アプリケーションセキュリティとは何か、なぜそれが不可欠なのか

アプリケーションは、機能的なインターネット接続があれば、どこからでも製品やサービスへのアクセスを顧客に提供します。顧客は、スマートフォンをタップするか、キーボードを叩くだけで、企業向けに設計およびブランド化された形式で作業できます。

アプリケーションは素晴らしい資産となり得る一方で、攻撃に対して非常に脆弱である可能性もあります。そして、攻撃を受けた場合、その損害は壊滅的なものになる可能性があります。

たとえば、2020年4月には、ハッカーが2,000万人のAndroidアプリユーザーの記録をダウンロードして公開しました。ハッカーはさらに1900万件の情報を持っていると主張しました。

堅牢なアプリケーションセキュリティの実践は、安全性を考慮してアプリケーションを構築することを保証します。そして、アプリケーションをテストするために使用するプロセスは、常に次の脅威に備えていることを保証します。

アプリケーションセキュリティはどのように機能しますか？

企業が少なくとも何らかのアプリケーションセキュリティテストを実施したいと考える理由は比較的容易に理解できます。しかし、いつ、どのように取り組むかを決定するのは少し難しい問題です。

一般的に、アプリを構築するには少なくとも5ヶ月かかります。そして、脅威に対するアプリのテストには、多くの時間を費やすべきです。ここで使用するコードは、攻撃に対して脆弱な状態にするか、または攻撃を防ぐかのどちらかになります。

しかし、アプリケーションが起動して実行されている場合、アプリケーションセキュリティの監査によるテストにより、巧妙なハッカーが見つけた新しい問題を確実に見つけて修正できます。

企業が使用する一般的な手法は以下のとおりです。

• ホワイトボックスセキュリティレビュー。専門家がソースコードを調べて、セキュリティ上の欠陥やコーディングの問題点を探します。
• ブラックボックスセキュリティレビュー。専門家がアプリのハッキングを試み、有効と思われる手法があれば通知されます。
• 脆弱性テスト。ハッカーチームを雇って製品をテストし、見つかったものを報告する企業もあります。

非常に多くの機会とツールが利用可能であるため、どの手法とタイミングが自社に適しているかを見つけるのは、実際にはあなた次第です。

一般的なアプリケーションセキュリティ技術

アプリケーションセキュリティテストの詳細を見ていきましょう。製品を安全に保つために、これらの方法を同時にいくつか使用する企業もあれば、1つまたは2つしか使用しない企業もあることを知っておいてください。アプリケーションセキュリティおよびペネトレーションテストツールの優れたリストはこちら。

一般的に、4つの主要なテストタイプが存在します。

1. 動的：現在アプリ内で実行しているコードが、行ごとに分析されます。この手法を、侵入しようとする雇われたハッカーと一緒に使用すると、攻撃がリアルタイムで展開されるのを確認できます。
2. 静的（Static）:開発段階でコードの一部を非常に注意深く検証します。重要な間違いをしないように、コードの校正と考えてください。
3. インタラクティブ：静的および動的な手法を組み合わせて、コードを分解し、詳細に調べます。
4. モバイル：ハッカーに、モバイルデバイスでアプリを実行中に攻撃を試みるように依頼します。

テストに加えて、アプリケーションの安全性とセキュリティを確保するために役立つ製品を使用することもできます。多くのツールが存在しますが、ほとんどのツールは次のいずれかのモデルで動作します。

• アラート（Alert）:このようなツールは、ハッカーが侵入するのを防ぐことはできません。しかし、壁が突破されたら、それを知ることができます。
• 検出：脅威検出ツールは、ネットワーク（またはクラウド環境）を調べて、外部からの攻撃に対して脆弱な箇所を評価します。
• 保護：アラートと検出を組み合わせたRuntime Application Self-Protection（RASP）ツール。これらのツールは、攻撃の最中にアプリケーション自体をシャットダウンすることさえできます。

新たな脅威が現れ、より多くの企業がアプリに投資するにつれて、新しくより優れたツールも開発される可能性が高いです。

アプリケーションセキュリティが重要な理由とは？

アプリケーションへの攻撃は、絶対に壊滅的なものになる可能性があります。たとえば、専門家は、アプリ内のハッカーがログイン詳細、パスワード、メールコンテンツ、および財務詳細を盗む可能性があると言います。侵害が公表されると、顧客はハッカーを責めません。顧客はあなたを非難し、回復には何年もかかる可能性があります。

アプリのモバイル性もリスクを高めます。アプリケーションは、ネットワークを介してクラウドに接続し、またネットワークに戻ります。各入り口と出口は、ハッカーが発見するのを待っている脆弱性ポイントです。

