました。

• 推奨事項：推奨事項には、ポリシーで設定した内容が表示されます。

ベースライン逸脱

• 異常に高頻度なアクセス

  • イベントの説明：アクセス頻度がこの API の日次ベースラインを大幅に上回っており、API の悪用や HTTP フラッド攻撃などの悪意あるアクティビティを示唆しています。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。さらに、API の日次レートベースラインに基づいてレート制限ポリシーを設定してください。

• 通常とは異なる IP アドレスからの社内 API アクセス

  • イベントの説明：ソース IP アドレスが API の日次アクセス IP ディストリビューションベースラインと一致していません。これは異常な呼び出し動作を示唆しています。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。また、API の日次 IP ディストリビューションベースラインに基づいて IP ホワイトリストポリシーを設定し、他の IP アドレスからのアクセスをブロックして、API リソースの合理的な使用を確保することもできます。

• 通常とは異なる地域からの社内 API アクセス

  • イベントの説明：IP アドレスの地域が API の日次アクセス地域ディストリビューションベースラインと一致していません。これは異常な呼び出し動作を示唆しています。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。また、API の日次地域ディストリビューションベースラインに基づいて地域ブラックリストポリシーを設定して、API リソースの合理的な使用を確保することもできます。

• 異常なツールを使用したアクセス

  • イベントの説明：アクセスに使用されたツールが API の日次アクセスツールディストリビューションベースラインと一致していません。これは異常な呼び出しを示唆しています。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。また、API の日次アクセスツールディストリビューションベースラインに基づいて ACL アクセス制御ポリシーを設定するか、ボット管理モジュールを有効化して、API リソースの合理的な使用を確保することもできます。

• 通常とは異なる時間帯のアクセス

  • イベントの説明：API が異常な時間帯に呼び出されました。これは異常な呼び出しを示唆しています。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。

• 異常なパラメーター値を使用したアクセス

  • イベントの説明：リクエストパラメーターの形式がこの API への日次リクエストの特性と一致しておらず、異常な呼び出しまたは攻撃を示唆しています。

  • 推奨事項：サンプルリクエストデータおよびログの詳細をレビューしてアクティビティを確認してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。Web 攻撃が確認された場合は、コア Web 保護モジュールを使用して API を保護し、API リソースの合理的な使用を確保してください。

アカウントリスク

• 社内アプリケーションへの弱いパスワードによるログイン

  • イベントの説明：IP アドレスが弱いパスワードを使用して社内アプリケーションにログインしようとしている疑いがあります。

  • 推奨事項：ログの詳細を確認してログインが成功したかどうかをチェックしてください。アカウントサービスについては、より強力なパスワードポリシーを適用してください。強力なパスワードは、通常、大文字、小文字、数字、記号のうち少なくとも 3 つの文字タイプを含み、8 文字以上である必要があります。弱いパスワードを使用している既存のアカウントについては、ユーザーにパスワード変更を通知してください。

• ユーザー名に対するブルートフォース攻撃

  • イベントの説明：IP アドレスが比較的固定されたパスワードを使用しながらユーザー名を継続的に変更して、複数回ログインを試行しています。これはユーザー名のブルートフォース攻撃を示唆しています。

  • 推奨事項：ログの詳細を確認して、いずれかの試行が成功したかどうかをチェックしてください。パスワードを定期的に変更し、弱いパスワードを使用していないことを保証してください。ログインサービスについては、ログイン試行を制限するために検証コードを追加するか、レート制限ポリシーを設定して、ログイン API の合理的な使用を確保してください。

• パスワードに対するブルートフォース攻撃

  • イベントの説明：IP アドレスが特定のアカウントに対して多くの異なるパスワードを循環させながら、複数回ログインを試行しています。これはパスワードのブルートフォース攻撃の疑いがあります。

  • 推奨事項：ログの詳細を確認して、いずれかの試行が成功したかどうかをチェックしてください。パスワードを定期的に変更し、弱いパスワードを使用していないことを保証してください。ログインサービスについては、ログイン試行を制限するために検証コードを追加するか、レート制限ポリシーを設定して、ログイン API の合理的な使用を確保してください。

