Web Application Firewall:API セキュリティの概要

ID 情報

連絡先と場所

財務と支払い

ネットワークとデバイスの識別子

資格情報とキー

企業および一般識別子

セキュリティ仕様

• 安全でない HTTP メソッド

  • リスクレベル: 低

  • リスクの説明: この API は安全でない HTTP メソッドを使用しています。攻撃者はこれらのメソッドを使用してサーバー情報を探索したり、サーバーデータを改ざんしたりすることができます。たとえば、PUT を使用して悪意のあるファイルをアップロードしたり、DELETE を使用してサーバーリソースを削除したりします。

  • 提案: ビジネスニーズに基づいて、PUT、DELETE、TRACE、OPTIONS などの安全でない HTTP メソッドを無効にしてください。

• 弱い JWT 署名アルゴリズム

  • リスクレベル: 低

  • リスクの説明: この API は、弱い JSON Web トークン (JWT) 署名アルゴリズムを使用しています。

  • 提案: RS256 などのより安全な署名アルゴリズムを使用します。キーが強力であり、安全に送信および保存されていることを確認します。

• URL としてのパラメーター

  • リスクレベル: 低

  • リスクの説明: この API のリクエストパラメーターには URL 値が含まれています。これにより、サーバーサイドリクエストフォージェリ (SSRF) のリスクが生じる可能性があります。

  • 提案: ユーザーが制御する URL をパラメーターで直接使用しないように API を再設計してください。パラメーターの内容に対して厳格な検証とフィルタリングを実装してください。

アカウントのセキュリティ

• パスワードの平文送信

  • リスクレベル: 低

  • リスクの説明: この API はアカウントのパスワードを平文で送信します。攻撃者は、スニッフィングなどの方法で送信中に認証情報を傍受し、アカウントの乗っ取りにつながる可能性があります。

  • 提案: 送信前にパスワードフィールドを暗号化またはハッシュ化して、傍受されるのを防ぎます。

• 弱いパスワードの許容

  • リスクレベル: 低

  • リスクの説明: このログイン API は弱いパスワードを許可しています。攻撃者はこれを利用してアカウントをブルートフォース攻撃する可能性があります。

  • 提案: 強力なパスワードポリシーを適用してください。強力なパスワードは、少なくとも 8 文字の長さで、大文字、小文字、数字、記号の 4 つのカテゴリのうち少なくとも 3 つの文字を含みます。既存の弱いパスワードを持つユーザーには、速やかに変更するよう通知してください。

• 内部アプリケーションにおける弱いパスワードの脆弱性

  • リスクレベル: 高

  • リスクの説明: この内部アプリケーションのログイン API は弱いパスワードを許可しています。攻撃者はこれを利用してアカウントをブルートフォース攻撃する可能性があります。

  • 提案: 強力なパスワードポリシーを適用してください。強力なパスワードは、少なくとも 8 文字の長さで、大文字、小文字、数字、記号の 4 つのカテゴリのうち少なくとも 3 つの文字を含みます。既存の弱いパスワードを持つユーザーには、速やかに変更するよう通知してください。

• デフォルトパスワードの存在

  • リスクレベル: 中間

  • リスクの説明: このアプリケーションにはデフォルトのパスワードがある可能性があります。攻撃者は、パスワードが変更されていないアカウントを乗っ取るためにデフォルトのパスワードを使用する可能性があります。

  • 提案: デフォルトパスワードを持つアプリケーションでは、最初のログイン時にパスワードの変更を強制してください。デフォルトパスワードを持つ既存のアカウントについては、ユーザーにすぐに変更するよう通知してください。

• 平文パスワードの返却

  • リスクレベル: 低

  • リスクの説明: この API の応答には平文のパスワードが含まれています。攻撃者は送信中にユーザーの資格情報を傍受し、アカウントの乗っ取りにつながる可能性があります。

  • 提案: 応答で平文のパスワードを返さないように API を再設計してください。

• Cookie へのパスワード保存

  • リスクレベル: 低

  • リスクの説明: この API はアカウントのパスワード情報を Cookie に保存しており、攻撃者によって簡単に盗まれる可能性があります。

  • 提案: 機密性の高い資格情報を Cookie に保存しないように API を再設計してください。

• 無制限のログイン

  • リスクレベル: 中間

  • リスクの説明: このログイン API には CAPTCHA や同様の検証メカニズムがありません。攻撃者はこれを利用して、パスワードに対して無制限のブルートフォース攻撃を実行する可能性があります。

