API 태세에 대해 물어봐야 할 15가지 질문

Chuck Herrin

오늘 여러분께 털어놓을 비밀이 하나 있습니다. 지난 20년 동안 최고정보보호책임자(CISO) 직책을 여섯 차례 정도 맡았지만, 보안 침해 사고 때문에 저를 영입한 곳은 단 한 곳뿐이었습니다. 단 한 곳이었습니다.

나머지 다섯 번은 퇴사로 인한 공석이 생겼거나, 주요 이해관계자들의 신뢰를 잃어 기존 담당자가 교체된 경우였습니다. 무려 절반이 보안 침해가 아니라 신뢰 상실로 인해 교체되었습니다.

CISO가 API 환경을 이해해야 하는 이유

API 보안 영역에서 CISO가 자사의 API 노출 현황을 파악해야 하는 이유는 몇 가지 명확한 문장으로 요약할 수 있습니다.

먼저, 특정 환경에 대한 위협 모델을 만들려면 자산, 행위자, 인터페이스, 작업이라는 네 가지 요소를 파악해야 합니다. 다시 말해, “누가 무엇을 대상으로 어떤 경로를 통해 무엇을 하는가?”입니다.

둘째, API의 ‘I’는 ‘인터페이스(interface)’를 뜻합니다. 애플리케이션 프로그래밍 인터페이스는 다양한 플랫폼, 언어 및 프레임워크에서 널리 사용되며, 거의 모든 최신 소프트웨어 개발은 API 우선 방식으로 이루어집니다. 여러분의 환경에도 API가 반드시 존재합니다.

셋째, CISO로서 내부에서든 웹 및 모바일 앱을 통해서든 민감한 데이터를 노출하고 제공하는 인터페이스의 목록을 보유하고 있지 않다면, 위협 모델이 불완전하며 서비스와 데이터가 노출되는 지점을 파악하지 못하는 사각지대가 생깁니다.

마지막으로, 불완전한 위협 모델은 포괄적인 보안 감독과 상당한 주의를 기울였음을 입증하는 데 미흡합니다. 이 두 가지는 감사인과 규제 기관이 제대로 이행되도록 보장해야 하는 핵심 영역입니다. 이들은 주어진 환경의 자산, 행위자, 인터페이스 및 활동을 정확히 파악하고 관리하도록 할 책임이 있습니다.

API 보안 노출 수준 평가

F5는 고객이 언제나 그 자리에서 가장 뛰어난 전문가가 되기를 바랍니다. 이에 현재 API 에코시스템의 상태를 평가하는 데 활용할 수 있는 간단한 질문 목록을 마련했습니다. 지금 이 질문들에 답해 두면 향후 현장 검사나 외부 감사에서 관련 질문을 받더라도 대비할 수 있습니다.

저는 여러 기관의 규제 당국자 및 심사관들과 이 질문들을 직접 공유해 왔습니다. 이제 미국 연방통신위원회가 API 문제를 구체적인 사유로 벌금과 동의명령을 부과하기 시작했고, 현행 결제 카드 산업 데이터 보안 표준(PCI DSS) 4.0 이상 버전에서도 특히 개발 단계의 API 규정 준수를 요구하고 있는 만큼, 보안 담당자들이 이러한 질문에 대한 답변을 미리 준비해 두기에 지금보다 더 좋은 때는 없습니다.

모든 질문에 답할 수 없더라도 현재 상황을 정확히 파악하고 선제적인 태도를 보여주는 것은 CISO에게 매우 중요합니다. API 보안 태세를 제대로 이해하고 지속적으로 발전시키고 있음을 입증하면, 그동안 어렵게 쌓아 온 신뢰를 지킬 수 있습니다.

다음은 쉬운 항목부터 어려운 항목까지 정리한 목록입니다. 원하는 만큼 목록을 진행하기 어렵다면 F5 고객 담당 팀에 문의해 주세요. 저희가 도와드리겠습니다.

1. 우리 회사의 API 보안은 누가 담당하나요?
2. 각 API에 담당자가 지정되어 있나요?
3. API를 통해 발생하는 매출은 전체 매출의 어느 정도인가요?
4. 우리는 몇 개의 API를 보유하고 있나요?
5. 이 중 활발하게 사용되는 API는 몇 개이고, 사용되지 않는 API는 몇 개인가요?
6. 그중 몇 개가 가장 흔한 10대 API 문제에 취약합니까?
7. 당사의 침투 테스트는 프로덕션 환경의 API 취약점과 비즈니스 로직에 대한 공격을 충분히 다루고 있습니까?
8. 당사의 API 중 법률 또는 규제 준수 대상 데이터를 전송하거나 수신하는 것은 무엇입니까?
9. 악성 트래픽이 감지되고 있나요? 어떤 API 엔드포인트에서 발생하고 있나요?
10. 당사의 전반적인 API 보안 위험 수준은 어느 정도인가요? 지난해 이맘때와 비교해 개선되었나요, 아니면 악화되었나요?
11. 다른 팀보다 API 문제를 더 많이 발생시키는 개발팀이 있습니까? 이들은 API 보안 문제에 관해 어떤 교육을 받고 어떻게 피드백을 제공받습니까?
12. 코드 및 API 변경 사항을 프로덕션에 반영하기 전에 검토하는 절차가 있나요?
13. API에서 탐지된 보안 이벤트에 대한 알림은 누가 받나요?
14. 프로덕션 API 중 하나에서 객체 수준 권한 부여 취약점(BOLA) 공격이 탐지되었을 때 평균 대응 시간은 몇 분입니까?
15. 마지막으로, 목록 맨 위의 기본적인 질문으로 돌아가 보겠습니다. API 보안을 담당한다고 우리가 생각하는 사람들이 자신이 담당자라는 사실을 알고 있으며 이에 동의하고 있습니까?

보안 태세 강화

평가하는 것은 API 환경과 API가 초래할 수 있는 잠재적 위협을 평가하는 것은 보안 사각지대를 파악하고 보안 태세를 강화하기 위한 첫걸음입니다.

이번 주 캘리포니아주 산타클라라에서 열리는 API World에 F5와 함께해 API에 관한 모든 것을 알아보세요. 저는 동료 두 명과 함께 목요일 오후 1시(태평양 표준시)에 열리는 공개 세션 ‘AI의 세계는 API의 세계: 최첨단 현대식 앱 보호’에서 발표할 예정이며, 동일한 세션이 11월 14일 목요일 오후 1시에 온라인으로도 진행됩니다.

F5는 11월 12일 화요일 오전 9시에 가상 세션인 “API CTF: API 보안의 재미있는 기초 배우기”도 개최합니다.

API World에 참석하지 않으시나요? 그렇다면 저희 API 보안 데모를 확인해 보세요.

작성자 소개

Chuck Herrin

Chuck Herrin의 다른 블로그 게시물