従来のセキュリティ対策を迂回する「ビジネスロジック攻撃」の防御策とは

過去5年間でデジタル化は急速に進歩し、2020年には新型コロナウイルス感染症拡大に伴うロックダウンが、これらの進化を一層加速させました。

その結果、オンラインサービスの品質や情報アクセスの利便性が向上しましたが、同時に新たなセキュリティの課題も浮かび上がっています。また、デジタル環境の発展やアプリケーションの複雑化に伴い、サイバー犯罪者の手口もより巧妙になっています。

現在広がっている攻撃手法のうち、特に注目すべきがビジネスロジック攻撃（BLA: Business Logic Attack）です。これは、従来の攻撃に比べて検知や阻止が難しい新たなサイバー攻撃手法の一つです。認証プロセスをすり抜けて権限を昇格させ、機密情報にアクセスすることで、アプリケーション内のビジネスロジックを悪用します。具体的には、認証バイパス（Authentication Bypass）などが、この種の攻撃に含まれます。

ビジネスロジック攻撃は何が新しいのか？

ビジネスロジックとは、ユーザーインタフェースの動作や他システムとの相互作用などを定義するルールやアルゴリズムを指します。ビジネスロジックは、データの変換および計算方法や、アプリケーションのワークフローなどを決定するアプリケーションの中核部分であるため、サイバー攻撃の標的にもなりやすいのです。

そして、ビジネスロジック攻撃は、従来の攻撃手法とは異なり、既知のシグネチャや攻撃パターンに依存せず、技術的な脆弱性を突くのではなく、アプリケーションの意図的な機能やプロセスを悪用します。これらの攻撃は、正当なトラフィックの振る舞いを模倣し、各アプリケーションのロジックに合わせてワークフローを操作し、通常のセキュリティアラートを発生させることなく実行されるのが一般的です。

ビジネスロジック攻撃は、各アプリケーションとその特定のビジネスロジックに固有であるため、事前に定義されたシグネチャやパターンを利用して攻撃を検知する従来のセキュリティツールでは検知や阻止が困難です。

従来のセキュリティ対策、例えばWeb Application Firewall（WAF）などは、既知の脆弱性や攻撃パターンを検知し、それに基づいてアプリケーションを保護するように設計されています。しかし、ビジネスロジック攻撃は、セッション中の複数のAPIコールにまたがって実行されることが多く、典型的な攻撃パターンに従わないため、従来の対策方法では特定や阻止が難しいのが課題です。

ビジネスロジック攻撃は、個人情報や財務情報を含む機密データを盗むことで、企業の評判、顧客の信頼、収益などに深刻な影響を及ぼす可能性があります。また、ビジネスロジック攻撃による損害は修復が困難であることも少なくありません。そのため、このような攻撃を未然に防ぐための対策が極めて重要です。

ビジネスロジック攻撃からアプリケーションを守る事前対策

企業は以下のような事前対策を実施することで、ビジネスロジック攻撃からアプリケーションを保護することができます。

（1）ビジネスロジックの理解

潜在的な脆弱性を特定するには、アプリケーションのワークフロー、プロセス、ユーザー行動などを把握することが不可欠です。例えば、ライドシェアアプリの場合、運賃計算ロジックを操作することで、料金を不正に下げるビジネスロジック攻撃が考えられます。

このような攻撃は非常に複雑で、ユーザー入力、料金設定アルゴリズム、決済ゲートウェイといった要素を通じて実行されます。事前にアプリケーションの正常な動作を定義し、不正な動作を検知するアルゴリズムを導入することで、ビジネスロジック攻撃の疑いがある異常な活動を特定することができます。

（2）高度なアプリケーションセキュリティの導入

ビジネスロジックやAPIを標的とする自動化された高度な攻撃を迅速に特定して阻止するには、ボットやAPIの管理ツールへの投資が不可欠です。また、アプリケーションのロジックを十分に理解していない従来のツールでは、ビジネスロジック攻撃を正確に識別することが難しく、誤検知によるアラートを多発させてしまう可能性があります。

高度なセキュリティソリューションを採用し、機械学習アルゴリズムに基づくインテリジェントなアラート設定を利用することで、誤検知を減らすことができます。