  • 提案: 特に複数回のログイン失敗後には、CAPTCHA などの検証メカニズムを追加して、ブルートフォース攻撃を防ぎます。

• 不合理なログイン失敗プロンプト

  • リスクレベル: 低

  • リスクの説明: この API のログイン失敗プロンプトは、ユーザー名が存在するかどうかを明らかにします。攻撃者はこの情報を使用して、さらなる攻撃のために有効なアカウントを列挙することができます。

  • 提案: ログインに失敗した場合、ユーザー名が有効かどうかを明らかにせず、「ユーザー名またはパスワードが正しくありません」などの一般的なメッセージを返します。

• URL ベースのアカウントパスワード送信

  • リスクレベル: 中間

  • リスクの説明: この API は URL でアカウントのパスワードを送信します。URL が漏洩した場合、資格情報も漏洩します。URL は、サーバーログ、リファラーヘッダー、ブラウザの履歴によく記録されます。

  • 提案: POST メソッドを使用して、リクエストボディで資格情報データを送信してください。

アクセスの制御

• インターネットからアクセス可能な内部アプリケーション

  • リスクレベル: 低

  • リスクの説明: この API は内部アプリケーションに属しており、アクセス制限なしでインターネットからアクセスできます。これにより、攻撃者が内部アプリケーションを悪用または攻撃する可能性があります。

  • 提案: IP アドレスホワイトリストなどのアクセス制御ポリシーを追加して、アクセスソースを制限してください。

• 無制限のアクセスソース

  • リスクレベル: 低

  • リスクの説明: この API は、通常のベースライン外のソース (IP アドレスまたはリージョン) からアクセスされています。

  • 提案: アクセス制御ポリシーを追加してください。IP ブラックリストとホワイトリスト、またはロケーションブラックリスト機能を使用して、アクセスソースを制限してください。

• 無制限のアクセスツール

  • リスクレベル: 低

  • リスクの説明: この API へのアクセスに使用されるクライアントタイプが、API のクライアントアクセスベースラインと一致しません。

  • 提案: アクセスツールを制限するためのアクセス制御ポリシーを追加し、攻撃者が悪意のあるスクリプトを使用して API を攻撃したりデータをスクレイピングしたりするのを防ぎます。

• 無制限のアクセスレート

  • リスクレベル: 低

  • リスクの説明: この API は、1 分間に単一の IP アドレスから一定回数アクセスされています。

  • 提案: レート制限ポリシーを追加して、高頻度のアクセスを制御し、乱用を防ぎます。

権限管理

• 内部アプリケーションへのインターネットアクセス

  • リスクレベル: 中間

  • リスクの説明: この API は、十分にランダムではなく、推測可能である可能性のある認証資格情報を使用しています。攻撃者はこれらの資格情報をブルートフォース攻撃して、不正または昇格されたアクセス権を取得する可能性があります。

  • 提案: 認証資格情報のランダム性を高めてください。短くて推測しやすい形式の使用は避けてください。

• 機密 API への認証なしのアクセス

  • リスクレベル: 高

  • リスクの説明: この API は、高感度のデータを含んでいますが、認証なしでアクセスできます。これにより、深刻なデータ漏洩につながる可能性があります。

  • 提案: API の不正使用を防ぐために、厳格で包括的な ID 検証メカニズムを追加してください。

• 内部 API への不正アクセス

  • リスクレベル: 高

  • リスクの説明: この API は内部アプリケーションに属しており、認証なしでアクセスできます。これにより、内部サービスの不正使用や内部データの漏洩につながる可能性があります。

  • 提案: API の不正使用を防ぐために、厳格で包括的な ID 検証メカニズムを追加してください。

• URL ベースの資格情報送信

  • リスクレベル: 中間

  • リスクの説明: この API は URL で認証資格情報を送信します。URL が漏洩した場合、資格情報が悪用される可能性があります。URL は、サーバーログ、リファラーヘッダー、ブラウザの履歴によく記録されます。

  • 提案: カスタムヘッダー、Cookie、リクエストボディなど、別の方法で認証資格情報を送信してください。

• AccessKey 情報の漏洩

  • リスクレベル: 高

  • リスクの説明: この API からの応答には AccessKey ID と AccessKey シークレットが含まれており、攻撃者によって悪用される可能性があります。

  • 提案: AccessKey 情報を返さないように API を再設計します。さらに、漏洩した AccessKey を直ちに無効化または削除します。

• STS トークンを取得するための不正アクセス

  • リスクレベル: 中

  • リスクの説明: この API は認証なしでアクセスでき、そのレスポンスにはセキュリティトークンサービス (STS) トークンが含まれています。攻撃者はこの API を使用して、クラウドリソースを操作する権限を持つ一時的な認証情報を取得できます。これにより、不正なサービス呼び出し、データ盗難、リソースの乱用、悪意のある操作、さらには大規模なデータ流出と高額なコストを伴う完全なアカウント乗っ取りにつながる可能性があります。

