WebアプリケーションとAPIのセキュリティ

パブリック クラウドまたはプライベート クラウド全体にわたってWebアプリケーションとAPIを保護
Web Application and API Security Front
Web Application and API Security Back

今日の最新アプリケーションには、監視と保護が必要な攻撃対象領域が散在しているため、従来のWebアプリケーション ファイアウォール(WAF)やポイント ソリューションでは管理や拡張が困難です。

WebアプリケーションとAPIのセキュリティのベンチマーク分析に関するホワイトペーパーをお読みください。

WebアプリケーションとAPIの保護

Prisma® Cloud WAASはクラウド ネイティブ セキュリティ プラットフォームの一部として、WebアプリケーションとAPIのセキュリティに対する統合型アプローチを提供します。OWASPトップ10およびAPI保護をサポートし、脆弱性管理、コンプライアンス、ランタイム防御などの機能も提供されます。WAASモジュールは、クラウド環境およびオンプレミス環境でマイクロサービスベースのWebアプリケーションとAPIを自動的に検出して保護します。
  • 可視化と保護の自動化
  • 単一エージェント、フル スタックの保護
  • 導入および拡張が容易
  • OWASPトップ10保護
    OWASPトップ10保護
  •  APIセキュリティ
    APIセキュリティ
  • ボット リスク管理
    ボット リスク管理
  • 仮想パッチ適用
    仮想パッチ適用
  • アプリケーションDoSプロテクション
    アプリケーションDoSプロテクション
  •  継続的な可視化
    継続的な可視化

PRISMA CLOUDソリューション

WebアプリケーションとAPIのセキュリティに対する弊社のアプローチ

OWASPトップ10保護

混在環境では、アプリケーションとAPIの保護を導入することが難しい場合があります。Prisma Cloudでは、単一の統合エージェントですべてのクラウド ワークロードを保護して導入を簡素化し、OWASPトップ10にカスタマイズ可能な完全なサポートを提供します。

  • 上位のセキュリティ リスクからWebアプリケーションを保護

    SQLインジェクション、クロスサイト スクリプティング、コード インジェクションなどが対象です。

  • すべてのコンピューティング形式のアプリケーションとAPIを識別

    インターネットに接続されたサービスやAPIを自動的に検出して保護します。

  • マイクロサービスにローカルでアプリケーション セキュリティを適用

    サービス レベルでWAASを自動的に適用して、自動拡張される一時的な環境に対応します。

  • カスタマイズ可能で完全な保護を活用

    セキュリティ シナリオごとに、適用メカニズム(アラート、防御、禁止)を選択します。

  • エージェントをDevOpsワークフローの一部として導入

    コードベースの導入メカニズムを使用して、コード プッシュごとに保護の自動導入を可能にします。

  • クラウド ネイティブ セキュリティに統合アプローチをとる

    単一の統合クラウド セキュリティ ソリューションを使用して、ポイント製品と比べて優れた保護を実現します。

OWASPトップ10保護

アプリケーションとAPIの保護

包括的な保護を実現するための鍵は、正確さ、精度、深さです。WAASでは、OWASPトップ10、APIの保護、ファイルのアップロード、地理的位置に基づく制御などのカスタマイズ可能な保護ができます。

  • アプリケーションとAPIの自動検出および保護

    一時的な環境においても、インターネットに接続されたサービスおよびAPIサービスを自動的に検出して保護します。

  • レイヤー7攻撃からAPIを保護

    OpenAPI、Swaggerファイル、または手動カスタマイズに基づいて、明確なAPI定義の適用を簡素化します。

  • ソース ファイルのアップロード ポリシーの適用

    ユーザーがファイルをアップロードできるアプリケーションの場合は、ファイル拡張子およびファイルの内容に基づいてファイルのアップロードを制限します。

  • アプリケーションに合わせた詳細な設定

    アプリケーションの使用事例に合わせて、アラート レベルとブロック レベルをカスタマイズします。

アプリケーションとAPIの保護

ボット リスク管理

インターネットにはボットがあふれていますが、すべてのボットに悪意があるわけではありません。ボットのアクティビティを可視化して、検索エンジン クローラーなど既知の有益なボットは許可し、他の悪意のあるボットはブロックします。

