リスク評価の概要と UI

このページの内容は Apigee と Apigee ハイブリッドに該当します。

Apigee Edge のドキュメントはこちらをご覧ください。

概要

Advanced API Security のリスク評価では、API プロキシ構成を継続的に評価し、セキュリティ スコアを計算して、API の脆弱性を特定して対処します。

リスク評価は、次のような目的に役立ちます。

• すべての API で一貫したセキュリティ基準を適用する。
• API 設定の構成ミスを検出する。
• 推奨される対応を実施し、全体的なセキュリティ スコアを改善する。
• 一元化されたダッシュボードを使用して、セキュリティの問題を迅速に調査して解決する。

リスク評価は、各プロキシの現在のリスクを評価するだけでなく、API のセキュリティ対策の経時的な評価にも使用できます。評価スコアが変動する場合は、必要なセキュリティ ポリシーなしでデプロイされたプロキシ、フローフックのデプロイと FlowCallout ポリシーの追加による共有フローの変更、環境またはプロキシのデプロイでのターゲット サーバーの変更など、API の動作が頻繁に変更されていることを示している可能性があります。

リスク評価には、このページで説明するように Apigee UI またはセキュリティ スコアとプロファイルの API からアクセスできます。

リスク評価のタスクを実施するために必要なロールについては、リスク評価に必要なロールをご覧ください。

この機能を使用するには、アドオンを有効にする必要があります。サブスクリプションをご利用の場合は、組織のアドオンを有効にできます。詳細については、サブスクリプションを使用する組織の Advanced API Security を管理するをご覧ください。従量課金制をご利用の場合は、対象となる環境でアドオンを有効にできます。詳細については、Advanced API Security アドオンを管理するをご覧ください。

リスク評価 v1 と v2

リスク評価には、一般提供のリスク評価 v1 と、プレビュー版のリスク評価 v2 の 2 つのバージョンがあります。どちらのバージョンを使用する場合も、Advanced API Security アドオンが必要です。

v1 と v2 の機能の主な違いは次のとおりです。

• v2 の特徴は次のとおりです。
  • 信頼性が向上しています（最新のプロキシデータによるスコア計算の高速化など）。
  • 環境にセキュリティ プロファイルを事前に接続しなくてもスコアが計算されます。
  • 0～100% のスケールでスコアがシンプルに表示されます。
  • 評価チェックの重み付けのコンセプト（v1 ではサポートされていません）。リスク評価のコンセプトとスコア付けをご覧ください。
  • v1 の追加の評価。スコアの計算時により多くのポリシーをチェックします。たとえば、v1 では認可と認証関連のポリシーを 5 つサポートしていますが、v2 では 8 つのポリシーをサポートします。また、v2 には、関連するポリシーを含むトラフィック管理カテゴリが含まれており、continueOnError 属性など、ポリシーで追加のチェックが実行されます。
  • ネストされた共有フローおよびフックが 5 レベルのネストまでチェックされます。v1 では、共有フローチェーンによって含まれるポリシーは評価されません。
  • ターゲット スコア（ターゲット サーバーのスコア）を、プロキシベースの評価と推奨事項に置き換えました。ターゲットがプロキシで使用されている場合、そのプロキシのセキュリティ スコアには、ターゲット サーバーのスコアも含まれます。
  • 新しい v2 評価チェックと google-default システム プロファイルを使用するカスタム プロファイル。
• v2 は、以下のものをサポートしていません。
  • 不正なトラフィックに基づく送信元の評価。
  • 現時点では、指標とモニタリングはサポートされていません。

リスク評価 v2

このセクションでは、リスク評価の新しいバージョンであるリスク評価 v2 について説明します。リスク評価のコンセプトと動作は v1 と v2 で異なります。リスク評価 v1 の使用方法については、リスク評価 v1 をご覧ください。