  • 提案: この API に対して直ちに厳格な ID 認証とアクセス制御を実装します。信頼できる環境で、承認されたエンティティのみが STS 関連の API を呼び出せるようにします。これにより、不正アクセスと権限昇格を防ぎます。漏洩した STS トークンの権限範囲と使用記録を調査します。認証情報を速やかに失効させ、関連する Resource Access Management (RAM) ロールポリシーのセキュリティを強化します。STS API を公開しないでください。これらの高リスク API をフロントエンドコード、クライアントアプリケーション、またはパブリックリポジトリに埋め込んだり呼び出したりしないでください。

データ保護

• 応答に含まれる機密データの種類が多すぎる

  • リスクレベル: 中間

  • リスクの説明: この API からの応答には、過剰な数の機密データタイプが含まれています。これは不要なデータ公開を示している可能性があり、データ漏洩のリスクを高めます。

  • 提案: 返される各データタイプのビジネス上の必要性を確認してください。重要な機密データをマスキングし、必須でないデータタイプを削除してください。

• 応答に含まれる機密データが多すぎる

  • リスクレベル: 中間

  • リスクの説明: この API からの応答には機密データが含まれており、返されるデータの量を制限していません。これは大規模なデータ漏洩を引き起こすために悪用される可能性があります。

  • 提案: ビジネスニーズに基づいて、単一の応答で返されるデータの量を制限してください。これにより、攻撃者が API を使用して大量の機密データを取得するのを防ぎます。

• 不十分なデータ匿名化

  • リスクレベル: 中間

  • リスクの説明: この API からの応答は、同じデータの匿名化 (マスキング) されたバージョンと匿名化されていない (平文) バージョンの両方を返しており、匿名化の目的を無効にしています。

  • 提案: サンプルデータを確認してこのリスクを確認してください。マスキングされるべきデータが、応答の他の場所で平文で公開されていないことを確認してください。

• 機密性の高いサーバー情報の漏洩

  • リスクレベル: 高

  • リスクの説明: この API からの応答には、機密性の高いサーバー情報が含まれています。攻撃者はこの情報を使用して攻撃を計画し、サーバーの制御を奪う可能性があります。

  • 提案: サンプルデータを確認してリスクを確認してください。内部サーバー情報をクライアントに直接返すことは避けてください。

• 内部 IP アドレスの漏洩

  • リスクレベル: 中間

  • リスクの説明: この API からの応答には内部 IP アドレスが含まれているようで、内部ネットワーク情報が漏洩しています。攻撃者はこの情報を使用して内部アプリケーションを攻撃する可能性があります。

  • 提案: 応答で内部ネットワーク情報が漏洩しないように API を再設計してください。

• URL ベースの機密データ送信

  • リスクレベル: 中間

  • リスクの説明: この API は URL で高感度のデータを送信します。URL が漏洩した場合、機密データの漏洩が発生する可能性があります。URL は、サーバーログ、リファラーヘッダー、ブラウザの履歴によく記録されます。

  • 提案: POST メソッドを使用し、リクエストボディで機密データを送信してください。

• OpenAPI ドキュメントの漏洩

  • リスクレベル: 中

  • リスクの説明: この API は、OpenAPI や Swagger ドキュメントなどのインターフェイス定義ドキュメントを公開しています。攻撃者はこのドキュメントを使用して、ビジネス API のパス、パラメーター構造、ビジネスの詳細を取得できます。これにより、バッチプロービング、データ盗難、ビジネスロジック攻撃のための正確なリクエストを作成できます。また、機密 API や潜在的な不正操作を発見し、機密データの漏洩や違法な操作につながる可能性があります。

  • 提案: ビジネスニーズに基づいて、インターフェイス定義ドキュメントへの外部アクセスを厳格に制限します。本番環境では、不正アクセスを防ぐためにオープン API ドキュメントインターフェイスを無効化または暗号化します。公開する必要がある場合は、信頼できるアカウントまたは内部ネットワークへのアクセスを制限します。機密フィールドやビジネスの説明が含まれないように、API ドキュメントの公開ポリシーを定期的に確認します。ID 認証、IP ホワイトリスト、API ゲートウェイを実装してセキュリティ制御を強化し、攻撃者がインターフェイスメタデータを取得するのを防ぎます。

• 大規模モデル API キーの漏洩

  • リスクレベル: 高

  • リスクの説明: この API は認証なしでアクセスでき、そのレスポンスには大規模モデルサービスの API キーが含まれています。攻撃者はこの API を使用して API キーを盗むことができます。これにより、不正なデータアクセス、リアルタイムのクォータ消費、機密情報の盗難、悪意のあるコンテンツの生成、ビジネスデータの流出、アカウントの乱用につながる可能性があります。