最も一般的な5つのアプリのセキュリティリスクは次のとおりです。

1. インジェクション（Injection）.安全でないデータがコマンドまたはクエリとして送信され、認可なしにデータアクセスを許可します。
2. 認証の不備（Broken authentication）.セッション管理または認証に関連する機能が停止すると、ハッカーはキー、パスワードなどを侵害します。
3. 機密データの漏洩。暗号化の問題により、財務情報、医療記録などが公開されます。
4. XXE.古いXMLプロセッサは、データを完全に保護しません。
5. アクセス制御の不備。認証の問題により、許可されていない人が情報を見ることができてしまいます。

アプリには、スクリプトの問題、古いコンポーネント、または不十分な監視など、他の潜在的なリスクがある可能性があります。これらの問題のいずれかまたはすべてにより、誰かがあなたのアプリに侵入し、非常に機密性の高いデータを持って再び出て行く可能性があります。

知っておくべきアプリケーションセキュリティの課題

ハッカーは非常に巧妙であり、アプリを通じて顧客にサービスを提供する際に直面するすべてのリスクを見つけて排除することは非常に困難です。

アプリのセキュリティを実施したい人が直面する一般的な課題には、次のようなものがあります。

• 言語。一部のテストツールはJavaでのみ動作します。Microsoft.Netで最適に動作するものもあります。たとえそれが第一の選択肢でなくても、使用したコードで動作するものを見つける必要があります。
• チームセキュリティチーム、コーディングチーム、マーケティング、カスタマーサービスなど、多くの人々がアプリに関わっています。場合によっては、あるグループに役立つことが別のグループに害を及ぼすことがあります。明確なコミュニケーションが重要です。
• クラウド。クラウドにデータをプッシュする際は常に、意図しないユーザーがデータを見てしまうリスクがあります。

これらの問題を克服できます。多くのITプロフェッショナルがそうしています。しかし、作業する際にはそれらを念頭に置いておく必要があります。

セキュリティ標準と規制

顧客とデータを保護したい場合があるかもしれません。しかし、間違いを犯す可能性があります。すべてのアプリの約半分には、何らかの脆弱性が組み込まれています。標準に従うことが役立つ場合があります。

正式化された標準は、アプリにとって何が許容されるか、専門家が何を大きな問題と見なすかを理解するのに役立ちます。これらの規則に従うことで、顧客に対して、プライバシー、セキュリティ、安全性を真剣に考えていることを証明できます。

これらのエンティティによって作成されたバージョンを含め、多数の標準が存在します。

• CERT Coordination Center
• Common Weakness Enumeration
• 米国防情報システム局
• 国際標準化機構
• 国際電気標準委員会
• Open Web Application Security Project
• ペイメントカード業界

グラム・リーチ・ブライリー法や医療保険の携行性と責任に関する法律（HIPAA）など、いくつかの政府規制がお客様の規制環境にも適用される場合があります。

これらの規制は非常に専門的な内容になる可能性があります。米国国立標準技術研究所（National Institute of Standards and Technology）の一連のルールだけでも55ページに及びます。開発を本格的に開始する前に、これらのルールを読んで正しく理解し、それに応じてアプリケーションを作成するのが最善です。

専門家からの支援を受ける

自分の作品をチェックするライターはほとんどいません。彼らは編集者に意見を求め、すべてが適切に実行されていることを確認してもらいます。コーディングチームも同様に行う必要があります。

アプリの隅々まで確認し、会社の健全性を損なう可能性のある問題について教えてくれる人と協力してください。これらの専門家の意見を注意深く聞き、すべての推奨事項を心に留めてください。

信頼できるパートナーをお探しの場合は、Oktaをご検討ください。当社はお客様の会社の貴重な資産を保護するための信頼できるプラットフォームを提供しており、ぜひご協力させていただきたいと思います。お問い合わせ、さあ始めましょう。

参考文献

ハッカーが人気のあるAndroidアプリストアが侵害されたと主張：2,000万人のユーザーの認証情報を公開。(2020年4月)フォーブス

モバイルアプリの開発にはどのくらいの時間がかかりますか？（2017年10月）Medium） 

これらのアプリがスマートフォンにインストールされている場合、「簡単に」ハッキングされる可能性があります。(2020年12月、Forbes。

OWASP Top Ten。OWASP Foundation

モバイルアプリの85％がセキュリティ基準に違反している状況。(2018年10月、TechRepublic） 

モバイルアプリケーションのセキュリティの吟味。(2019年4月)米国国立標準技術研究所。