概要

攻撃者視点のAPIセキュリティテスト技法を体系的に習得する

想定読者

APIの脆弱性診断・ペネトレーションテストに取り組むセキュリティエンジニア、およびAPIを公開・運用するWebアプリ開発チームのセキュリティ担当者

こんな人には向いていない

• Webセキュリティ全般の入門を求める人には範囲が絞られすぎている(CSRF・Cookieセキュリティ等は意図的に対象外)
• すでにAPIペネトレーションテストを本番環境で日常的に実施しているシニアセキュリティエンジニアには、ツール解説の比重が大きい
• 理論・規格の網羅(OAuth仕様・RFC全体)を求める人には実践ハンズオン寄りの構成が合わない

読了後にできるようになること

• crAPIやOWASP Juice Shopを使ったローカルラボを構築し、安全な環境で攻撃手法を反復練習できる
• Burp Suite・Postman・Wfuzzなどの汎用ツールでAPIエンドポイントを探索・列挙するワークフローを実行できる
• 認証・認可への攻撃(水平/垂直の権限昇格、JWTの改ざん)を手順ベースで再現できる
• ファジング・マスアサインメント・インジェクション攻撃といったOWASP API Security Top 10の主要攻撃を実演できる
• GraphQL特有の攻撃面(イントロスペクションの悪用、バッチクエリ)を診断に組み込める
• バグバウンティ・社内診断レポートに直結するテスト手順と証拠収集フローを習得できる

本書のキー概念(章解説)

• セキュリティテストへの準備 — ツール選定・法的リスク・スコープ設定の基礎。診断初心者は必読
• 第 1 章 Webアプリケーションの仕組み — HTTP・REST・認証の基礎を補完する位置づけ。経験者は斜め読み可
• 第 2 章 Web APIの解剖学
• 第 3 章 一般的なAPI脆弱性 — OWASP API Security Top 10の概観。後半章への地図として活用
• 第 4 章 APIハッキングラボの構築 — 実際にラボを動かしながら読むことで吸収率が大きく上がる
• 第 5 章 脆弱なAPIラボ環境の準備
• 第 6 章 APIの検出 — 実務直結度が高い。Burp Suiteによるエンドポイント列挙の実践手順を提供
• 第 7 章 エンドポイント分析
• 第 8 章 認証への攻撃
• 第 9 章 ファジング
• 第 10 章 認可への攻撃 — 水平・垂直権限昇格のパターンが体系的に整理されており、診断レポート記述の参照にも使える
• 第 11 章 マスアサインメント
• 第 12 章 インジェクション攻撃
• 第 13 章 バイパス技術の応用とレート制限テスト
• 第 14 章 GraphQLへの攻撃
• 第 15 章 データ侵害とバグバウンティ — 実ケースをもとにした報告書作成・開示プロセスまでカバー

ハイライト

• APIセキュリティテストは、一般的なペネトレーションテストともWebアプリケーション診断とも異なります(APIセキュリティが独立した専門領域であることを示す、本書の立ち位置を最もよく表した記述)
• この本では攻撃者のためのツールの使い方を解説しており、攻める方法を知ることで逆にその守り方を学べます(攻撃者視点での学習アプローチという本書の核心的な教育方針を端的に表している)

外部からの言及

• セキュリティ専門家の書評では、APIエンドポイントの検出・列挙(6〜7章)の実践指向が際立つと評価されており、単なるハッカー入門書とは一線を画すと指摘されている。CSRF・Cookieセキュリティを意図的に対象外にしている点も正直に言及され、API診断に特化した実務書として位置づけられている(blog)
• バグバウンティ入門ガイドやWebセキュリティ学習のロードマップ記事で、APIセキュリティの基礎固めに適した日本語書籍として繰り返し参照されており、脆弱性研究に入る前の必須テキストとして扱われている(blog)
• 社内読書会での評価では、LLMサービスがAPI依存で拡大しているという文脈と結びつけて紹介されており、古典的なWebアプリ診断の知識だけでは不十分になりつつある現在、本書の実用性が高まっていると受け止められている(blog)

編集メモ

Hatena Bookmarkでの書評記事が408ブックマーク(2023年3月公開のセキュリティ書評としては高水準)、O'Reilly Japan公式ページ76ブックマーク、バグバウンティ入門ガイドでの推薦書掲載(93ブックマーク)。Qiita直接言及記事は確認できなかったが、バグバウンティコミュニティ・セキュリティブログでの参照が複数確認できるため practical と判定

読む前に押さえておきたいこと

• HTTP/HTTPSの基本(リクエスト・レスポンス構造、ヘッダ、ステータスコード)の理解
• REST APIの概念と、JSONを使ったAPI呼び出しの実務経験
• Burp SuiteまたはPostmanを操作したことがある程度のツール基礎

学習のコツ

• 0〜3章は概念・準備編なので通読よりも参照用として手元に置き、4〜5章のラボ構築を先に完了させてから6章以降を手を動かしながら読むと定着率が上がる
• 6〜7章(API検出・エンドポイント分析)は実務診断の出発点として頻繁に参照されるため、初読後も手順書代わりにブックマークしておくと良い
• 14章のGraphQL攻撃は独立性が高く、REST診断の経験者はここだけ先読みしてもよい
• 翻訳版には訳注・補足コラムが充実しているとの評価があり、PDF版は参照先がリンクになっているため電子書籍形式が推奨される