에어갭 환경에서도 모든 환경에 걸쳐 API 보안 위험은 여전히 존재합니다

Ian Dinno수석 제품 마케팅 매니저 | F5

클라우드 도입이 확대되고 있음에도 불구하고, 많은 조직이 여전히 하이브리드 멀티클라우드 전략을 유지하고 있습니다. 2026년 애플리케이션 전략 현황 보고서에 따르면, 현재 조직의 93%가 하이브리드 환경을 운영하고 있으며, 86%는 온프레미스, 퍼블릭 클라우드 및 코로케이션 인프라 전반에 걸쳐 애플리케이션을 배포하고 있습니다.

하지만 조직마다 환경을 조합하는 방식은 동일하지 않습니다. 은행, 의료, 정부와 같이 규제가 엄격한 산업과 데이터 주권법이 엄격한 지역에서는 상당수의 앱과 민감한 데이터가 온프레미스 또는 외부 네트워크와 완전히 격리된 환경에 그대로 남아 있습니다.

모든 앱과 데이터가 클라우드로 이전되는 것은 아닙니다

그 이유는 무엇일까요? 규정 준수 의무, 보안, 비용 관리, 복원력 등 갈수록 다양해지는 우려로 인해 조직들이 하이브리드 및 온프레미스 앱 아키텍처를 유지하고 있기 때문입니다. 디지털 운영 복원력법(DORA), 네트워크 및 정보 시스템 지침 2022/2555(NIS2), 일반 데이터 보호 규정(GDPR), 건강보험 양도 및 책임에 관한 법률(HIPAA)과 같은 규제 체계와 새롭게 등장하는 국가 데이터 주권 의무는 데이터의 저장 위치와 통제 방식에 대한 엄격한 거버넌스를 요구합니다. 이러한 규정에 따라 핵심 앱과 민감한 데이터를 법적으로 통제 가능한 지역 내에 저장해야 하는 경우가 많습니다.

또한 조직들은 클라우드의 경제성을 재평가하고 있습니다. 사용량에 따른 비용 증가, 데이터 송신 요금, 운영 복잡성 등의 문제로 인해 일부 워크로드는 예측 가능성과 관리·감독 수준을 높이고 비용 효율성을 개선하기 위해 다시 온프레미스 또는 프라이빗 클라우드 환경으로 이전되고 있습니다.

AI 기반 워크로드는 이러한 추세를 더욱 가속화하고 있습니다. 데이터 세트의 규모가 커질수록 환경 간 데이터 이동에 따른 비용과 위험도 증가합니다. "데이터 중력"으로 인해 컴퓨팅 리소스가 이미 온프레미스에 저장된 데이터에 더 가까이 배치되면서, 주권, 거버넌스, 성능 및 보안을 우선시하는 아키텍처가 더욱 강화되고 있습니다.

온프레미스라고 해서 "안전한" 것은 아닙니다

앱과 데이터를 온프레미스 또는 에어갭 환경에 보관한다고 해서 모든 보안 위험이 저절로 사라지는 것은 아닙니다. 실제로 내부 API는 거버넌스와 가시성이 부족한 경우가 많아 악용될 수 있는 취약점이 발생합니다.

내부 API는 내부 시스템, 애플리케이션 및 데이터를 연결하는 현대적인 앱(비공개 및 공개 앱 모두)의 핵심 생명선입니다. 하지만 외부에 공개되는 API와 달리 내부 API는 충분한 모니터링이나 보호 조치 없이 관리의 사각지대에 놓일 수 있습니다.

이러한 보안상의 허점으로 인해 내부 API는 매력적인 공격 대상이 됩니다. 악의적인 내부자나 외부 공격자를 비롯한 위협 행위자는 취약한 액세스 제어나 불충분한 인증과 같은 취약점을 악용하여 다음과 같은 문제를 일으킬 수 있습니다:

• 네트워크 내에서 측면 이동을 통해 민감한 시스템과 데이터에 접근할 수 있습니다.
• 권한 상승을 통해 공격자가 중요 리소스를 제어할 수 있습니다.
• 핵심 워크플로에 지장을 주는 운영 중단.
• 개인 식별 정보(PII) 또는 지적 재산을 포함한 민감한 정보의 대규모 탈취.