  • 提案: API の不正使用または権限昇格を防ぐために、厳格で包括的な ID 検証メカニズムを実装します。API キーの実際の使用状況を直ちに調査し、速やかに交換します。API キーが安全で管理された環境でのみ使用されるようにします。フロントエンドやパブリックリポジトリで公開しないでください。

API 設計

• リクエストパラメーターの走査可能性

  • リスクレベル: 低

  • リスクの説明: この API のリクエストパラメーターは、固定的で予測可能な形式を持っています。攻撃者はこのパターンに基づいてパラメーター値を反復処理し、データをバッチでアクセスする可能性があります。

  • 提案: パラメーターのランダム性を高めてください。短い数字など、単純で連続的、または推測しやすい値の使用は避けてください。

• 返されるデータの量の変更可能性

  • リスクレベル: 低

  • リスクの説明: この API のリクエストパラメーターは、返されるアイテムの数を制御し、任意の値に設定できます。攻撃者はこのパラメーターを変更して、単一のリクエストで大量のデータを取得する可能性があります。

  • 提案: このパラメーターに制限を追加してください。たとえば、任意の数を許可する代わりに、いくつかの固定オプションのみを提供して、乱用を防ぎます。

• データベースクエリ

  • リスクレベル: 高

  • リスクの説明: この API のリクエストパラメーターには、データベースクエリ文が含まれています。攻撃者はこの API を使用して任意のデータベース操作を実行し、データベースを攻撃したり、重要なデータを盗んだりする可能性があります。

  • 提案: クライアントから生のデータベースクエリ文を渡さないように API を再設計してください。すべてのパラメーターに対して厳格な検証とフィルタリングを実装してください。

• コマンド実行 API

  • リスクレベル: 高

  • リスクの説明: この API のリクエストパラメーターには、システムコマンドが含まれています。攻撃者はこの API を使用して任意のシステムコマンドを実行し、サーバーの制御を奪ったり、重要なデータを盗んだりする可能性があります。

  • 提案: クライアントから生のコマンド文を渡さないように API を再設計してください。すべてのパラメーターに対して厳格な検証とフィルタリングを実装してください。

• 任意の SMS メッセージ送信

  • リスクレベル: 中間

  • リスクの説明: この SMS メッセージ送信 API のリクエストパラメーターには、電話番号とメッセージ内容が含まれています。攻撃者はこの API を使用して、任意の電話番号に悪意のあるメッセージを送信する可能性があります。

  • 提案: クライアントから任意の内容を受け入れるのではなく、バックエンドで固定のメッセージテンプレートを使用するように API を再設計してください。

• 任意のメールコンテンツ送信

  • リスクレベル: 中間

  • リスクの説明: このメール送信 API のリクエストパラメーターには、メールアドレスとメールコンテンツが含まれています。攻撃者はこの API を使用して、任意のメールアドレスに悪意のあるメールを送信する可能性があります。

  • 提案: クライアントから任意の内容を受け入れるのではなく、バックエンドで固定のメールテンプレートを使用するように API を再設計してください。

• SMS メッセージ確認コードの漏洩

  • リスクレベル: 高

  • リスクの説明: この SMS 送信 API の応答には、確認コード自体が含まれているようです。攻撃者はこの API を使用して直接確認コードを取得し、セキュリティチェックをバイパスする可能性があります。

  • 提案: 確認コードをクライアントに返さないでください。検証プロセスはバックエンドで完了する必要があります。

• メール確認コードの漏洩

  • リスクレベル: 高

  • リスクの説明: このメール送信 API の応答には、確認コード自体が含まれているようです。攻撃者はこの API を使用して直接確認コードを取得し、セキュリティチェックをバイパスする可能性があります。

  • 提案: 確認コードをクライアントに返さないでください。検証プロセスはバックエンドで完了する必要があります。

• 指定されたファイルのダウンロード

  • リスクレベル: 中間

  • リスクの説明: このファイルダウンロード API のリクエストパラメーターには、ファイルパスが含まれています。攻撃者はこのパラメーターを変更して任意のファイルをダウンロードし、重要なデータを盗む可能性があります。

  • 提案: 完全なファイルパスを使用したダウンロードを防ぐように API を再設計してください。パス トラバーサル攻撃を防ぐために、パラメーターの内容を厳密に検証およびフィルタリングしてください。

• アプリケーション例外情報の漏洩

  • リスクレベル: 中間

  • リスクの説明: この API からの応答には、アプリケーションの例外詳細が含まれています。攻撃者はこの情報を使用して、サーバーアプリケーションの構成やその他の機密詳細を知ることができます。

