APIトラフィックは急増しています。300%速くエッジで増加しました。APIは、モバイルおよびWebアプリケーションを稼働させ、「このクレジットカードを使用してお気に入りのレストランからピザを注文します」または「暗号通貨取引をします、これが私の個人情報です」など多様な指示を送信するため、データ窃盗や乱用にはうってつけです。APIトラフィックの脅威の上位に挙げられています。APIトラフィックが増加し、データ攻撃が頻発する今、新しいセキュリティソリューションが求められています。Cloudflareのセキュリティツールキットは、常にWebとAPIトラフィックを保護するよう設計されていました。何百人ものお客様からヒアリングをした結果、APIトラフィック用のセキュリティツールを1つのインターフェイスに簡単にデプロイ/構成する必要があることに気づきました。当社では、すべてのCloudflareユーザーにmTLS認証を無料で、gRPCサポート、スキーマ検証をベータ版で提供することからはじめました。ローンチする際には、より高度なセキュリティ機能を備えた将来のリリースの計画を立てました。当社サービスを拡張し、お客様のAPIを機密データの漏えいから保護するために設計された新機能を提供できることを嬉しく思います。本日は、侵入攻撃の影響を軽減する4つの機能を発表します。すべてのEnterpriseのお客様向けのスキーマ検証、オープンプロキシからのトラフィックをブロックできるマネージドIPリスト、証明書ライフサイクルの制御の強化、および情報漏えい防止ソリューションです。今週後半には、ネットワーク上で実行されているものの、お客様がお気づきではないAPIを検出する機能、および意図した用途から逸脱した異常なリクエストを特定する方法も発表します。Shieldをローンチする際、スキーマ検証を導入し、一部のお客様へリリースしました。この数か月間、当社は早期導入企業と協力して機能を追加し、使いやすいインターフェースをダッシュボードに直接構築してきました。シールド」タブに移動して、APIセキュリティ製品をUIから直接デプロイしていただけるようになりました。展開フローは間もなく拡張され、mTLSやレート制限など、ダッシュボードの他の場所にある追加機能も導入される予定です。API異常検出などの新機能も統合させ、フィードバックループを簡単にする予定です。スキーマ検証は、API「スキーマ」に基づいてポジティブなセキュリティモデルを作成することによって動作します。スキーマとは、APIの消費を定義し、開発者をガイドしてAPIをシステムに統合するための取り決めです。対照的に、スキーマ検証は、他のすべてに対してアクションを実行しながら、適合すると判断したリクエストを許可するように設計されています。スキーマ検証では、APIスキーマのログまたはリクエストに準拠しないブロックリクエストと照合して、各リクエストを評価します。Shieldは、使いやすいUIを提供し、ユーザーがスキーマをファイアウォールにアップロードすると、API定義と照合し、各リクエストを検証するルールを自動的に作成できます。リクエストが適合する場合は、オリジンに転送されます。Shieldで予想される内容と一致しない場合、呼び出しはログに記録されるか、またはドロップされ、無効なリクエストまたは悪意のあるペイロードからオリジンを保護します。無関係な入力があるリクエストは、API開発者が予測していない可能性があり、データ漏えいなどの予期しないアプリケーション動作を引き起こす可能性があるのです。ShieldがデプロイされるAPIのホスト名とベースパスの定義やスキーマファイルのアップロードなど、さまざまな手順にユーザーを導きます。Shieldをデプロイすると、ファイアウォールによって解析されたエンドポイントと、提供される保護レベルを調べることができます。レビューページには、保護と保護なしの2つのエンドポイントグループがあります。前者は、スキーマがサポートされているエンドポイントとメソッドをすべてリスト化したもので、後者は定義がサポートされていないエンドポイントや、あいまいなエンドポイントを指します。スキーマファイルに記載されていないエンドポイントへのトラフィックが壊れるのを防ぐため、保護されたエンドポイントには送信されないトラフィックと一致する最終ルールを含めます。Shield」でタグ付けされた新しいイベントが作成され、ファイアウォールログに追加されます。ユーザーは、概要ページから分析とログにアクセスできます。