リスク評価 v2 のコンセプトとスコア付け方法

リスク評価のセキュリティ スコアは、セキュリティ プロファイルのセキュリティ評価と重み付けのスコアに基づいて、API のセキュリティ リスクを評価します。

リスク評価のスコア付けは、次の要素に基づいて行われます。

• 評価と評価チェック: プロキシに対して実行され、プロキシのスコア付けに使用される個々のチェック。各チェックには重み付けも設定されており、プロキシに対して評価する際のチェックの重要度を指定できます。重み付けは、チェックごとに「軽微」、「中程度」、「重大」のいずれかで設定されます。各重みには、スコアの計算に使用されるポイント値があります。
  • マイナー: 1
  • 中程度: 5
  • メジャー: 15
• セキュリティ プロファイル: 環境にデプロイされたプロキシを評価する一連の評価チェック。
• セキュリティ スコア: セキュリティ プロファイルに対する評価後のプロキシのスコア。
  
  スコアは 0 ～ 100% の値です。100% は、プロキシが評価に完全に準拠しており、評価チェックに基づいてリスクが検出されなかったことを示します。
  
  セキュリティ スコアは、基本的に、合格した評価チェックで付与されたすべてのポイントの合計を、プロファイルで獲得可能な合計ポイントで割ったものです。スコアは加重平均であるため、セキュリティ プロファイルに含まれるポリシーが多いほど、各評価チェックがセキュリティ スコアに与える影響は小さくなります。
  
  評価チェックの重みもセキュリティ スコアに影響します。重みが高いほど計算に与える影響が大きくなり、重みが低いほど影響は小さくなります。各重みにポイント値を使用します。セキュリティ プロファイル内のすべての評価チェックの重みが同じ場合（すべての評価チェックの重みが中程度の場合など）、セキュリティ スコアは通常の平均として計算されます。

• 重大度: セキュリティ スコアに基づいて評価されたプロキシごとの重大度値。重大度の値は、高（0 ～ 50%）、中（51 ～ 90%）、低（91 ～ 99%）、最小（100%/割り当てられたセキュリティ プロファイルの評価でリスクはない）です。

評価カテゴリとチェック

この表に、セキュリティ プロファイルに含めることができる評価カテゴリと個々のチェックを示します。また、各評価で不合格となった場合の対応方法に関する推奨事項も表示されます。