  • 提案: ビジネス例外処理メカニズムを改善してください。例外が発生した場合は、生の例外詳細を漏洩させるのではなく、一般的なエラーメッセージを返すか、標準のエラーページにリダイレクトしてください。

• データベース例外情報の漏洩

  • リスクレベル: 中間

  • リスクの説明: この API からのレスポンスには、データベースの例外詳細が含まれています。攻撃者はこの情報を使用して、データベースのクエリ文やテーブル構造を知ることができ、SQL インジェクションなどの攻撃を可能にします。

  • 提案: ビジネス例外処理メカニズムを最適化してください。例外が発生した場合は、生のデータベース例外詳細を漏洩させるのではなく、一般的なエラーメッセージを返すか、標準のエラーページにリダイレクトしてください。

カスタム

カスタムリスク検出ルール

• リスクレベル: カスタムレベル

• リスクの説明: この API は、構成したカスタムリスク検出ルールに一致しました。

• 提案: 提案には、ポリシー構成で入力した内容が表示されます。

ベースライン例外

• 異常に高い頻度のアクセス

  • イベントの説明: アクセス頻度がこの API の日次ベースラインよりも大幅に高く、API の乱用や CC 攻撃などの悪意のある活動を示している可能性があります。

  • 提案: ログの詳細を調査してアクティビティを確認してください。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックしてください。さらに、API の日次レートベースラインに基づいてレート制限ポリシーを構成してください。

• 異常な IP アドレスからの内部 API へのアクセス

  • イベントの説明: ソース IP アドレスが API の日次アクセス IP 分布ベースラインと一致しません。これは異常な呼び出し動作を示している可能性があります。

  • 提案: ログの詳細を調査してアクティビティを確認してください。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックしてください。また、API の日次 IP 分布ベースラインに基づいて IP ホワイトリストポリシーを構成し、他の IP アドレスからのアクセスをブロックして、API リソースの合理的な使用を確保することもできます。

• 異常な場所からの内部 API へのアクセス

  • イベントの説明: IP アドレスのリージョンが API の日次アクセスリージョン分布ベースラインと一致しません。これは異常な呼び出し動作を示している可能性があります。

  • 提案: ログの詳細を調査してアクティビティを確認してください。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックしてください。また、API の日次リージョン分布ベースラインに基づいてロケーションブラックリストポリシーを構成し、API リソースの合理的な使用を確保することもできます。

• 異常なツールを使用したアクセス

  • イベントの説明: アクセスに使用されたツールが API の日次アクセスツール分布ベースラインと一致しません。これは異常な呼び出しを示している可能性があります。

  • 提案: ログの詳細を調査してアクティビティを確認してください。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックしてください。また、API の日次アクセスツール分布ベースラインに基づいて ACL アクセス制御ポリシーを構成するか、ボット管理モジュールを有効にして、API リソースの合理的な使用を確保することもできます。

• 異常な時間帯のアクセス

  • イベントの説明: API が異常な時間帯に呼び出されました。これは異常な呼び出しを示している可能性があります。

  • 提案: ログの詳細を調査してアクティビティを確認してください。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックしてください。

• 異常なパラメーター値を使用したアクセス

  • イベントの説明: リクエストパラメーターの形式がこの API へのリクエストの日次特性と一致しません。これは異常な呼び出しまたは攻撃を示している可能性があります。

  • 提案: サンプルリクエストデータとログの詳細を確認して活動を確認します。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックします。Web 攻撃が確認された場合は、Web Protection モジュールを使用して API を保護し、API リソースの合理的な使用を確保します。

アカウントリスク

• 弱いパスワードを使用した内部アプリケーションへのログイン

  • イベントの説明: IP アドレスが弱いパスワードを使用して内部アプリケーションにログインした疑いがあります。

  • 提案: ログの詳細を確認して、ログインが成功したかどうかを確認してください。アカウントサービスについては、より強力なパスワードポリシーを適用してください。強力なパスワードは通常、大文字、小文字、数字、記号の 4 種類の文字のうち少なくとも 3 種類を含み、長さが 8 文字以上である必要があります。弱いパスワードを持つ既存のアカウントについては、ユーザーにパスワードの変更を通知してください。

• ユーザー名に対するブルートフォース攻撃

  • イベントの説明: IP アドレスが、比較的一定のパスワードを使用しながら、常にユーザー名を変更して複数回のログイン試行を行いました。これはユーザー名のブルートフォース攻撃を示唆しています。

  • 提案: ログの詳細を確認して、いずれかの試行が成功したかどうかを確認してください。定期的にパスワードを変更し、弱いパスワードが使用されていないことを確認してください。ログインサービスについては、確認コードを追加してログイン試行を制限するか、レート制限ポリシーを構成してログイン API の合理的な使用を確保してください。