このページでは、GraphQL対応のダッシュボードの柔軟性を使用してデータを掘り下げることができます。スキーマの検証では、パス、パス変数、クエリパラメータ、ヘッダー、およびCookieのチェックを行い、非準拠のトラフィックを記録します。Enterpriseプランのお客様には、スキーマ検証ベータ版を広くご利用いただけるようになりました。このフォームに入力してアクセスしてください。データ損失防止データ損失は、中小企業および大企業に影響を与えるセキュリティ上の最大の懸念のひとつですが、個人とそのプライバシーにも影響を与えます。機密データの損失は、財務上の影響、ブランド価値の侵害、データ保護に関する最新の法律の遵守など、企業に大きな影響を与える可能性があります。最後に、個人に帰属する機密データの損失は、金銭的損失およびプライバシーに関する懸念の観点から有害な影響を及ぼす可能性があります。製品スイートを発表しました。現在、この機能を拡張して、HTTPまたはAPIリクエストの応答フェーズでオリジンを離れる機密データを特定しています。このソリューションは、エグレストラフィックを評価し、機密データの共通パターンに対してペイロードをチェックします。これには、社会保障番号や金融情報(クレジットカード番号、銀行の詳細など)など、個人を特定できる情報が含まれます。最初のリリースでは、DLPによってトリガーされた一致を記録できます。今後は、Cloudflareの背後にあるオリジンを離れる機密データの難読化やブロックなどの他のアクションを追加していく予定です。お客様がルールをカスタマイズして、アプリケーションに固有の機密データを識別できるようにする予定です。DLPの開発では、シンプルさを大切にしました。これにより、複雑で時間のかかるセットアップ期間も必要とせず、すべてのお客様を保護できます。DLPは管理ルールセットとしてリリースされ、「ファイアウォール管理ルール」タブから有効にすることができます。Teamsの一部として使用することもできます。この緊密な統合により、組織内の機密情報にアクセスできるユーザーをより効率的に管理できます。DLPはベータ版であり、一部の早期導入者のお客様にリリースしています。キャンセル待ちリストに参加するには、このフォームに記入してください。データ損失の保護は、管理ルールセットとして有効にすることができます。マネージドIPリスト:Cloudflareによる脅威インテリジェンスファイアウォールルール内で使用できる、最初のマネージドIPリストをリリースします。2020年7月に、当社はIPリストをリリースしました。これにより、ファイアウォールルールの作成時に使用できるIPの大規模なリストをアップロードできるようになりました。本日、Cloudflareがキュレーションしたリストを発表します。お客様はカスタムアップロードされたリストと同じように、このリストをルール内で使用していただけます。「Cloudflareオープンプロキシ」には、エッジでトラフィックを分析することで、Cloudflareが決定したオープンSOCKSとHTTPプロキシのIPが含まれています。これはAPIリクエストに限定されません。ルールは、ファイアウォールによって評価されるすべてのタイプのトラフィックに適用できます。このリストは、当社のネットワークの規模とカバー率を活用したCloudflare脅威インテリジェンスに基づいて公開している最初のフィードです。このリストの作成方法は以下のとおりです。インターネット上のパブリックにルーティング可能なすべてのIPアドレスからのリクエストが表示されます。Cloudflareは、オープンプロキシを識別するために、その大規模なネットワークとオープンソースのリストを組み合わせています。プロキシを検証後、Cloudflareは出口IPを決定し、リストを作成します。その後、Cloudflareがこのレピュテーションデータをセキュリティシステムにフィードバックし、マネージドIPリストの形式でお客様に提供します。このリストはすべてのEnterpriseプランでご利用いただけ、「利用可能なすべてのIPリストを収集する」ドロップダウンメニューで「Cloudflareオープンプロキシ」を選択して使用できます(下記の画像参照)。Cloudflareオープンプロキシマネージドリストは、ファイアウォールルールビルダーで直接使用できます。Shieldの最初のリリースでmTLSを発表しました。クライアント側の証明書を使用して強力な認証を強制することは、一般的にデータの侵入や悪用からトラフィックを保護するためには非常に効果的な手段です。