評価カテゴリ	説明
認証	この場合の「Auth」は、認可と認証の両方を意味します。認証評価では、認可ポリシーと認証ポリシーが設定されているかどうか、認証ポリシーの continueOnError 属性が false に設定されているかどうかを確認します。 評価チェック / 名前 説明 推奨事項 認証ポリシーのチェック / auth-policies-check AccessControl、BasicAuthentication、HMAC、OAuth、ValidateSAMLAssertion、VerifyAPIKey、VerifyJWS、VerifyJWT ポリシーのいずれかが有効になっているかどうかを確認します。 プロキシに必要なポリシーの 1 つ以上 認可ポリシーの continueOnError チェック / continue-on-error-auth-policies-check プロキシ内のすべての認可ポリシーで continueOnError フィールドが有効になっているかどうかを確認します。これには、認証ポリシーが使用されているかどうかの確認が含まれます。プロキシに認証ポリシーがない場合、このチェックは影響しません。 プロキシに含まれるすべての認証ポリシーの continueOnError を false に設定します。 AccessControl ポリシーのチェック / access-control-policy-check AccessControl ポリシーが使用されているかどうか。 AccessControl ポリシーをプロキシに追加します。 BasicAuthentication ポリシーのチェック / basic-auth-policy-check BasicAuthentication ポリシーが使用されているかどうか。 BasicAuthentication ポリシーをプロキシに追加します。 HMAC ポリシー チェック / hmac-policy-check HMAC ポリシーが使用されているかどうか。 HMAC ポリシーをプロキシに追加します。 OAuthV2 ポリシーのチェック / oauthv2-policy-check OAuth ポリシーが使用されているかどうか。 OAuthV2 ポリシーをプロキシに追加します。 ValidateSAMLAssertion ポリシー チェック / validate-saml-assertion-policy-check ValidateSAMLAssertion ポリシーが使用されているかどうか。 ValidateSAMLAssertion ポリシーをプロキシに追加します。 VerifyAPIKey ポリシー / verify-api-key-policy-check VerifyAPIKey ポリシーが使用されているかどうか。 VerifyAPIKey ポリシーをプロキシに追加します。 VerifyJWS ポリシー / verify-jws-policy-check VerifyJWS ポリシーが使用されているかどうか。 VerifyJWS ポリシーをプロキシに追加します。 VerifyJWT ポリシー / verify-jwt-policy-check VerifyJWT ポリシーが使用されているかどうか。 VerifyJWT ポリシーをプロキシに追加します。
CORS	AssignMessage ポリシーに CORS ポリシーまたは CORS ヘッダーが存在するかどうかを確認します。 評価チェック / 名前 説明 推奨事項 CORS ポリシーのチェック / cors-policies-check AssignMessage ポリシーに CORS ポリシーまたは CORS ヘッダーが存在するかどうかを確認します。 CORS ヘッダーを含む CORS ポリシーまたは AssignMessage ポリシーをプロキシに追加します。 CORS ポリシーのチェック / cors-policy-check CORS ポリシーが使用されているかどうかを確認します。 CORS ポリシーをプロキシに追加します。 CORS AssignMessage ポリシーのチェック / cors-assignmessage-policy-check AssignMessage ポリシーに CORS ヘッダーが追加されているかどうかを確認します。 CORS ヘッダーを含む AssignMessage ポリシーをプロキシに追加します。
メディエーション	メディエーション ポリシーが有効かどうかを確認します。 評価チェック / 名前 説明 推奨事項 メディエーション ポリシーのチェック / mediation-policies-check 次のメディエーション ポリシーのいずれかが有効になっていることを確認します。SOAPMessageValidation または OASValidation。 SOAPMessageValidation または OASValidation のいずれかのメディエーション ポリシーをプロキシに追加します。 SOAPMessageValidation ポリシーのチェック / soap-validation-policy-check SOAPMessageValidation ポリシーが使用されているかどうかを確認します。 プロキシに SOAPMessageValidation ポリシーを追加します。 OASValidation ポリシーのチェック / oas-validation-policy-check OASValidation ポリシーが使用されているかどうかを確認します。 OASValidationCheck ポリシーをプロキシに追加します。
ターゲット	ターゲット サーバーの保護が使用されているかどうかを確認します。ターゲット サーバーの構成については、バックエンド サーバー間のロード バランシングをご覧ください。 評価チェック / 名前 説明 推奨事項 ターゲット サーバー TLS チェック / tls-target-server-check ターゲット サーバーで TLS/SSL を確認します。 安全な通信のために、プロキシで構成されているすべてのターゲット サーバーで TLS/SSL を構成します。 ターゲット サーバーの mTLS チェック / mtls-target-server-check ターゲット サーバーで mTLS を確認します。 セキュリティを最大限に高めるには、プロキシで構成されているすべてのターゲット サーバーで mTLS を構成します。 ターゲット サーバーのフィールドチェックの適用 / target-enforce-field-check ターゲット サーバーの構成で Enforce フィールドが有効になっているかどうかを確認します。 Apigee プロキシとターゲットの間に厳格な SSL を適用するように Enforce フィールドを構成します。
脅威	脅威防止ポリシーが使用されているかどうかを確認します。 評価チェック / 名前 説明 推奨事項 脅威ポリシーのチェック / threat-policies-check JSONThreatProtection、RegularExpressionProtection、XMLThreatProtection のいずれかの脅威ポリシーが有効になっているかどうかを確認します。 必要な脅威ポリシーのいずれかをプロキシに追加します。 脅威ポリシー / continue-on-error-threat-policies の continueOnError チェック プロキシで使用されているすべての脅威ポリシーで continueOnError フィールドが有効になっているかどうかを確認します。これには、脅威ポリシーが使用されているかどうかの確認が含まれます。プロキシに脅威ポリシーがない場合、このチェックは影響しません。 プロキシで使用されているすべての脅威ポリシーの continueOnError を false に設定します。 JSONThreatProtection ポリシーのチェック / json-threat-protection-policy-check JSONThreatProtection ポリシーが使用されているかどうかを確認します。 JSONThreatProtection ポリシーをプロキシに追加します。 RegularExpressionProtection ポリシー チェック / regex-protection-policy-check RegularExpressionProtection ポリシーが使用されているかどうかを確認します。 RegularExpressionProtection ポリシーをプロキシに追加します。 XMLThreatProtection ポリシーのチェック / xml-threat-protection-policy-check XMLThreatProtection ポリシーが使用されているかどうかを確認します。 XMLThreatProtection ポリシーをプロキシに追加します。
トラフィック	トラフィック管理ポリシーが設定されているかどうかを確認します。 評価チェック / 名前 説明 推奨事項 トラフィック管理ポリシーのチェック / traffic-management-policies-check LookupCache、Quota、ResponseCache、SpikeArrest のいずれかのトラフィック管理ポリシーが有効になっているかどうかを確認します。 トラフィック管理ポリシーのいずれかをプロキシに追加します。 LookupCache ポリシー チェック / lookup-cache-policy-check LookupCache ポリシーが有効になっているかどうかを確認します。 LookupCache ポリシーをプロキシに追加します。 割り当てポリシーのチェック / quota-policy-check 割り当てポリシーが使用されているかどうかを確認します。 割り当てポリシーをプロキシに追加します。 ResponseCache ポリシーのチェック / response-cache-policy-check ResponseCache ポリシーが使用されているかどうかを確認します。 ResponseCache ポリシーをプロキシに追加します。 SpikeArrest ポリシーのチェック / spike-arrest-policy-check SpikeArrest ポリシーが使用されているかどうかを確認します。 SpikeArrest ポリシーをプロキシに追加します。

