모놀리식 애플리케이션에서 마이크로서비스 생태계로의 전환으로 인해 API는 전략적이면서도 핵심적인 통제 지점이 되었습니다. 반면 웹 애플리케이션 방화벽(WAF)은 HTTP 기반 애플리케이션을 보호하는 주요 도구로 사용되어 왔지만, API에는 적절한 규정 준수, 보안 및 감사를 위한 동등한 통제 수단이 부족했습니다. API 및 비인간 트래픽이 웹 앱 트래픽을 넘어서면서 보안 통제 역시 발전해야 합니다. 보안 리더는 새롭게 부상하는 동향을 API 보호에 대해 더 자세히 알아볼 기회이자 조직 내 API 보안 개선을 추진하는 수단으로 활용해야 합니다.
API의 폭발적 증가는 전방위적으로 나타나고 있습니다 – API의 확산은 계속될 것입니다. 또한 API를 배포하는 주체가 DevOps 팀에만 국한되지 않을 수도 있습니다. 마케팅 팀과 같은 조직 내 다른 부서에서도 자체 API를 공개하거나 마케팅 활동의 일환으로 타사 API를 사용할 수 있습니다. 보안 팀에게는 현재 사용 중인 API의 정확한 목록을 파악하는 것이 매우 중요한 첫 단계입니다.
협업이 핵심입니다 – 보안 팀은 DevOps와 협력하여 적절한 API 보안 제어를 설계하고 구현해야 합니다. DevOps는 빠르게 움직이기를 원합니다. 보안 팀은 DevOps의 업무 방식을 이해하고 중앙에서 관리할 수 있으며 CI/CD 프로세스에 자동화할 수 있는 보안 제어를 도입해야 합니다.
API 게이트웨이 보안은 뒤처져 있습니다 – 오늘날의 API 게이트웨이는 일반적으로 인증, 버전 관리, 분석(사용량 측정 및 청구)에 중점을 둡니다. 이러한 보안 제어는 중요하지만 API를 완벽하게 보호하지는 못합니다. 충분한 API 보안을 위해서는 인증 서비스 공격, 계층 7 DoS, 데이터 유출, 익스플로잇, 인젝션 및 이상 징후를 방어할 수 있어야 합니다.
직접적인 공격 표적이 된 API, 여전히 취약
API는 오늘날 디지털 비즈니스 플랫폼의 핵심이자 중요한 제어 지점입니다. API는 일반적으로 외부에 노출되어 비즈니스 파트너, 고객 및 마이크로서비스가 액세스할 수 있도록 설계됩니다. 웹 애플리케이션과 마찬가지로 API도 적절히 보호해야 하는 민감한 데이터로 통하는 관문이 될 수 있습니다. Venmo, Facebook, Salesforce 등의 조직에서 최근 발생한 API 관련 사고는 API 보안의 중요성을 일깨워 주는 사례입니다. F5 Labs에서는 주목할 만한 API 관련 사고를 추가로 여기에서 소개합니다.
많은 기술 발전이 그렇듯 보안은 뒤처지는 경우가 많습니다. API 보안도 예외는 아닙니다. API 중심 경제가 빠르게 성장하는 가운데, 보안 전문가는 API 보안 문제를 해결하는 데 따르는 방대한 업무량과 빠른 변화 속도, 복잡성으로 인해 어려움을 겪을 수 있습니다.
API의 대규모 확산은 계속될 것입니다. 애플리케이션이 비즈니스의 중심으로 자리 잡으면서 API의 확산은 계속해서 급증할 것입니다. Programable Web API 디렉터리에 게시된 API 수는 2019년에 빠르게 증가했으며, 매달 수백 개의 새로운 API가 추가되었습니다. 특히 각 산업 분야에서 API 기반 상호 운용성을 추진함에 따라 이 수치는 계속 증가할 것으로 예상됩니다. EU의 PSD2(개정 지급결제서비스지침)가 좋은 예입니다.
보안은 CI/CD 파이프라인의 속도에 발맞춰야 합니다. ‘버전 관리’를 지원하는 API 게이트웨이를 사용하면 API 제공업체는 기존 클라이언트 통합을 중단하지 않고도 새로운 기능을 지속적으로 추가할 수 있습니다. 이는 CI/CD에 매우 유용하지만, 보안으로 인해 프로세스가 지연되면 비즈니스에 직접적인 영향을 미치고 애자일 개발의 이점을 상쇄할 수 있습니다. 이러한 환경의 속도에 발맞추려면 보안 제어를 자동화하고 릴리스 프로세스에 통합하여, 보안 팀이 릴리스 주기에 영향을 주지 않으면서 공통 제어를 중앙에서 적용할 수 있도록 해야 합니다.
분산된 API 보안 소유권도 한 가지 요인입니다. API는 모바일 앱, 마이크로서비스, 클라우드 및 온프레미스 등 조직 전반에서 사용됩니다. 조직 전체의 가시성과 API 인벤토리 관리 역량은 아직 발전 중이므로 일부 API는 보안 팀의 관리 범위에서 벗어나 있습니다. 조직 전반의 리더와 이해관계자에게 일관된 보안 관행과 통제를 시행하는 방법을 교육해야 합니다.
API 게이트웨이 보안은 아직 성숙하지 않았습니다. 현재 MuleSoft, Google(Apigee), Kong, Istio, Oracle 등 많은 공급업체가 API 게이트웨이를 제공하고 있습니다. 이러한 제품은 버전 관리, 라우팅, 분석/사용량 측정, 인증 등 API 게이트웨이에 필요한 기능을 제공합니다. 각 제품마다 고유한 강점과 부가 가치가 있지만, 액세스 위반, 인젝션, DoS, 익스플로잇을 방지하는 종합적인 보안 제어를 다른 보안 게이트웨이 서비스와 함께 구현해야 합니다.
_____
이제 배경을 살펴보았으니, 다음 주에 게시될 블로그 글(여기에 링크 추가)에서 위에서 설명한 과제를 해결하기 위해 무엇을 할 수 있는지 자세히 알아보겠습니다…
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.