ポルトは10月15日、クライアントアプリケーションの解析からAPIの脆弱性診断までを一体的に実施し、A2B攻撃を想定したセキュリティリスクを評価する「A2Bペネトレーションテスト（A2B攻撃対策脆弱性診断）」を提供することを発表した。
テストでは、AIによるクライアントアプリケーションの解析によって得られたエンドポイントや認証情報を利用し、実際の攻撃者の視点からAPIへの不正アクセスや不正操作が可能かを検証。
これにより、API単体の診断では把握しにくい、クライアントアプリケーションとバックエンドシステムの連携に起因するセキュリティリスクを評価。クライアントアプリケーションの解析とAPIの脆弱性診断を組み合わせ、以下のようなセキュリティ上の不備を調査・分析し、改善策を提案する。
１．クライアントアプリケーションの解析
クライアントアプリケーションを対象に、AIによる静的解析を実施し、APIの利用状況や内部処理に関する情報を調査。
・アプリケーション内に含まれるAPIエンドポイントの調査
・APIキーや認証情報などの機密情報の埋め込み状況の確認
・アプリケーションとバックエンド間の通信内容の解析
・認証処理やリクエスト生成処理の調査
・リバースエンジニアリングによって取得可能な情報の評価
２．APIの認証・認可に関する脆弱性診断
クライアントアプリケーションの解析結果をもとに、APIの認証・認可処理に不備がないかを評価。
・認証機構の不備
・アクセストークンやセッション管理の不備
・他ユーザーの情報にアクセスできる認可制御の不備
・権限外のAPI操作が可能となる不備
・クライアント側の制御を回避した不正なAPI利用
３．APIの実装・利用方法に関する脆弱性診断
APIに対して不正なリクエストやパラメータの改変などを行い、バックエンドシステムの実装や利用方法に起因する脆弱性を評価。
・APIリクエストの改ざんによる不正操作
・入力値検証の不備
・ビジネスロジックの不備
・意図しない情報の取得やデータの改竄
関連リンク