애플리케이션과 시스템 간 데이터 흐름을 지원하는 내부 API는 현대 디지털 운영의 중추를 이루며, 외부 API와 마찬가지로 엄격한 보호가 필요합니다. 이러한 API를 소홀히 하면 조직의 아킬레스건이 될 수 있으며, 공격자가 핵심 시스템 내부에서 발각되지 않은 채 이동하면서 민감한 데이터에 접근하고 이를 외부로 유출해도 전혀 알아차리지 못할 수 있습니다.

내부 API의 숨겨진 위험 해결

F5는 내부 API와 관련된 중대한 위험을 잘 알고 있으며, 이에 맞춤형 솔루션을 개발했습니다. 바로 F5 API Security Local Edition입니다.

새롭게 배포 가능한 이 소프트웨어 솔루션은 조직이 외부 연결이나 클라우드 기반 서비스에 의존하지 않고 로컬 환경 내에서 API를 검색하고 API 활동을 분석할 수 있도록 지원합니다.

이 솔루션은 에어 갭, 규제 또는 클라우드 제약 환경에서 운영되는 API에 필수적인 가시성과 거버넌스 및 감독 기능을 제공합니다. F5 BIG-IP 어플라이언스 또는 소프트웨어를 배포한 조직은 기존 트래픽 경로를 통해 잠재적인 보안 위험을 비롯한 API 관련 실질적인 인사이트를 확보할 수 있습니다.

앱별 개별 API를 확인하고 손쉽게 상세 분석할 수 있으며, 각 API의 위험 점수를 파악하여 인증 미비, 개인 식별 정보(PII) 노출, 상태 및 구조적 위험을 비롯한 다양한 위험 요소를 더욱 정확하게 이해할 수 있습니다.

조직의 자체 인프라에 있는 컨테이너 내에서 완전히 실행되도록 설계된 API Security Local Edition은 BIG-IP에서 샘플링한 트래픽 기반 API 데이터를 활용하여 가볍고 수동적인 API 검색 기능을 제공합니다. 외부 연결 없이도 운영할 수 있도록 로컬 스토리지, 분석 및 운영 제어 기능을 갖춘 에어 갭 환경 전용 솔루션입니다. 조직은 데이터 센터, 프라이빗 클라우드 및/또는 에어 갭 환경 등 어디에나 핵심 API 보안 기능을 배포할 수 있습니다. 이 솔루션은 중요한 시스템과 워크플로를 지원하고 민감한 데이터에 대한 액세스 또는 전송을 가능하게 하는 API를 보호하는 데 필요한 핵심 가시성과 감독 기능을 제공하여, 조직의 핵심 애플리케이션 에코시스템 내에서 무단 액세스, 알려지지 않은 측면 이동 또는 데이터 도난이 발생할 가능성을 줄여 줍니다.

내부 API 보안 및 제어

오늘날의 복잡한 애플리케이션 생태계에서 비공개 내부 API를 보호하는 것은 더 이상 선택이 아니라 필수입니다. API 보안 위험은 온프레미스 데이터 센터, 프라이빗 클라우드, 에어갭 환경에서도 여전히 존재합니다. 외부/공개 API와 마찬가지로 관리되지 않는 내부/비공개 API는 숨겨진 취약점이 되어 가장 중요한 시스템과 민감한 데이터를 위험에 빠뜨릴 수 있습니다.

이러한 API가 안전하다는 착각이 아킬레스건이 되도록 방치하지 마세요. API Security Local Edition이 귀사와 같은 조직에서 이러한 중요 환경 전반의 API 활동에 대한 필수적인 가시성과 거버넌스, 통제력을 확보할 수 있도록 어떻게 지원하는지 알아보세요.

API Security Local Edition에 대해 자세히 알아보려면 솔루션 개요를 확인하세요. 또한 보도 자료도 꼭 확인해 보세요.

작성자 소개

Ian Dinno수석 제품 마케팅 매니저 | F5

Ian Dinno의 다른 블로그 게시물