English -> Visit Promon Web Page
ランタイムアプリケーション自己保護（RASP）とは
ランタイムアプリケーション自己保護（Runtime Application Self-Protection、以下RASP）は、ランタイムインストルメンテーションを使用してリアルタイムで攻撃を検出・ブロックするセキュリティ技術です。RASPはアプリの一部としてセキュリティを組み込むことで、アプリを内側から保護します。
RASPは以下の機能を1つ以上提供します。
- 高度なマルウェアの現実的な脅威をプロアクティブに管理する
- 不正行為を検出・防止する
- アプリケーションのランタイムプロセスおよび環境と連携し、パフォーマンスと信頼性を向上させる
サマリー
RASPは、アプリケーションまたはそのランタイム環境に直接統合され、リアルタイムの脅威検出と対応を提供する高度なセキュリティソリューションです。RASPは実行中のアプリケーションの動作とコンテキストを分析することで、従来の境界型セキュリティシステムよりも正確かつ迅速に攻撃を検出・緩和できます。
モバイルやクラウドが主流となった現代のアプリ中心のデジタル環境において、RASPは特に重要な役割を担っています。セキュリティ対策がアプリとともに移動するため、インフラに依存しない保護が実現します。これにより、アプリケーションのロジック・通常の動作・データフローを理解したうえで、既知・未知の脅威（ゼロデイ攻撃を含む）からアプリを守ることが可能です。
RASPの主な特徴は、アプリケーション内のすべてのデータ呼び出しと制御フローをインターセプトし、不審な活動がないか分析し、潜在的な攻撃を防止・緩和するための自動アクションを実行できる点にあります。対応内容は、セッションの終了から管理者へのアラート送信まで、検出された脅威の深刻度と性質に応じて異なります。
RASPの仕組み
RASPはアプリケーションまたはそのランタイム環境にセキュリティを組み込むことで、アプリ自体が自己保護できる仕組みを作ります。アプリケーションとシステム間のすべての呼び出しをインターセプトして、動作とコンテキストを分析します。これにはデータリクエスト・レスポンス・実行が含まれます。コードインジェクションや不審なデータ操作といった異常・悪意のある動作を検出した場合、即座に修正アクションを実行します。
呼び出しのインターセプト
RASPはアプリケーションのランタイム環境に統合され、アプリが行うすべての関数呼び出しとデータリクエストを精査します。これにより、アプリが不正な主体に操作されているか、あるいはデータを漏えいさせているかを検出できます。
異常検知
RASPは動作分析を用いて、予期しないシステム呼び出しや不正アクセスの試みなど、通常の動作からの逸脱（攻撃の兆候）を検出します。
自動レスポンス
攻撃を検出すると、RASPはユーザーのログオフ、データの暗号化、アプリのシャットダウンなど、あらかじめ定義されたレスポンスを実行してさらなる被害を防ぎます。
モバイルアプリにとってRASPが重要な理由
内側からの保護
境界防御に依存する従来のセキュリティ対策と異なり、RASPはアプリの内側から保護を提供します。これは、セキュアな企業ネットワークの外部で動作することが多いモバイルアプリにとって特に重要です。マルウェア、中間者攻撃（MITM）、ジェイルブレイクやルート化などの固有の脆弱性を狙った攻撃など、モバイル特有の脅威に対してより高い耐性を持ちます。
プロアクティブな防御
RASPは攻撃をブロックするだけでなく、異常な活動を積極的に監視してリアルタイムの保護を提供します。センシティブな取引や個人データを扱うモバイルアプリにとって、脅威が被害をもたらす前に無力化するこの機能は非常に重要です。
日本のコンプライアンス対応
セキュリティ規制の厳格化に伴い、モバイルアプリはデータの完全性と機密性を確保しなければなりません。RASPはアプリレベルで不正アクセスやデータ侵害を直接防止することで、コンプライアンス維持を支援します。