ポリシーの適用とプロキシのセキュリティ スコア

プロキシ評価では、使用しているポリシーに基づいてセキュリティ スコアが算出されます。これらのポリシーの評価方法は、ポリシーがフローに接続されているかどうか、またどのように接続されているかによって異なります。

• フロー（プロキシ内の PreFlow、条件付きフロー、PostFlow、または共有フロー）に接続されているポリシーのみがスコアに影響します。どのフローにも接続されていないポリシーはスコアに影響しません。
• FlowCallout ポリシーがフローに接続されている場合、プロキシがフローフックを介して呼び出す共有フローとプロキシ内の FlowCallout ポリシーがプロキシスコアにおいて考慮されます。FlowCallout がフローに接続されていない場合、リンクされた共有フローのポリシーはセキュリティ スコアに影響しません。
• チェーンされた共有フローは、最大 5 レベルまで評価されます。プロキシに直接含まれるポリシーと、共有フローの最初の 5 つのレベルに含まれるポリシーが、セキュリティ スコアにカウントされます。
• 条件付きフローに接続されている各ポリシーについては、ポリシーが存在するかどうかのみがセキュリティ スコアにおいて考慮されます。ポリシーが実行時に適用されるかどうか、またどのように適用されるかは考慮されません。

セキュリティ プロファイル v2

セキュリティ プロファイルは、API プロキシのスコア付けを行う一連のセキュリティ評価と重み付けです。Apigee のデフォルトのセキュリティ プロファイル（google-default）を使用することも、評価するセキュリティ カテゴリと重みのみを含むカスタム セキュリティ プロファイルを作成することもできます。

セキュリティ プロファイルを使用する場合やカスタム セキュリティ プロファイルを作成する場合は、カテゴリ内の複数の評価チェックが個別に評価されることに注意してください。

