SKYPCEの外部連携APIにおけるアクセスログの記録項目と、過去1年分のログを用いた運用管理方法を解説します。情報持ち出しを早期検知するシナリオと、不正アクセスを検知して初動対応につなげるシナリオを紹介します。
過去3回にわたり、SKYPCEの外部連携用APIを活用した機能紹介や技術的側面をお伝えしてきました。
今回は外部連携APIのアクセスログについてご紹介させていただきます。
API連携は便利さの反面、容易に大量のデータ(.s)へのアクセスが可能です。
「いつ、誰が、どのAPIを呼び出し、何のデータを操作したか」という可視化（ログ管理）を怠ると、万が一の事態に原因究明が遅れるリスクがあります。
本記事では、システムが出力する「アクセスログ」を活用する2つのシナリオをご紹介します。
外部連携APIのアクセスログについて
外部連携APIのアクセスログでは下記の項目が記録されます。
過去1年分のアクセスログの取得が可能です。
- アクセス日時(.s)
- アクセス元IPアドレス(.s)
- X-Forwarded-For(.s)
- アクセスユーザー(.s)
- アクセス先URL(.s)
- アクセス結果（成功／失敗）(.s)
これらを組み合わせることで、どのような異常検知が可能になるのかを見ていきましょう。
シナリオ1：情報持ち出しの早期検知
個人情報保護法の対象となる個人情報であり、企業活動を支える顧客情報である名刺データの持ち出しを防ぐためには、「いつ」「だれが」「何を」取得したかの監視が重要です。
着目するログ項目： アクセス日時(.s) × アクセスユーザー(.s) × アクセス先URL(.s) × アクセス結果（成功）(.s)
アクセス日時(.s)が深夜や休日などの「業務時間外」であるにもかかわらず、名刺データを抽出するAPI（例：名刺検索APIなど）のアクセス先URL(.s)に対するリクエストが連続して「成功」している履歴がないかをチェックします。
通常発生しない時間帯に名刺検索APIへのアクセスが短時間に多数発生した場合、バッチ処理の誤作動、あるいは権限を持ったユーザーによる意図的なデータ一括ダウンロードの疑いがあります。この条件にあてはまるアクセスを検知することで、被害の拡大を早期に食い止めることができます。
シナリオ2：不正アクセスの検知と初動対応
外部からのブルートフォース攻撃（総当たり攻撃）を受けた際、システムへの不正侵入を検知するためのシナリオです。
着目するログ項目： アクセス結果（失敗）(.s) × アクセス元IPアドレス(.s)
認証エラーなどによりアクセス結果(.s)が「失敗」となる通信が短時間に多発した場合、どこから攻撃されているかを調査するためにアクセス元IPアドレス(.s)を確認します。
通常、ログに記録されるアクセス元IPアドレス(.s)は、ご利用いただいているネットワーク環境の「グローバルIPアドレス」となります。
このIPアドレスはクライアント側で容易に偽装できるX-Forwarded-For(.s)と異なりHTTPなど双方向通信の仕組み上、偽装が困難です。
特定のアクセス元IPアドレス(.s)や不特定多数のIPアドレス(.s)から「失敗」が連続している場合、これを攻撃の可能性ありと判断し、一時的に連携APIの公開を停止（APIキーの失効）などの対策を講じることができます。
まとめ：安全なAPI運用のために
「システムを連携して終わり」ではなく、アクセスログを活用した継続的な監視・監査体制をセットで設計することで、安全なAPI運用の一助となります。
自社の資産である名刺データを安全に活用するために、ぜひログ監査の仕組みも取り入れてみてください。