日本における主なコンプライアンス要件とRASPの関係は以下のとおりです。
| 規制・ガイドライン | 概要 | RASPとの関係 |
|---|---|---|
| 改正個人情報保護法（2022年施行） | 個人データの安全管理措置の強化、漏えい時の報告義務 | アプリレベルでの不正アクセス・データ漏えいをリアルタイムで防止 |
| 金融庁モバイルバンキングセキュリティガイドライン | 不正送金・なりすましへの対策強化 | ルート化・脱獄検知、MitM攻撃の遮断 |
| 医療情報システムの安全管理に関するガイドライン（厚生労働省） | 電子カルテ・医療アプリの安全管理 | 医療系アプリの内部からの保護・整合性確保 |
| 経済安全保障推進法（2022年） | 重要インフラ・重要技術に関するソフトウェア保護 | 重要システムに接続するアプリのランタイム保護 |
RASPとWAF（ウェブアプリケーションファイアウォール）の違い
RASPとWAFはどちらもアプリケーションレベルの脅威からの保護を目的としていますが、動作方法が異なります。
| 比較項目 | RASP | WAF |
|---|---|---|
| 設置場所 | アプリケーション内部（組み込み） | アプリとクライアントの間（外部） |
| 保護のコンテキスト | アプリの動作・ロジックを理解して判断 | 受信トラフィックのパターンマッチングで判断 |
| リアルタイム対応 | ◎ アプリ内部から即時対応 | △ トラフィックレベルでの対応 |
| ゼロデイ対応 | ◎ 動作の異常を検知できる | △ 既知のシグネチャに依存する部分が多い |
| モバイルアプリへの適用 | ◎ モバイル環境に最適 | △ 主にWebアプリ向け |
| 誤検知 | 少ない（アプリ固有の動作を把握） | 多くなりがち（コンテキスト情報が少ない） |
ポイント： 多くの日本企業がすでにWAFを導入していますが、モバイルアプリの普及とクラウド移行が進む現在、WAFだけでは守れない攻撃ベクトルが増えています。RASPはWAFの代替ではなく、多層防御の一環として組み合わせることが推奨されます。
RASPの活用例
1. コードインジェクション（SQLインジェクション）からの保護
RASPはアプリをリアルタイムで監視し、不正なコードインジェクション（SQLコードなど）を検出します。悪意のある入力の処理をアプリがブロックし、セキュリティ管理者にアラートを送信します。
日本での関連事例： ECサイトや会員管理システムへのSQLインジェクション攻撃は日本でも頻発しており、個人情報漏えいや決済情報の流出につながるリスクがあります。
2. 中間者攻撃（MitM）の緩和
RASPはアプリとサーバー間の通信を傍受・改ざんしようとする試みを検出・ブロックします。攻撃者が偽のSSL証明書を使ってデータを復号しようとした場合、RASPはセッションを終了してデータの盗取を防ぎます。
日本での関連事例： スマートフォンを利用したモバイルバンキングへのMitM攻撃は、国内でも被害が増加しています。金融庁のガイドラインも、こうした攻撃への対策を求めています。
3. ゼロデイ脆弱性への対応
RASPは、通常とは異なるファイルアクセスの試みなど、予期しない活動を特定・ブロックします。たとえばテキストエディタがシステム設定ファイルへのアクセスを試みた場合、RASPはそのプロセスを隔離します。
4. ルート化・脱獄デバイスからの不正アクセス防止
RASPはルート化（Android）や脱獄（iOS）を検出し、端末が危険にさらされていることを把握します。アプリはセンシティブな機能やデータへのアクセスを制限するなど、機能を自動的に限定します。
日本での関連事例： マイナンバーカードと連携するアプリや行政系アプリにおいて、改ざんされた端末からの不正アクセスリスクへの対応が求められています。
日本のセキュリティ動向とRASPの重要性
近年、日本においてもモバイルアプリを標的としたサイバー攻撃が急増しています。
