APIセキュリティのおすすめ本3選｜脆弱性診断・認証認可・仕組み
「Web APIを公開したけれど、どこに脆弱性が潜んでいるのか分からない」「OAuthやOpenID Connectの違いが曖昧なまま実装している」「認可の設定ミスで他人のデータが見えてしまわないか不安」――APIはWebサービスやスマホアプリの裏側で欠かせない存在になった一方で、攻撃の入り口にもなりやすい部分です。
APIセキュリティの難しさは、APIの仕組み、認証・認可（誰が・何をしてよいか）の設計、脆弱性を見つけるテストという3つの知識がそろって初めて守れる点にあります。どれか1つだけでは、設計の穴やテスト漏れが生まれやすくなります。
この記事では、この3つの知識にそれぞれ対応する本を1冊ずつ紹介します。
- APIセキュリティを学ぶのにおすすめの本3冊と、それぞれが向いている人
- 脆弱性診断・認証認可・APIの仕組みの目的別の選び方と比較表
- 攻撃者視点の本を読むときに守るべきルール
- OWASP API Security Top 10など、あわせて確認したい資料
結論：APIの脆弱性を見つけて防ぐ方法を学ぶなら「ハッキングAPI」、OAuth/OpenID Connectで認証・認可を正しく実装したいなら「認証と認可 Keycloak入門」、クラウドとAPIの仕組みから理解したいなら「絵で見てわかるクラウドインフラとAPIの仕組み」がおすすめです。
にわとり頭です。APIセキュリティは「攻撃を知る」「正しく作る」「仕組みを理解する」の3つがそろって初めて守れます。今回はその3つの観点で1冊ずつ選びました。
APIセキュリティのおすすめ本3選
学びたい内容から選べるよう、3冊を目的別に整理しました。
目的別の比較表
| 書籍（刊行年） | 向いている目的 | 特徴 | 注意点 |
|---|---|---|---|
| ハッキングAPI（2023年） | APIの脆弱性を見つけて防ぐ | Web APIの基本から、脆弱性の種類とテスト方法を攻撃者の視点で解説 | 演習は許可を得た環境で行う必要がある |
| 認証と認可 Keycloak入門（2022年） | 認証・認可を正しく実装する | OAuth/OpenID Connectの仕組みから、Keycloakでの実装・本番運用まで解説 | Keycloak（OSS）を題材にしているため、他製品では読み替えが必要 |
| 絵で見てわかるクラウドインフラとAPIの仕組み（2016年） | クラウドとAPIの仕組みから理解する | 特定サービスに依存しないクラウドの構成と、インフラをAPIで制御する仕組みを図解 | 刊行から年数が経っており、各クラウドの最新サービスは公式情報で補う |
選定基準・確認範囲：本記事は、各書籍の出版社ページ・販売ページの書誌情報（目次・内容紹介・刊行年）をもとに、学べるテーマと対象読者を整理した選書ガイドです。攻撃手法を扱う本は、防御と許可されたテストのための学習を前提に紹介しています。価格・在庫・版は変わる場合があるため、購入前に販売ページでご確認ください。
ハッキングAPI ―Web APIを攻撃から守るためのテスト技法
Corey Ball氏によるWeb APIのセキュリティテストの解説書です（石川朝久氏訳、オライリー・ジャパン、2023年3月刊行、432ページ）。Web APIの基本を押さえたうえで、脆弱性が存在しないかをテストする方法を、攻撃者（APIハッカー）の視点から学べます。
この本が優れているのは、「どこが狙われるのか」を知ることで、設計やテストの段階で穴をふさげるようになる点です。APIの呼び出しはWebトラフィックの大きな割合を占めるようになっており、開発者・診断担当者の両方にとって、守る側の視点を養う一冊になります。
※購入前に確認したい点
攻撃者の視点でテスト技法を解説している本です。紹介されている手法は、自分が管理する検証環境や、所有者から許可を得た範囲でのみ試してください。
- Web APIの脆弱性診断やテストを担当する方
- API開発者として攻撃に強い設計を身につけたい方
- OWASP API Security Top 10を実務に落とし込みたい方
認証と認可 Keycloak入門 OAuth/OpenID Connectに準拠したAPI認可とシングルサインオンの実現
中村雄一氏ら8名による、リックテレコムの解説書です（2022年1月刊行、464ページ）。Webシステムに認証と認可を組み込むOSS「Keycloak（キークローク）」を題材に、使いこなしの前提となる認証と認可の仕組みを基礎から解説し、典型的なユースケースや本番システムへの実装方法まで扱っています。
この本の強みは、OAuth 2.0やOpenID Connectといった規格の考え方を、実際に動く仕組みとして理解できることです。APIの事故で多い「認可の設定ミス」を防ぐには、トークンの流れやスコープの意味を正しく理解することが欠かせず、その土台づくりに向いています。
- APIの認証・認可やシングルサインオンを実装する方
- OAuth/OpenID Connectの仕組みを基礎から理解したい方
- Keycloakの導入を検討している方
絵で見てわかるクラウドインフラとAPIの仕組み
平山毅氏による、翔泳社の解説書です（2016年2月刊行、361ページ）。IaaSを中心に、クラウド共通の機能や内部構成、アーキテクチャと、その重要な構成技術であるAPIの仕組みを図解で解説しています。
この本が優れているのは、「クラウドではインフラをAPIで操作する」という本質を、特定サービスに依存せず理解できる点です。APIセキュリティを考える前提として、APIがシステムのどこでどう使われているのかを押さえたい方に向いています。
※購入前に確認したい点
2016年刊行のため、各クラウドサービスの機能や画面は現在と異なる部分があります。考え方の理解に使い、具体的な設定は各サービスの公式ドキュメントで確認しましょう。
- APIやクラウドの仕組みを基礎から理解したい方
- インフラエンジニアとしてクラウドの全体像をつかみたい方
- APIセキュリティを学ぶ前に前提知識を固めたい方
APIセキュリティを学ぶときにあわせて確認したい資料
書籍で全体像をつかんだら、無料で公開されている資料で最新の脅威も確認しておきましょう。
- OWASP API Security Project：APIに特有のリスクをまとめた「API Security Top 10」を公開しています（英語）。設計レビューやテスト項目の洗い出しに役立ちます。
- 各サービスの公式ドキュメント：API GatewayやIDaaSなど、利用中のサービスのセキュリティ設定は公式情報で確認しましょう。
APIセキュリティのおすすめ本3選 まとめ
迷ったら、次の順番・目的で選ぶのがおすすめです。
- 仕組みから知りたい：「絵で見てわかるクラウドインフラとAPIの仕組み」で、APIがどこでどう使われるかをつかむ
- 正しく作りたい：「認証と認可 Keycloak入門」で、OAuth/OpenID Connectによる認証・認可を理解する
- 穴を見つけて防ぎたい：「ハッキングAPI」で、攻撃者の視点からテストの観点を学ぶ
Web APIのテストを含む脆弱性診断の全体像はペネトレーションテストのおすすめ本、認証の土台となる暗号技術は暗号化技術のおすすめ本でも紹介しています。セキュリティの知識をキャリアに活かしたい方は、社内SEのセキュリティ担当へ転職する方法もあわせてご覧ください。
本の版・在庫は購入前に販売ページでご確認ください。APIセキュリティの学び方についてのご質問は、お問い合わせページからお寄せください。
OTセキュリティ対策におすすめの本 5選 - OSINTの理解・実践におすすめの本
- APIセキュリティの理解におすすめの本 3選
- Jenkinsを理解するのにおすすめの本 3選
- CSIRTを理解するのにおすすめの本 3選