• パスワードに対するブルートフォース攻撃

  • イベントの説明: IP アドレスが、特定のアカウントに対して多数の異なるパスワードを試しながら複数回のログイン試行を行いました。これはパスワードのブルートフォース攻撃の疑いがあります。

  • 提案: ログの詳細を確認して、いずれかの試行が成功したかどうかを確認してください。定期的にパスワードを変更し、弱いパスワードが使用されていないことを確認してください。ログインサービスについては、確認コードを追加してログイン試行を制限するか、レート制限ポリシーを構成してログイン API の合理的な使用を確保してください。

• 辞書攻撃

  • イベントの説明: IP アドレスが、多数の異なるユーザー名とパスワードを使用して複数回のログイン試行を行いました。これは辞書攻撃を示唆しています。

  • 提案: ログの詳細を確認して、いずれかの試行が成功したかどうかを確認してください。定期的にパスワードを変更し、弱いパスワードが使用されていないことを確認してください。ログインサービスについては、確認コードを追加してログイン試行を制限するか、レート制限ポリシーを構成してログイン API の合理的な使用を確保してください。

• SMS メッセージ確認コードに対するブルートフォース攻撃

  • イベントの説明: IP アドレスが、多数の異なるコードを使用して SMS メッセージコードを検証しようと複数回試行しました。これは確認コードに対するブルートフォース攻撃の疑いがあります。

  • 提案: ログの詳細を調査してアクティビティを確認してください。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックしてください。また、API の日次レート分布ベースラインに基づいてレート制限ポリシーを構成し、API リソースの合理的な使用を確保することもできます。

• メール確認コードに対するブルートフォース攻撃

  • イベントの説明: IP アドレスが、多数の異なるコードを使用してメール確認コードを検証しようと複数回試行しました。これは確認コードに対するブルートフォース攻撃の疑いがあります。

  • 提案: ログの詳細を調査してアクティビティを確認してください。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックしてください。また、API の日次レート分布ベースラインに基づいてレート制限ポリシーを構成し、API リソースの合理的な使用を確保することもできます。

• バッチ登録

  • イベントの説明: IP アドレスが異常な数の登録リクエストを行っており、バッチ登録アクティビティを示唆しています。これにより、多くのスパムアカウントが作成される可能性があります。

  • 提案: ログの詳細を調査してアクティビティを確認してください。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックしてください。また、API の日次レート分布ベースラインに基づいてレート制限ポリシーを構成し、API リソースの合理的な使用を確保することもできます。

API の乱用

• SMS リソースの悪意のある消費

  • イベントの説明: IP アドレスが SMS を送信するために複数回のリクエストを行いました。これは SMS リソースの悪意のある消費、またはメッセージフラッディングに API を使用していることを示唆しており、ビジネス上の損失を引き起こす可能性があります。

  • 提案: ログの詳細を調査して活動を確認します。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックします。また、単一の電話番号へのショートメッセージの送信頻度を制限し、API の日次レート分布ベースラインに基づいてレート制限ポリシーを構成して、API リソースの合理的な使用を確保する必要があります。

• メールリソースの悪意のある消費

  • イベントの説明: IP アドレスがメールを送信するために複数回リクエストを行いました。これは、メールサービスリソースを消費する悪意のある試み、またはメール爆弾攻撃を開始する試みであると疑われます。これにより、メールサービスの安定性に影響が及ぶ可能性があります。

  • 提案: ログの詳細を調査してアクティビティを確認してください。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックしてください。また、単一のメールボックスへのメール送信頻度を制限し、API の日次レート分布ベースラインに基づいてレート制限ポリシーを構成して、API リソースの合理的な使用を確保する必要があります。

• バッチダウンロード

  • イベントの説明: IP アドレスが異常な数のデータエクスポートまたはダウンロードリクエストを行い、多くのファイルを取得しています。これはデータ漏洩のリスクをもたらす可能性があります。

  • 提案: ログの詳細を調査してアクティビティを確認してください。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックしてください。また、API の日次レート分布ベースラインに基づいてレート制限ポリシーを構成し、API リソースの合理的な使用を確保することもできます。

• データクロール

  • イベントの説明: IP アドレスが、走査的なパラメーター値で API を複数回呼び出しました。これは API データをクロールしようとする試みであると疑われます。

  • 提案: ログの詳細を調査してアクティビティを確認してください。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックしてください。ビジネスニーズに基づいてパラメーターのランダム性を高めてください。短い数字など、単純で推測しやすいパラメーター値の使用は避けてください。