• 辞書攻撃

  • イベントの説明：IP アドレスが多くの異なるユーザー名とパスワードを使用して複数回ログインを試行しています。これは辞書攻撃を示唆しています。

  • 推奨事項：ログの詳細を確認して、いずれかの試行が成功したかどうかをチェックしてください。パスワードを定期的に変更し、弱いパスワードを使用していないことを保証してください。ログインサービスについては、ログイン試行を制限するために検証コードを追加するか、レート制限ポリシーを設定して、ログイン API の合理的な使用を確保してください。

• SMS 認証コードに対するブルートフォース攻撃

  • イベントの説明：IP アドレスが多くの異なるコードを使用して SMS 認証コードの検証を複数回試行しています。これは認証コードに対するブルートフォース攻撃の疑いがあります。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。また、API の日次レートディストリビューションベースラインに基づいてレート制限ポリシーを設定して、API リソースの合理的な使用を確保することもできます。

• メール認証コードに対するブルートフォース攻撃

  • イベントの説明：IP アドレスが多くの異なるコードを使用してメール認証コードの検証を複数回試行しています。これは認証コードに対するブルートフォース攻撃の疑いがあります。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。また、API の日次レートディストリビューションベースラインに基づいてレート制限ポリシーを設定して、API リソースの合理的な使用を確保することもできます。

• バッチ登録

  • イベントの説明：IP アドレスが異常に多い登録リクエストを行っており、バッチ登録アクティビティを示唆しています。これにより、多数のスパムアカウントが生成される可能性があります。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。また、API の日次レートディストリビューションベースラインに基づいてレート制限ポリシーを設定して、API リソースの合理的な使用を確保することもできます。

API の悪用

• SMS リソースの悪意ある消費

  • イベントの説明：IP アドレスが SMS 送信リクエストを複数回行っており、SMS リソースの悪意ある消費または SMS フラッディングのために API を使用している疑いがあります。これにより、ビジネス上の損失が発生する可能性があります。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。また、単一の電話番号への SMS 送信頻度を制限し、API の日次レートディストリビューションベースラインに基づいてレート制限ポリシーを設定して、API リソースの合理的な使用を確保してください。

• メールリソースの悪意ある消費

  • イベントの説明：IP アドレスがメール送信リクエストを複数回行っており、メールサービスリソースの悪意ある消費またはメールボム攻撃を仕掛けている疑いがあります。これにより、メールサービスの安定性に影響を与える可能性があります。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。また、単一のメールボックスへのメール送信頻度を制限し、API の日次レートディストリビューションベースラインに基づいてレート制限ポリシーを設定して、API リソースの合理的な使用を確保してください。

• バッチダウンロード

  • イベントの説明：IP アドレスが異常に多いデータエクスポートまたはダウンロードリクエストを行い、多くのファイルを取得しています。これにより、データ漏洩リスクが生じる可能性があります。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。また、API の日次レートディストリビューションベースラインに基づいてレート制限ポリシーを設定して、API リソースの合理的な使用を確保することもできます。

• データクローリング

  • イベントの説明：IP アドレスがトラバース可能なパラメーター値を使用して API を複数回呼び出し、API データをクロールしようとしている疑いがあります。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。ビジネス要件に基づき、パラメーターのランダム性を高めてください。短い数字などの単純で推測可能なパラメーター値の使用を避けてください。

• API 攻撃

  • イベントの説明：IP アドレスが API に対して Web 攻撃を仕掛けました。すべての攻撃は Web 攻撃保護モジュールによってブロックされています。

  • 推奨事項：ログの詳細を使用して IP の動作を分析してください。明確に悪意のある IP アドレスについては、IP ブラックリストを設定してブロックします。

機密データ漏洩

• 機密データへの不正アクセス

  • イベントの説明：IP アドレスが API に対して不正な呼び出しを行い、機密データを取得した疑いがあります。これにより、データ漏洩リスクが生じる可能性があります。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。重要な API については、不正または昇格された使用を防ぐために、厳格かつ完全な身分認証メカニズムを実装してください。

• 大量の機密データへのアクセス

  • イベントの説明：IP アドレスが API を呼び出して異常に大量の機密データを取得しており、データ漏洩リスクが生じる可能性があります。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。重要な機密データは可能な限り匿名化し、応答から不要なデータタイプを削除してください。さらに、API に対してレート制限ポリシーを設定してください。