たとえば、セキュリティ プロファイルに 3 つの認証ポリシー チェックがあり、評価対象のプロキシに 3 つのポリシーのいずれかが含まれている場合、評価スコアには、検出されたポリシーに最大点が含まれ、存在しない他の 2 つのポリシーには 0 点が含まれます。この例では、認証ポリシーが含まれていても、評価対象のプロキシは認証ポリシーのチェックで満点は得られません。この動作を考慮して、セキュリティ スコアの解釈とセキュリティ プロファイルの設計に注意してください。

デフォルトのセキュリティ プロファイル

Advanced API Security には、すべての評価を含むデフォルトのセキュリティ プロファイルが用意されています。デフォルトのプロファイルを使用する場合、セキュリティ スコアはすべてのカテゴリに基づきます。

デフォルトのセキュリティ プロファイル google-default は編集または削除できません。

カスタム セキュリティ プロファイル

選択した評価チェックと重み付けのみを含むカスタム セキュリティ プロファイルを作成して、プロキシに対して評価できます。Apigee UI でカスタム セキュリティ プロファイルを作成して使用する手順については、Apigee UI でカスタム プロファイルを管理するをご覧ください。

カスタム セキュリティ プロファイルの場合:

• プロファイル名（プロファイル ID とも呼ばれます）は必須で、プロファイルを一覧表示する際の概要表に表示されます。名前は 1 ～ 63 文字にする必要があります。小文字、0 ～ 9 の数字、ハイフンを使用できます。最初の文字は小文字にする必要があります。最後の文字は小文字か数字にする必要があります。カスタム セキュリティ プロファイルには一意の名前を付ける必要があります。既存のプロファイル名を複製することはできません。
• プロフィールの説明は省略可能です。1,000 文字以内で入力してください。

セキュリティ スコア v2 の制限事項と既知の問題

セキュリティ スコアには次の制限事項と既知の問題があります。

• セキュリティ スコアが生成されるのは、環境にプロキシがデプロイされている場合のみです。
• 新しくデプロイされたプロキシ、新しく有効にした組織と環境の場合、スコアはすぐに表示されません。
• カスタム プロファイルの場合、組織ごとに作成できるカスタム プロファイルは最大 100 個です。
• 現時点では、新しい評価の計算とスコアの通知はサポートされていません。

データの遅延

Advanced API Security セキュリティ スコアのデータは、結果が利用可能になるまでに次の処理時間がかかります。

• 組織で Advanced API Security を初めて有効にした場合、既存のプロキシとターゲットのスコアが環境に反映されるまでに時間がかかります。ガイドラインとして、サブスクリプション モデルの組織では 30～90 分、従量課金制の組織ではそれより短い時間がかかります。
• 環境のプロキシ（デプロイとデプロイ解除）とターゲット（作成、更新、削除）に関連する新しいイベントが、環境のスコアに反映されるまでに最短で 60 秒、最長で 5 分（非常に大きな環境の場合）かかることがあります。

Apigee UI でリスク評価を表示する

リスク評価ページには、各環境での API のセキュリティを測定するスコアが表示されます。

リスク評価ページを開くには:

1. Cloud コンソールで Apigee UI を開きます。
2. [Advanced API Security] > [リスク評価] を選択します。

[リスク評価] ページが表示されます。

このページには次のセクションがあります。

• 環境: 評価を表示する環境を選択します。
• セキュリティ プロファイル: デフォルト プロファイル（google-default）またはカスタム プロファイル（利用可能な場合）を選択します。セキュリティ プロファイルの詳細については、セキュリティ プロファイルをご覧ください。
• Deployed proxies by severity: 環境が設定されると、その環境のプロキシの重大度の概要が表示されます。リスク評価のコンセプトとスコアリングをご覧ください。
• 評価の詳細: 選択した環境のセキュリティ プロファイル、評価の日時、評価された構成の合計数、デプロイされたプロキシの合計数が表示されます。評価された構成の合計数は、実行されたチェックの合計数を反映しています。この数がプロファイル内の評価の数よりも多い場合があります。一部の評価（continueOnError 属性が false に設定されていることを確認するなど）では、関連するポリシーが適用され、有効になっているかどうかも確認します。
• Deployed proxies: 環境にデプロイされたプロキシとそのリスク評価スコアの概要。
  • プロキシ: プロキシの名前。
  • 重大度: プロキシのリスク評価の重大度。詳しくは、セキュリティ スコアと重大度をご覧ください。

  • スコア: プロキシのリスク評価スコア。詳しくは、リスク評価のコンセプトとスコアリングをご覧ください。
  • リビジョン: スコアが評価されたプロキシのリビジョン。
  • Failed assessments by weight: 評価の重み別にグループ化された失敗した評価の数。
  • 推奨事項: プロキシのスコアを改善するための具体的な推奨事項。数字をクリックすると、推奨事項が表示されます。

Apigee UI でカスタム プロファイルを管理する

このセクションでは、Apigee UI を使用してカスタム プロファイルを表示、作成、編集、削除する方法について説明します。セキュリティ スコアに関する制限に記載されているカスタム プロファイルの制限事項に注意してください。

まず、Apigee UI でリスク評価を表示します。

カスタム プロファイルの作成と編集

[リスク評価] 画面で、[セキュリティ プロファイル] タブを選択します。既存のプロフィールを編集するには、プロフィール名をクリックしてプロフィールの詳細を表示し、[編集] をクリックします。または、そのプロファイルの行の [アクション] メニューから [編集] を選択します。

新しいカスタム プロファイルを作成するには、セキュリティ プロファイルのリストで [+ 作成] をクリックします。

カスタム プロファイルを作成または編集するときに、次の値を設定できます。

• 名前: セキュリティ プロファイルの名前。プロジェクト内で一意であることを確認してください。
• 説明:（省略可）。セキュリティ プロファイルの説明。
• 評価チェックと評価の重み: プロキシに対して評価する 1 つ以上の評価チェックと、それぞれの重み。利用可能な評価チェックの一覧については、リスク評価のコンセプトとスコアリングをご覧ください。評価チェックと重みをプロファイルに追加するには、[+ 追加] をクリックします。チェックと体重のペアを削除するには、そのペアの行にあるゴミ箱アイコンをクリックします。

プロフィールの重複

既存のプロファイルを複製して（新しいカスタム プロファイルを作成するには）、そのプロファイルの行の [アクション] メニューから [複製] を選択するか、プロファイル リストからプロファイル名をクリックしてプロファイル メタデータを表示し、[複製] をクリックします。

新しいカスタム プロファイルの名前は、重複するプロファイルの名前と一致できません。セキュリティ プロファイルの命名要件については、カスタム セキュリティ プロファイルをご覧ください。

カスタム プロファイルを削除する

既存のカスタム プロファイルを削除するには、そのプロファイルの行の [アクション] メニューから [削除] を選択するか、プロファイル リストからプロファイル名をクリックしてプロファイル メタデータを表示し、[削除] をクリックします。

デフォルトのシステム プロファイル（google-default）は削除できません。

カスタム プロファイルを削除すると、そのプロファイルに対するプロキシの評価や、そのカスタム プロファイルに対する以前の評価を確認する機能は直ちに無効になります。

リスク評価 v1

このセクションでは、リスク評価 v1 について説明します。リスク評価 v2 については、リスク評価 v2 をご覧ください。

セキュリティ スコア

セキュリティ スコアは、API のセキュリティと、経時的なセキュリティ ポスチャーを評価します。たとえば、スコアが大きく変動する場合は、API の動作の頻繁な変化を示していることが考えられ、望ましい状態ではない可能性があります。スコアが低下する可能性のある環境の変化には、次のものがあります。