• API 攻撃

  • イベントの説明: IP アドレスが API に対して Web 攻撃を開始しました。すべての攻撃は Web 攻撃防止モジュールによってブロックされました。

  • 提案: ログの詳細を使用して IP の動作を分析してください。明らかに悪意のある IP アドレスについては、IP ブラックリストを構成してブロックしてください。

機密データ漏洩イベント

• 機密データへの不正アクセス

  • イベントの説明: IP アドレスが API を不正に呼び出し、機密データを取得した疑いがあります。これはデータ漏洩のリスクをもたらす可能性があります。

  • 提案: ログの詳細を調査してアクティビティを確認してください。重要な API については、不正または権限昇格された使用を防ぐために、厳格で完全な ID 認証メカニズムを実装してください。

• 大量の機密データアクセス

  • イベントの説明: IP アドレスが API を呼び出し、異常に大量の機密データを取得しました。これはデータ漏洩のリスクをもたらす可能性があります。

  • 提案: ログの詳細を調査してアクティビティを確認してください。可能な限り重要な機密データを匿名化し、応答から不要なデータタイプを削除してください。さらに、API のレート制限ポリシーを構成してください。

• 国外の IP アドレスによる大量の機密データアクセス

  • イベントの説明: 国外の IP アドレスが API を呼び出し、複数の機密データを取得しました。これはデータ侵害およびデータコンプライアンスのリスクをもたらす可能性があります。

  • 提案: ログの詳細を調査してアクティビティを確認してください。機密データの国境を越えた送信は、コンプライアンスリスクをもたらす可能性があります。この転送に正当なビジネス上の必要性がある場合は、評価を実施し、必要な申告または届出を完了することをお勧めします。

応答例外

• エラーメッセージの返却

  • イベントの説明: API 呼び出し中に、API が例外エラーメッセージを返しました。これにより、アプリケーションの構成などの重要な情報が漏洩する可能性があります。

  • 提案: ログの詳細を調査して、API が正常に機能しているかどうかを確認します。アプリケーションの例外処理を最適化して、生の例外詳細を返すのではなく、一般的なエラーメッセージを返すか、指定されたページにリダイレクトします。

• データベースエラーメッセージの返却

  • イベントの説明: API 呼び出し中に、API がデータベースエラーメッセージを返しました。これにより、データベースのクエリ文やテーブル名などの重要な情報が漏洩する可能性があります。

  • 提案: ログの詳細を調査して、API が正常に機能しているかどうかを確認します。アプリケーションの例外処理を最適化して、生の例外詳細を返すのではなく、一般的なエラーメッセージを返すか、指定されたページにリダイレクトします。

• 機密性の高いシステム情報の返却

  • イベントの説明: API 呼び出し中に、API が重要な機密サーバー情報を返しました。これはデータ漏洩のリスクをもたらします。

  • 提案: ログの詳細を調査して、返されたデータが期待どおりであるかどうかを確認してください。このようなデータをクライアントに直接返すことは避けてください。

• 異常な応答

  • イベントの説明: 一連の API 呼び出し中に、応答における異常な HTTP ステータスコードの割合が 80% を超えました。これは、オリジンサーバーに問題がある可能性を示唆しています。

  • 提案: ログの詳細を調査し、オリジンサーバーのログを確認して、API が正常に機能しているかどうかを確認してください。

カスタムイベント

カスタムイベントルール

• イベントの説明: この IP アドレスからの API 呼び出しは、構成したカスタムイベント検出ポリシーに一致しました。

• 提案: 提案には、ポリシー構成で入力した内容が表示されます。

アカウントの異常

• 異常なツールを使用してアクセスされたアカウント

  • イベントの説明: API セキュリティイベント検出モデルは、${start_ts} から ${end_ts} の間に、アカウント ${account} が ${attack_client} などの複数の異なるツールを使用して、合計 ${attack_cnt} 回サービスにアクセスしたことを検出しました。これは、バッチ自動攻撃または API スクレイピングを示唆しています。

  • 提案: ログの詳細を調査して確認します。違法なツールが使用された場合は、アカウントのアクセスを速やかに制限します。また、ビジネスリソースの適切な使用を確保するために、API の日次アクセスツール分布ベースラインに基づいてアクセス制御リスト (ACL) ポリシーを構成するか、Bot Management モジュールを有効にします。

データ漏洩

• 大量の機密データへの異常なアクセス

  • イベントの説明: API セキュリティイベント検出モデルは、${start_ts} から ${end_ts} の間に、アカウント ${account} が ${data_type} などの ${data_count} 件以上の機密データを取得したことを検出しました。これは機密情報の収集を示唆しており、機密データ漏洩のリスクをもたらします。