• 海外 IP アドレスによる大量の機密データへのアクセス

  • イベントの説明：お客様の国からの IP アドレスが API を呼び出し、複数の機密データを取得しました。これにより、データ侵害およびデータコンプライアンスリスクを引き起こす可能性があります。

  • 推奨事項：ログの詳細を調査してアクティビティを確認してください。機密データの越境転送はコンプライアンスリスクを伴う可能性があります。この転送に正当なビジネス上の必要性がある場合は、評価を実施し、必要な申告または届出を速やかに完了することを推奨します。

応答の異常

• エラーメッセージの返信

  • イベントの説明：API 呼び出し中に、API が例外エラーメッセージを返しました。これにより、アプリケーション構成などの重要な情報が漏洩する可能性があります。

  • 推奨事項：ログの詳細を調査して API が正常に機能しているかどうかを確認してください。アプリケーションの例外処理を最適化し、生の例外詳細を返すのではなく、一般的なエラーメッセージを返すか、指定されたページにリダイレクトしてください。

• データベースエラーメッセージの返却

  • イベントの説明：API 呼び出し中に、API がデータベースエラーメッセージを返しました。これにより、データベースクエリ文やテーブル名などの重要な情報が漏洩する可能性があります。

  • 推奨事項：ログの詳細を調査して API が正常に機能しているかどうかを確認してください。アプリケーションの例外処理を最適化し、生の例外詳細を返すのではなく、一般的なエラーメッセージを返すか、指定されたページにリダイレクトしてください。

• 機密性の高いシステム情報の返却

  • イベントの説明：API 呼び出し中に、API が重要な機密サーバー情報を返しました。これにより、データ漏洩リスクが生じます。

  • 推奨事項：ログの詳細を調査して返されたデータが想定通りかどうかを確認してください。このようなデータをクライアントに直接返さないようにしてください。

• 異常な応答

  • イベントの説明：一連の API 呼び出し中に、応答の異常な HTTP ステータスコードの割合が 80% を超えており、オリジンサーバーに問題が発生している可能性を示唆しています。

  • 推奨事項：ログの詳細を調査し、オリジンサーバーログを確認して API が正常に機能しているかどうかを確認してください。

カスタムイベント

カスタムイベントルール

• イベントの説明：この IP アドレスからの API 呼び出しは、お客様が設定したカスタムイベント検出ポリシーに一致しました。

• 推奨事項：推奨事項には、ポリシーで設定した内容が表示されます。

アカウント異常

• 異常なツールを使用したアカウントアクセス

  • イベントの説明：API セキュリティイベント検出モデルの分析に基づき、アカウント ${account} は ${start_ts} から ${end_ts} の間に ${attack_client} などの複数のツールを使用して API に ${attack_cnt} 回アクセスしており、バッチ自動化攻撃またはスクリプトベースの API 悪用を示唆しています。

  • 推奨事項：ログの詳細をレビューしてアクティビティを確認してください。不正なツールが特定された場合は、アカウントのアクセスを速やかに制限してください。さらに、API の日次アクセスツールディストリビューションベースラインに基づいて ACL アクセス制御ポリシーを設定するか、ボット管理モジュールを有効化して、ビジネスリソースの合理的な使用を確保してください。

データ漏洩

• 大量の機密データへの異常なアクセス

  • イベントの説明：API セキュリティイベント検出モデルの分析に基づき、アカウント ${account} は ${start_ts} から ${end_ts} の間に ${data_type} などの機密データを ${data_count} 件以上取得しており、機密データ収集動作および機密データ漏洩リスクを示唆しています。

  • 推奨事項：ログの詳細をレビューしてアクティビティを確認してください。正当なビジネス上の理由がない場合は、アカウントのアクセスを速やかに制限し、関連アカウントに対してデータアクセスクォータおよび強化された権限ポリシーを実装してください。さらに、ビジネスで送信される重要な機密データを匿名化し、不要なデータタイプを削除してください。

• 機密データへの越境アクセス

  • イベントの説明：API セキュリティイベント検出モデルの分析に基づき、アカウント ${account} は ${start_ts} から ${end_ts} の間に ${location} などの海外地域からアクセスを開始し、${data_type} などの機密データを ${data_count} 件以上取得しており、悪意のあるスクレイピングまたは外部攻撃を示唆しており、機密データ漏洩またはデータコンプライアンス違反のリスクがあります。