- スミッシング（SMS詐欺）の急増： 宅配業者や金融機関を装ったSMSで偽のアプリインストールを誘導する手口が横行しており、警察庁・NISCが注意を呼びかけています。
- フィッシングサイトの高度化： 正規アプリに見せかけた偽アプリによる情報窃取が増加しており、アプリ自体の整合性検証が不可欠です。
- 行政・金融DXの加速： デジタル庁が推進するガバメントクラウドや電子申請の普及により、モバイルアプリのセキュリティ要件はさらに高まっています。
- サプライチェーン攻撃の増加： サードパーティのSDKやライブラリを通じた攻撃が増えており、ランタイムレベルでの保護の重要性が増しています。
RASPのメリット
カスタマイズされた保護
RASPはアプリのロジックとコンテキストを理解することで、アプリ固有のニーズに基づいたセキュリティ対策を提供します。
誤検知の低減
アプリの通常の動作を把握しているため、正当な活動と潜在的な脅威を正確に区別できます。
最小限のパフォーマンス影響
実装方法によっては、RASPはアプリのパフォーマンスにほとんど影響を与えないため、モバイル環境に適した効率的な選択肢となります。
歴史
RASPの概念は、ファイアウォールや侵入検知システム（IDS）などの従来のセキュリティ対策の限界を克服するために開発されました。これらは主に境界防御に焦点を当てており、初期防衛を突破した後の攻撃からアプリを効果的に保護するための十分なコンテキストを持っていないことが多かったためです。
RASPはサイバーセキュリティコミュニティのセキュリティ研究者や思想的リーダーたちによって、2010年代初頭に新しいアプリケーションセキュリティのアプローチとして誕生しました。
当初はWebアプリに焦点を当て、SQLインジェクション、クロスサイトスクリプティング、リモートコード実行などの攻撃をリアルタイムで特定・緩和するセキュリティ対策を、アプリまたはそのランタイム環境に直接統合することで提供しました。モバイルアプリに対しては、安全でないストレージ、リバースエンジニアリング、セッションハイジャックといったモバイル固有の脅威に関連するリスクから保護するための重要な技術として普及しました。
今後の展望
AI・機械学習との統合
RASPソリューションへの人工知能（AI）・機械学習（ML）の統合は、最も重要な技術的発展の1つです。これらの技術により、RASPはデータ入力から学習し、脅威検出精度を向上させ、セキュリティインシデントへの対応を自動化する能力が高まります。
日本国内でも生成AIを活用したモバイルアプリが急増しており、AIモデルへのプロンプトインジェクション攻撃や、on-device AIの悪用リスクへの対応として、ランタイムレベルのセキュリティはますます重要になっています。
クラウドネイティブ・マイクロサービスへの対応
クラウドネイティブアーキテクチャの採用とマイクロサービスの普及により、RASPはより複雑で分散したアプリケーション環境を効果的に保護するために進化しています。アプリがクラウドやモバイルプラットフォームに移行するにつれ、新たな脆弱性や攻撃ベクトルに直面します。特にAPIへの攻撃が急増しており、アプリケーション間の通信方法を悪用する手口が増えています。
API攻撃への対応強化
日本においてもAPI経由の攻撃は増加傾向にあります。ECサイトや金融サービス、行政系アプリなど、多様なサービスがAPI連携を前提とした設計になる中、RASPによるAPIレベルでの動作監視・保護の重要性は今後さらに高まると予想されます。
セキュリティソフトウェア用語集
| アプリケーション・ハーデニング | アプリケーションシールド | アプリの改ざん |
| 証明書のピン留め | コードの難読化 | デバイスのクローン作成 |
| フッキングフレームワーク | 脱獄 | キーロギング |
| モバイルアプリのセキュリティ | ルート化 | リバースエンジニアリング |
| ランタイム保護 | ソフトウェア開発キット | ホワイトボックス暗号化 |
Promon 関連情報