• 必要なセキュリティ ポリシーのない状態で多数の API プロキシをデプロイする。
• 悪意のあるソースからの不正なトラフィックが急増している。

セキュリティ スコアの経時的な変化を観察することは、環境内の望ましくないアクティビティや不審なアクティビティを特定できる良い指標となります。

セキュリティ スコアは、セキュリティ プロファイルに基づいて計算されます。セキュリティ プロファイルには、スコアで評価するセキュリティ カテゴリを指定します。Apigee のデフォルトのセキュリティ プロファイルを使用することも、最も重要なセキュリティ カテゴリのみを含むカスタム セキュリティ プロファイルを作成することもできます。

セキュリティ スコアの評価タイプ

Advanced API Security によって計算されるセキュリティ スコア全体に寄与する評価の種類は 3 つあります。

• ソースの評価: Advanced API Security 検出ルールを使用して、検出された不正行為のトラフィックを評価します。「不正行為」とは、意図された以外の目的で API に送信されたリクエストを指します。

• プロキシの評価: 次の分野でプロキシがさまざまなセキュリティ ポリシーをどの程度実装しているかを評価します。
  • メディエーション: 環境内のすべてのプロキシに、次のメディエーション ポリシーのいずれかが構成されていることを確認します: OASValidation または SOAPMessageValidation。
  • セキュリティ
    • 承認: 環境内のすべてのプロキシに、次のいずれかの承認ポリシーが構成されているかどうかを確認します。
      • JWS または JWT
      • OAuth
      • VerifyAPIKey
      • BasicAuthentication
    • CORS: CORS が構成されているかどうかを確認します。
    • 脅威: 環境内のすべてのプロキシに、次のいずれかのポリシーが構成されているかどうかを確認します。XMLThreatProtection または JSONThreatProtection。

  詳細については、ポリシーがプロキシのセキュリティ スコアに与える影響をご覧ください。

• ターゲット評価: 環境内のターゲット サーバーで Mutual Transport Layer Security（mTLS）が構成されているかどうかを確認します。

これらの各評価タイプには独自のスコアが割り当てられます。合計スコアは、個別の評価タイプに関するスコアの平均です。

ポリシーがプロキシのセキュリティ スコアに与える影響

プロキシ評価では、使用しているポリシーに基づいてセキュリティ スコアが出されます。これらのポリシーの評価方法は、ポリシーがフローに接続されているかどうか、またどのように接続されているかによって異なります。

• フロー（プロキシ内の PreFlow、条件付きフロー、PostFlow、または共有フロー）に接続されているポリシーのみがスコアに影響します。どのフローにも接続されていないポリシーはスコアに影響しません。
• FlowCallout ポリシーがフローに接続されている場合、プロキシがフローフックを介して呼び出す共有フローとプロキシ内の FlowCallout ポリシーがプロキシスコアにおいて考慮されます。FlowCallout がフローに接続されていない場合、リンクされた共有フローのポリシーはセキュリティ スコアに影響しません。
• 共有フローチェーンはサポートされていません。共有フローチェーン経由で含まれるポリシーは、セキュリティ スコアの計算時に評価されません。
• 条件付きフローに接続されている各ポリシーについては、ポリシーが存在するかどうかのみがセキュリティ スコアにおいて考慮されます。ポリシーが実行時に適用されるかどうか、またどのように適用されるかは考慮されません。

セキュリティ プロファイル

セキュリティ プロファイルは、API のスコア付けを行う一連のセキュリティ カテゴリです（以下で説明）。プロファイルには、セキュリティ カテゴリの任意のサブセットを含めることができます。環境のセキュリティ スコアを表示するには、まず環境にセキュリティ プロファイルを接続する必要があります。Apigee のデフォルトのセキュリティ プロファイルを使用することも、重要度の高いセキュリティ カテゴリのみを含むカスタム セキュリティ プロファイルを作成することもできます。

