能動的防御：API向けステートフル脆弱性スキャナーの導入

```yaml openapi: 3.0.0 info: version: 1.0.0 paths: /api/v1/orders: post: summary: 注文を作成 requestBody: required: true content: application/json: schema: type: object properties: product: type: string count: type: integer required: - product - count responses: '201': description: アイテム作成成功 content: application/json: schema: type: object properties: result: type: object properties: id: type: integer created_at: type: integer errors: type: array items: type: string /api/v1/orders/{order_id}: patch: summary: IDによる注文変更 parameters: - name: order_id in: path ``` POSTエンドポイントは以下のようなレスポンスを返します。 ```json { "result": { "id": 8821, "created_at": 1741476777 }, "errors": [] } ``` 人間の観察者にとっては、PATCHエンドポイントの`order_id`に注入すべき値が`$.result.id`であることは明らかです。しかし、`id`プロパティは`orderId`や`value`などと呼ばれることもあり、任意にネストされている可能性もあります。このような多様な形状のOpenAPIドキュメントにおける微妙な不一致は、ヒューリスティックベースのアプローチでは扱いにくい問題です。 当社のスキャナーは、この複雑な問題に対処するためにCloudflare独自のWorkers AIプラットフォームを活用しています。OpenAIのオープンウェイトモデル`gpt-oss-120b`のようなモデルは、データ依存関係を確実にマッチングし、必要に応じて現実的な偽データを生成するのに十分な能力があり、本質的にOpenAPI仕様の空白を埋めることができます。構造化出力を活用することで、モデルはスキャナーが走査するAPIコールグラフの表現を生成し、攻撃者と所有者の認証情報を適切に注入します。 このアプローチは、OpenAPIスキーマにおける認可とデータの関係を推測するために人間の知性を必要とする問題を、人工知能で同様の処理を行うことで解決します。構造化出力は、`gpt-oss`の自然言語の世界から機械実行可能な命令へのギャップを埋めます。Workers AIが計画問題を解決することに加え、Workers AI上でのセルフホスティングは、当社のシステムが自動的にCloudflareの高可用性でグローバル分散アーキテクチャの恩恵を受けることを意味します。 ### 確立された基盤の上に構築 顧客がAPI認証情報を信頼して任せられる脆弱性スキャナーを構築するには、実績のあるインフラストラクチャが必要です。ここでは車輪の再発明はしませんでした。代わりに、スキャナープラットフォームの2つの重要なコンポーネントであるコントロールプレーンとシークレットストアについて、Cloudflare全体で検証され展開されてきたサービスを統合しました。 スキャナーのコントロールプレーンは、スキャンオーケストレーションのためにTemporalと統合されており、Cloudflareの他の内部サービスも既にこれに依存しています。各スキャンで実行される多数のテストプランの複雑さは、Temporalの耐久性のある実行フレームワークによって効果的に管理されます。 バックエンド全体はRustで書かれており、これはCloudflareのインフラストラクチャサービスで広く採用されています。これにより、内部ライブラリを再利用し、チーム間でアーキテクチャパターンを共有できます。また、FL2やテストフレームワークFlamingoなどの他のCloudflareシステムとの将来の統合可能性にも備えており、スキャニングがエッジリクエスト処理やテストインフラストラクチャとより密接に連携するシナリオを可能にします。 ### HashiCorp Vault Transit Secret Engineによる認証情報セキュリティ 認証の不備と認可の不備の脆弱性をスキャンするには、APIユーザー認証情報の取り扱いが必要です。Cloudflareはこの責任を非常に重く受け止めています。 当社は、暗号化サービスとしてHashiCorpのVault Transit Secret Engine（TSE）を使用することで、公開APIレイヤーが暗号化されていない顧客認証情報に最小限のアクセスしか持たないようにしています。送信直後に、認証情報はTSEによって暗号化され（TSEは暗号化を処理しますが暗号文は保存しません）、その後Cloudflareインフラストラクチャに保存されます。 当社のAPIはこのデータを復号化する権限を持っていません。代わりに、復号化はTestPlanが顧客のインフラストラクチャにリクエストを行う最終段階でのみ発生します。テストを実行するWorkerのみが復号化をリクエストする権限を持ち、この制限はRust内での厳密な型付けと追加の安全レールを使用して強化され、復号化メソッドへの最小限のアクセスを強制します。 さらに、定期的なローテーションとTSEを使用した定期的なリラップを通じて顧客の認証情報を保護し、リスクを軽減します。このプロセスにより、新しい暗号文のみを扱い、元のシークレットは閲覧不可能な状態に保たれます。 ### 今後の展開 本日より、すべてのAPI Shield顧客向けにBOLA脆弱性スキャニングをオープンベータとしてリリースし、将来のリリースに向けたAPI脅威スキャンの開発に取り組んでいます。Cloudflare APIを通じて、スキャンをトリガーし、設定を管理し、結果をプログラムで取得して、CI/CDパイプラインやセキュリティダッシュボードに直接統合できます。API Shieldのお客様は、開発者ドキュメントを確認して、本日よりエンドポイントのBOLA脆弱性スキャンを開始してください。 BOLA脆弱性から始めるのは、これが解決が最も困難なAPI脆弱性であり、お客様にとって最もリスクが高いためです。しかし、このスキャニングエンジンは拡張可能に構築されています。 近い将来、スキャナーの機能をOWASP Web Top 10の人気項目にも拡張する計画です：SQLインジェクション（SQLi）やクロスサイトスクリプティング（XSS）などの古典的なWeb脆弱性です。リリース時に通知を受け取るには、こちらのウェイトリストに登録してください。エンジンが一般的なWebアプリケーション脆弱性に対応した際に、最初に知ることができます。

能動的防御：API向けステートフル脆弱性スキャナーの導入

背景や根拠まで確認しますか？

調べる

選ぶ

サイト