ハッキング API(ハッキングエーピーアイ)

API セキュリティの基礎、テスト、保護までを体系的に学べる!
本書は、 Web API に脆弱性がないかどうかを検証する API セキュリティのテスト技術、保護技術についての解説書です。基礎知識となる Web API の仕組みや脆弱性の概要から、テストツール、検証用ラボの構築、各種攻撃 (認証・認可に対する攻撃、インジェクション攻撃など) への対策まで、体形的に学ぶことができます。自社サービス活用の促進、開発の省力化・効率化の側面からサービスを Web API として公開することが不可欠となっている昨今、必要不可欠な知識です。

ペネトレーションテストの実務家 Corey J. Ball が、 API に特化したセキュリティテストの手法を体系的にまとめた一冊です。 Web アプリケーションの攻撃対象がページ単位から API 単位へ移り変わるなかで、認可の欠陥、過剰なデータ露出、ビジネスロジックの穴といった API 固有の脆弱性を、ツールの操作手順を交えながら解説しています。

構成は OWASP API Security Top 10 を軸に置きつつ、偵察からレポーティングまでの診断プロセスを一貫して追える作りになっています。 Burp Suite や Postman を用いたハンズオン形式のため、手を動かしながら攻撃者の視点を追体験できます。バグバウンティに挑戦したい人にとっては報奨金プログラムへの応用がしやすく、社内で API の脆弱性診断を任された開発者にとっては診断観点の網羅性が助けになります。

前提知識として HTTP の基本と REST API の概念理解は求められますが、暗号理論やカーネルレベルの知識は不要です。 Web セキュリティの入門書を 1 冊読み終えた段階の人であれば、本書の内容に無理なく入れます。 API を「作る側」の設計本とは補完関係にあり、設計書で語られる「なぜそう設計すべきか」の裏側にある攻撃シナリオを具体的に知ることができます。