  • 推奨事項：ログの詳細をレビューしてアクティビティを確認してください。機密データの越境転送はコンプライアンスリスクを伴う可能性があります。正当なビジネス上の必要性がある場合は、評価を実施し、必要な申告または届出を速やかに完了してください。

• 大容量ファイルの異常なダウンロード

  • イベントの説明：API セキュリティイベント検出モデルの分析に基づき、アカウント ${account} は ${start_ts} から ${end_ts} の間に ${api_format} などの API を通じて多数のファイルをダウンロードまたはエクスポートしており、データ漏洩リスクがあります。

  • 推奨事項：ログの詳細をレビューしてアクティビティを確認してください。この動作が不正である場合は、ダウンロード頻度および総量を制限し、大容量ファイルダウンロード API に承認または承認メカニズムを追加してください。

• 他ユーザーの機密情報取得の試み

  • イベントの説明：API セキュリティイベント検出モデルの分析に基づき、アカウント ${account} は ${start_ts} から ${end_ts} の間に ${api_format} などの API を通じて異なる ${param} パラメーター値を使用して複数の異なるユーザーの ${data_type} などのデータを取得しており、水平特権昇格攻撃を示唆しており、ユーザーデータ漏洩のリスクがあります。

  • 推奨事項：リクエストパラメーター、対象ユーザー ID、権限コンテキストを含むログの詳細をレビューしてアクティビティを確認してください。特権昇格が確認された場合は、アカウントのアクセス権限を直ちに制限し、API の権限検証ロジックを強化し、影響を受けたアカウントに対してリスク評価および対処を実施してください。

• ビジネスデータのトラバースおよびスクレイピング

  • イベントの説明：API セキュリティイベント検出モデルの分析に基づき、アカウント ${account} は ${start_ts} から ${end_ts} の間に ${param} パラメーター値をトラバースして ${api_format} などの API を通じてデータを取得しており、ビジネスデータクローラーまたはバッチ収集アクティビティを示唆しています。

  • 推奨事項：ログの詳細をレビューしてアクティビティを確認してください。自動化されたスクレイピングが確認された場合は、API の日次頻度ベースラインディストリビューションに基づいて動的レート制限ポリシーを設定し、重要な API に対してアンチトラバース保護（パラメーターシグネチャまたは CAPTCHA など）を追加してください。

異常な操作

• 高頻度な API 呼び出し

  • イベントの説明：API セキュリティイベント検出モデルの分析に基づき、アカウント ${account} は ${start_ts} から ${end_ts} の間に ${api_format} などの API を高頻度で呼び出しており、自動化攻撃または悪意ある API 悪用を示唆しており、ビジネスリスクがあります。

  • 推奨事項：ログの詳細をレビューしてアクティビティを確認し、API の日次頻度ベースラインディストリビューションに基づいて動的レート制限ポリシーを設定して、API リソースの合理的な使用を確保してください。

• 複数の例外エラー応答をトリガーするアクセス

  • イベントの説明：API セキュリティイベント検出モデルの分析に基づき、アカウント ${account} は ${start_ts} から ${end_ts} の間にアクセス中に複数のアプリケーションまたはデータベース例外エラーをトリガーしており、悪意あるプロービングまたは攻撃動作を示唆しています。

  • 推奨事項：ログの詳細をレビューしてアクティビティを確認してください。プロービングまたは攻撃動作が確認された場合は、アカウントのアクセスを制限してください。さらに、ビジネス例外処理メカニズムを最適化し、例外が発生した際に生の例外詳細を返してアプリケーション情報を漏洩するのではなく、一般的なエラーメッセージを返すか、指定されたページにリダイレクトしてください。

• 異常な応答ステータスコード

  • イベントの説明：API セキュリティイベント検出モデルの分析に基づき、アカウント ${account} は ${start_ts} から ${end_ts} の間にアクセス中に応答の ${except_rate}% 以上が異常な応答ステータスコード（4xx/5xx）となっており、悪意あるプロービングまたは攻撃を示唆しています。

  • 推奨事項：ログの詳細をレビューしてアクティビティを確認してください。プロービングまたは攻撃動作が確認された場合は、アカウントのアクセスを制限してください。さらに、ビジネスが正常に運用されているかどうかを確認してください。