IoTデバイスや携帯電話が盗まれたり、紛失したり、悪意のあるアクターに制御を奪われた場合、Cloudflareユーザーには、潜在的なセキュリティリスクとされる証明書を取り消す方法が必要です。侵害されたデバイスからトラフィックを永続的に除外できるようにしておくことは、データ損失や悪意のある攻撃を防止する効果的な方法です。KVを使用した取り消しソリューションを実装しています。このソリューションでは、証明書にきめ細かな制御ができますが、お客様による多大な開発作業が必要であり、簡単には拡張できません。する完全管理型ソリューションをリリースします。当社では、発行から取り消しまで、お客様の証明書のライフサイクル全体を管理するための簡単なインターフェイスを構築しました。セットアップや、潜在的に危険なデバイスの取り消し管理について心配することなく、アプリケーションの構築に集中できます。顧客のタッチポイントは、クライアント証明書タブの新しい「取り消し」ボタンと「復元」ボタン、サポートするAPIの呼び出し、そしてファイアウォールルールの新しいフィールドです。Cloudflareのエッジに証明書を提示する各リクエストには、cf.tls_client_auth.cert_verifiedとcf.tls_client_auth.cert_revocedの2つのファイアウォールフィールドが設定されます。リクエストはファイアウォールによって処理され、ユーザーはこれらのフィールドを他のすべてのファイアウォール機能と組み合わせることができます。これにより、証明書が検証されたか検証されたものの取り消されたか、どちらかに基づいて、異なる動作を設定できます。エンドユーザーに優れたエクスペリエンスを提供しながら、必要なセキュリティポリシーを実装することもできます。従来の構成では、検証済みの証明書を持つリクエストのみを許可し、取り消された証明書から別のページまたはエンドポイントにリクエストを転送して、ユーザーの行程上必要な例外処理を行っていました。ユーザーは、「クライアント証明書」タブにアクセスして証明書を取り消すことができます。Shieldの追加機能のリリースに取り組んでいます。APIトラフィックにCloudflareを使用している何百ものお客様からヒアリングした結果、「高度なAPI分析」、「より柔軟なレート制限ツール」、「API異常検出との統合」という3つの機能を優先することになりました。スキーマ検証とデータ損失防止は、ログと分析エンジンに完全に統合され、本日リリースされます。今後は、トラフィックを分析する機能を拡張し、APIエンドポイントに向けられた攻撃を特定および管理するためのツールをお客様に提供する予定です。Cloudflareのレート制限はWebトラフィックに最適になるように設計されており、URLとリクエストの方法に基づいてルールを記述できます。当社では、ファイアウォールルールの機能と、レート制限によって提供される制御を統合する作業に取り組んでいます。これにより、ファイアウォールで利用可能な強力なロジックを活用して、トラフィックをセグメント化することができます。APIキーとユーザーIDに基づくレート制限機能を含めるための集計メカニズムを拡張しています。APIトラフィックをターゲットにする場合、攻撃パターンが大きく異なることがあるため、従来のボット管理ソリューションは不審な動作を特定するのに理想的とはいえません。つの主要な機能を発表します。検出により、お客様はエンドポイントをマッピングし、APIの表面積を可視化できます。異常検出は、良好なAPIトラフィックを悪意のあるアクティビティから確実かつ大規模に分離するCloudflareのソリューションです。お客様は、mTLS、スキーマ検証、およびレート制限とともに、これをセットアップし、保護レベルを最大化することができます。これらの新製品の詳細については、金曜日のブログをご覧ください。Cloudflareは企業ネットワーク全体を保護し、お客様がインターネット規模のアプリケーションを効率的に構築し、あらゆるWebサイトやインターネットアプリケーションを高速化し、DDoS攻撃を退け、ハッカーの侵入を防ぎ、ゼロトラスト導入を推進できるようお手伝いしています。アクセスし、インターネットを高速化し安全性を高めるCloudflareの無料アプリをご利用ください。良いインターネットの構築支援という当社の使命について、詳しくはこちらをご覧ください。新たなキャリアの方向性を模索中の方は、当社の求人情報をご覧ください。