  • 既知のボットを許可して監視

    検索エンジン クローラーやニュース ボットなどの有益なボットは許可してアプリケーションを巡回しますが、不正な活動は監視してブロックします。

  • 未知のボットの制御

    ヘッドレス ブラウザ、コマンド ライン ツール、有益なボットのなりすましを含め、意図が不明なボットからの要求を警告またはブロックします。

  • カスタム ボットの定義

    チームが既知の有益なボットまたは悪意のあるボットと判断するために、ボットの定義を作成します。

  • アプリケーションごとに設定可能

    ボット保護ルールでアプリケーション レベルまたは個別サービス レベルの設定を行います。

ボット リスク管理

仮想パッチ適用

脆弱性が検出されると、多くの場合、パッチが利用可能になる前にエクスプロイト キットがリリースされます。パッチ未適用の脆弱性からサービス レベルで保護します。

  • 正式なパッチがリリースされるまでのリスクの軽減

    基盤となるサービスにパッチを適用できるようになるまで、仮想パッチ適用を利用してエクスプロイト防御を行います。

  • チームの署名にカスタムWAASルールを追加

    リサーチ チームが脆弱性を特定したら、カスタム ルールを利用します。これは、エクスプロイト防御のためのガイド付きのオートコンプリート方法です。

  • ゼロデイ エクスプロイトからの保護

    更新されたWAASルールをPrisma Cloudラボから自動的に受信して、適用するかどうかを選択します。

仮想パッチ適用

アプリケーションDoSプロテクション

アプリケーションに対する攻撃には、強制的なシャットダウンや遅延時間の増加、最終顧客への影響なども含まれます。Prisma Cloudは通信レート制限を適用して、大量のDoS攻撃と規則的なDoS攻撃の両方を防御します。

  • 帯域幅消費攻撃によるアプリケーションのクラッシュを防止

    バースト レートおよび平均レートの定義済みしきい値を超える要求に対して警告するか、禁止します。

  • 標的型DoS攻撃からの保護

    HTTPメソッド、ファイル拡張子、応答コードに潜む脆弱性を標的とした攻撃を防止します。

  • ペナルティ ボックスの設定を制御

    過度に広範に禁止するのを避けるために、IPアドレスやセッションIDに基づいて頻繁な不正使用者を禁止します(期間は設定可能)。

アプリケーションDoSプロテクション

継続的な可視化

保護されたWebアプリケーション、保護されていないWebアプリケーション、およびAPIの可視化は、包括的な保護を実現する第一歩です。こうした理由から、シンプルで簡単なUIにより一元的なレーダーでWebアプリケーションの保護ステータスをPrisma Cloudで自動的に特定し、カスタマイズ可能な保護を迅速に可能にします。

  • WebアプリケーションおよびAPIの対象領域全体を検出して保護

    WAASを使用して、保護されていないWebアプリケーションを検出し、フラグを付けて保護します。

  • 公開されているAPIのみを識別して、ノイズを削減

    WebアプリケーションおよびAPIの動作を自動的に検出して、APIのないサービスにはフラグを付けません。

  • 調査に高度な分析を活用

    分析を用いてWAAS監査を別の視点から全体として確認し、フィルタリングして、個々のイベントのインシデント調査を行います。

  • すべてのセキュリティ イベントを単一のコンソールで表示

    脆弱性、コンプライアンス違反、ランタイム イベント、WAASイベントを1つのダッシュボードで確認します。

継続的な可視化

Prisma Cloud
Prisma Cloud
Prisma Cloudは、マルチクラウドとハイブリッドクラウドのさまざまな環境において、アプリケーション、データ、クラウドネイティブのテクノロジ スタック全体に対する業界で最も幅広いセキュリティとコンプライアンスを、開発ライフサイクルの全期間にわたって提供します。

クラウド ワークロード保護モジュール

ホスト セキュリティ

パブリック クラウドやプライベート クラウドで仮想マシン(VM)を保護

コンテナ セキュリティ

パブリック クラウドやプライベート クラウド上のKubernetesおよびその他のコンテナ プラットフォームを保護

サーバレス セキュリティ

アプリケーション ライフサイクル全体でサーバレス関数を保護

WebアプリケーションとAPIのセキュリティ

パブリック クラウドやプライベート クラウドを、レイヤー7およびOWASPトップ10の脅威から保護