ハッキング API(ハッキングエーピーアイ)

Name: ハッキングAPI
Rating: 4 (1 reviews)
Author: Corey Ball/石川 朝久/北原 憲/洲崎 俊
ISBN: 9784814400249

Web API を攻撃から守るためのテスト技法

著者:: Corey Ball/石川朝久/北原憲/洲崎俊(コーリーボール/イシカワトモヒサ/キタハラケン/スザキシュン)
出版社:: オライリージャパン
出版日:: 2023年03月27日
ISBN:: 9784814400249
在庫:: 在庫あり

★★★★☆4(1 件)

中級者向け

プログラミングインターネットセキュリティインターネット・WEBデザインセキュリティ脆弱性認証APIテスト保護Webセキュリティ攻撃対策

Amazon で見る楽天ブックスで見る

なぜ注目されているか

言及数

601位

総合

963位

↓ 9 ランクダウン4 件の言及

書籍紹介

API セキュリティの基礎、テスト、保護までを体系的に学べる!
本書は、 Web API に脆弱性がないかどうかを検証する API セキュリティのテスト技術、保護技術についての解説書です。基礎知識となる Web API の仕組みや脆弱性の概要から、テストツール、検証用ラボの構築、各種攻撃 (認証・認可に対する攻撃、インジェクション攻撃など) への対策まで、体形的に学ぶことができます。自社サービス活用の促進、開発の省力化・効率化の側面からサービスを Web API として公開することが不可欠となっている昨今、必要不可欠な知識です。

技書の森解説

Web アプリケーションの攻撃対象がページ単位から API 単位へ移り変わるなかで、 API に特化したセキュリティテストの手法を体系的にまとめた一冊です。著者の Corey J. Ball はペネトレーションテストの実務家であり、認可の欠陥、過剰なデータ露出、ビジネスロジックの穴といった API 固有の脆弱性を、ツールの操作手順を交えながら解説しています。

構成は OWASP API Security Top 10 を軸に置きつつ、偵察からレポーティングまでの診断プロセスを一貫して追える作りになっています。 Burp Suite や Postman を用いたハンズオン形式のため、手を動かしながら攻撃者の視点を追体験できます。バグバウンティに挑戦したい人にとっては報奨金プログラムへの応用がしやすく、社内で API の脆弱性診断を任された開発者にとっては診断観点の網羅性が助けになります。

前提知識として HTTP の基本と REST API の概念理解は求められますが、暗号理論やカーネルレベルの知識は不要です。 Web セキュリティの入門書を 1 冊読み終えた段階の人であれば、本書の内容に無理なく入れます。 API を「作る側」の設計本とは補完関係にあり、設計書で語られる「なぜそう設計すべきか」の裏側にある攻撃シナリオを具体的に知ることができます。