  • 提案: ログの詳細を調査して確認します。正当なビジネス上の理由がない場合は、アカウントのアクセスを速やかに制限し、アカウントのデータアクセス割り当てと権限を強化します。また、ビジネスで送信される重要な機密データをマスキングし、不要なデータタイプを削除します。

• 機密データを取得するための越境アクセス

  • イベントの説明: API セキュリティイベント検出モデルは、${start_ts} から ${end_ts} の間に、アカウント ${account} が ${location} などの中国本土以外からアクセスを開始し、${data_type} などの ${data_count} 件以上の機密データを取得したことを検出しました。これは悪意のあるスクレイピングまたは外部からの攻撃を示唆しており、機密データの漏洩またはコンプライアンス違反のリスクをもたらします。

  • 提案: ログの詳細を調査して確認します。機密データの越境転送はコンプライアンスリスクをもたらす可能性があります。正当なビジネスニーズがある場合は、状況を評価し、必要な申告または記録を提出します。

• 多数のファイルの異常なダウンロード

  • イベントの説明: API セキュリティイベント検出モデルは、${start_ts} から ${end_ts} の間に、アカウント ${account} が ${api_format} などの API を通じて多数のファイルをダウンロードまたはエクスポートしたことを検出しました。これはデータ漏洩のリスクをもたらします。

  • 提案: ログの詳細を調査して確認します。動作が不正である場合は、ダウンロード頻度と合計量を制限します。大規模なファイルダウンロード API に承認または承認メカニズムを追加します。

• 他のユーザーの機密情報を取得しようとする試み

  • イベントの説明: API セキュリティイベント検出モデルは、${start_ts} から ${end_ts} の間に、アカウント ${account} が異なる ${param} パラメーター値を使用して、${api_format} などの API を通じて複数の異なるユーザーから ${data_type} などのデータを取得したことを検出しました。これは水平特権昇格攻撃を示唆しており、ユーザーデータ漏洩のリスクをもたらします。

  • 提案: リクエストパラメーター、ターゲットユーザー ID、権限コンテキストを含むログの詳細を調査して確認します。権限昇格が確認された場合は、直ちにアカウントのアクセス権限を制限し、API の権限検証ロジックを強化し、関係するアカウントに対してリスク評価と対策を実施します。

• ビジネスデータの走査とスクレイピング

  • イベントの説明: API セキュリティイベント検出モデルは、${start_ts} から ${end_ts} の間に、アカウント ${account} が ${param} パラメーター値を走査して、${api_format} などの API を通じてデータを取得したことを検出しました。これはビジネスデータのスクレイピングまたはバッチ収集を示唆しています。

  • 提案: ログの詳細を調査して確認します。これが自動スクレイピングである場合は、API の日次頻度ベースライン分布に基づいて動的なレート制限ポリシーを構成します。重要な API にパラメーター署名や CAPTCHA などの走査防止保護を追加します。

異常な操作

• API の高頻度呼び出し

  • イベントの説明: API セキュリティイベント検出モデルは、${start_ts} から ${end_ts} の間に、アカウント ${account} が ${api_format} などの API を頻繁に呼び出したことを検出しました。これは自動攻撃または悪意のある API スクレイピングを示唆しており、ビジネスリスクをもたらします。

  • 提案: ログの詳細を調査して確認します。API リソースの適切な使用を確保するために、API の日次頻度ベースライン分布に基づいて動的なレート制限ポリシーを構成します。

• アクセスが複数の異常なエラーレスポンスをトリガーする

  • イベントの説明: API セキュリティイベント検出モデルは、${start_ts} から ${end_ts} の間に、アカウント ${account} がアクセス中に複数のアプリケーションまたはデータベースの例外エラーをトリガーしたことを検出しました。これは悪意のあるプロービングまたは攻撃を示唆しています。

  • 提案: ログの詳細を調査して確認します。プロービングまたは攻撃が検出された場合は、アカウントのアクセスを制限します。また、ビジネス例外処理メカニズムを最適化します。例外が発生した場合、直接的なエラーメッセージによるアプリケーション情報の漏洩を避けるために、統一されたレスポンスを返すか、指定されたページにリダイレクトします。

• 異常なアクセスステータスコード

  • イベントの説明: API セキュリティイベント検出モデルは、${start_ts} から ${end_ts} の間に、アカウント ${account} によるアクセス中に、異常なレスポンスステータスコード (4xx/5xx) の割合が ${except_rate} を超えたことを検出しました。これは悪意のあるプロービングまたは攻撃を示唆しています。

  • 提案: ログの詳細を調査して確認します。プロービングまたは攻撃が検出された場合は、アカウントのアクセスを制限します。また、ビジネスが正常に動作していることを確認します。