デフォルトのセキュリティ プロファイル

Advanced API Security には、すべてのセキュリティ カテゴリを含むデフォルトのセキュリティ プロファイルが用意されています。デフォルトのプロファイルを使用する場合、セキュリティ スコアはすべてのカテゴリに基づきます。

カスタム セキュリティ プロファイル

カスタム セキュリティ プロファイルを使用すると、特定のセキュリティ カテゴリのみに基づいてセキュリティ スコアが算出されます。カスタム プロファイルの作成方法については、セキュリティ プロファイルの作成と編集をご覧ください。

セキュリティのカテゴリ

セキュリティ スコアは、以下で説明するセキュリティ カテゴリの評価に基づいています。

Category	説明	推奨事項
不正使用	大量のリクエスト、データ スクレイピング、承認に関連する不正使用など、意図された以外の目的で API に送信されたリクエストなど、不正行為がないかを確認します。	不正行為に関する推奨事項をご覧ください。
承認	認可ポリシーが設定されているかどうかを確認します。	次のいずれかのポリシーをプロキシに追加します。 JWS または JWT ポリシー OAuth BasicAuth VerifyAPIKey
CORS	CORS ポリシーが設定されているかどうかを確認します。	プロキシに CORS ポリシーを追加します。
MTLS	ターゲット サーバーに mTLS（Mutual Transport Layer Security）が構成されているかどうかを確認します。	ターゲット サーバーの mTLS 構成をご覧ください。
メディエーション	メディエーション ポリシーが設定されているかどうかを確認します。	次のいずれかのポリシーをプロキシに追加します。 OASValidation SOAPMessageValidation
脅威	脅威保護ポリシーが設定されているかどうかを確認します。	次のいずれかのポリシーをプロキシに追加します。 XMLThreatProtection JSONThreatProtection

セキュリティ スコア v1 に関する制限事項

セキュリティ スコアには次の制限事項があります。

• カスタム プロファイルは 1 組織あたり 100 個まで作成できます。
• セキュリティ スコアが生成されるのは、環境にプロキシ、ターゲット サーバー、トラフィックがある場合のみです。
• 新しくデプロイされたプロキシのスコアは、すぐには表示されません。

データの遅延

Advanced API Security セキュリティ スコアのデータでは、データの処理方法により、次の遅延に基づきます。

• 組織で Advanced API Security を有効にした場合、既存のプロキシとターゲットのスコアが環境に反映されるまでに最長で 6 時間かかる可能性があります。
• 環境のプロキシ（デプロイとデプロイ解除）とターゲット（作成、更新、削除）に関連する新しいイベントが、環境のスコアに反映されるまでに最長で 6 時間かかる場合があります。
• Apigee Analytics パイプラインへのデータフローには、平均で 15～20 分の遅延があります。その結果、ソーススコアの不正使用データの処理には、15～20 分程度の遅延が発生します。

[リスク評価] ページを開く

リスク評価ページには、各環境での API のセキュリティを測定するスコアが表示されます。

注: リスク評価ページの読み込みに数分かかることがあります。トラフィック量が多く、プロキシとターゲットが多数存在する環境では、ページの読み込みに時間を要します。

不正行為の推奨事項

ソーススコアが低い場合は、不正行為が検出された IP を確認することを Apigee はおすすめします。これらの IP からのトラフィックが不正であると思われる場合は、セキュリティ アクション ページを使用して、不正なトラフィックの発生元である IP アドレスからのリクエストをブロックします。

この不正行為の詳細については、次のいずれかのリソースで確認してください。

• [不正行為の検出] ページ。不正なトラフィックに関連するセキュリティ インシデントの情報が表示されます。
• [セキュリティ レポート] ページ。たとえば、次の制約を作成できます。
  • ボットの IP アドレス（例: ボットの IP アドレスのレポートを参照）。
  • bot_reason ごとのボットトラフィック（例: bot 理由レポートによる bot トラフィックを参照）。