글로벌 디지털 경제에서는 애플리케이션 기반 서비스를 고객, 소비자, 파트너 및 직원과 연결하기 위해 애플리케이션 프로그래밍 인터페이스(API)가 필요합니다. 레거시 애플리케이션, 현대화된 애플리케이션 및 신규 애플리케이션은 애플리케이션 개발을 가속화하고 출시 기간을 단축하기 위해 API 기반 아키텍처로 진화하고 있습니다. 마찰을 줄이기 위해 애플리케이션 기능을 고객에게 더 가까이 제공하려는 움직임은 분산형 아키텍처와 API 우선 운동의 출발점입니다.
안타깝게도 애플리케이션 개발에서 API를 통해 얻는 효율성은 API가 IT 기업에 초래하는 위험으로 인해 빛을 잃고 있습니다. 해커들은 API가 제대로 보호되지 않거나 전혀 보호되지 않을 경우 쉽게 침해할 수 있다는 사실을 알아냈습니다. 누구도 API에 안전한 보안 관행이 필요하다는 점에는 이의를 제기하지 않지만, API를 보호하는 최선의 방법에 대해서는 업계의 합의가 이루어지지 않았습니다. 다음은 API에 일반적으로 적용되는 수준보다 더 강력한 보호가 필요한 주요 이유 중 일부입니다.
API 취약점은 대부분 해결되지 않은 상태입니다
API에 대한 가시성과 보안 부족으로 인해 심각한 보안 침해가 점점 더 많이 발생하고 있으며, 이러한 추세는 당분간 계속될 것입니다.1 조직의 디지털화 경쟁으로 인해 제대로 보호되지 않은 API가 더 많이 프로덕션 환경에 배포될 것입니다. 많은 조직이 더 나은 설계와 코딩을 통해 API 취약점을 해결하려 하겠지만, 결국 일반 애플리케이션과 동일한 보안 문제에 직면하게 될 것입니다. 이는 일반적인 애플리케이션 개발자에게 보안이 핵심 역량이 아닌 데다, 보안 팀이 자사 환경 내의 모든 서드 파티 연동 관계를 파악하지 못할 수도 있기 때문입니다.
API 난립은 놀라울 정도로 만연해 있습니다
API 난립의 근본 원인은 거버넌스와 모범 사례를 아우르는 종합적인 전략의 부재입니다. 애자일 애플리케이션 개발로 인해 API 버전 관리 없이 동일한 API의 여러 버전이 생겨났습니다. 마이크로서비스로 전환하면서 하나의 애플리케이션이 수십 개의 API로 구성되는 결과가 초래됩니다.
관리되지 않는 API는 비인가 API, 섀도 API, 좀비 API를 만들어냅니다. 2030년에는 API 수가 20억 개에 육박해 문제가 더욱 심각해질 것입니다.2
복잡한 에코시스템에서 API를 보호하기에는 API 게이트웨이만으로는 충분하지 않습니다
오늘날에는 분산 클라우드 환경에서 운영하는 것이 일반적입니다. 그러나 전용 API 게이트웨이를 보안 제어를 위한 단일 진입점으로 사용하는 방식에는 단일 장애 지점과 성능 저하를 비롯한 한계가 있습니다. 오늘날 API 게이트웨이는 API 인프라의 핵심 구성 요소이므로, API가 확산될수록 API 게이트웨이 배포도 늘어나 API 게이트웨이 난립으로 이어진다는 점이 분명해졌습니다.
웹 애플리케이션 방화벽(WAF)은 API를 부분적으로만 보호합니다
최신 WAF는 GraphQL 및 gRPC를 비롯한 API 프로토콜에 강력한 보호 및 보안 기능을 제공하고, 심각한 소프트웨어 취약점에 대한 임시 방어책 역할도 합니다. 하지만 하이브리드 및 멀티 클라우드 아키텍처 전반에서 지능형 위협을 탐지하는 데 필요한 API 가시성을 제공하지 못하는 경우가 많습니다. 또한 많은 WAF에는 동적 API 검색, 자동화된 탐지 및 위협 완화, 테스트, OpenAPI 문서 사양의 자동화 및 적용 기능이 부족합니다.
이제 해커들이 API를 좋아하는 이유를 알았으니, API를 어떻게 보호할 수 있을까요?
규정과 표준을 활용하여 API 보호 프로젝트에 대한 지원 확보
규제 기관들은 API로 인해 발생하는 위험에 주목하고, 기업이 제3자를 포함한 IT 환경 전반에서 이러한 위험을 완화하도록 권고해 왔습니다. 미국 재무부와 소비자금융보호국(CFPB)은 API를 보호해야 하는 규제 준수 대상 기관에 강력한 지침을 제시했습니다. 표준 측면에서는 PCI DSS v4 요구 사항 6.3.2가 API 보안을 요구하며, 2007년부터 권고되어 온 NIST 800-95 웹 서비스 보안 가이드와 800-24 마이크로서비스 기반 애플리케이션 시스템을 위한 보안 전략은 안전한 API 관리를 명시하고 있습니다.
아키텍처에 집중
An API 보안 아키텍처는 멀티 클라우드, 지역별 엣지 및 서비스 계층을 포함하는 분산형 엔터프라이즈 IT 환경과의 통합을 고려해야 합니다. 솔루션은 모든 하드웨어, 가상화 환경, Docker, Kubernetes 등에 배포할 수 있어야 합니다. 또한 API가 생태계 전반에서 이동하더라도 보안 정책이 API를 계속 따르도록 해야 합니다. 다음은 API 보안을 위한 참조 아키텍처의 예입니다.
마무리하며
해커들은 API가 취약한 인증 및 권한 부여 제어를 비롯해 웹 애플리케이션과 동일한 보안 문제를 겪는다는 사실을 오래전부터 알고 있었습니다. 이들은 API 취약점을 악용하고 비즈니스 로직을 오용하며 제로데이 익스플로잇을 만들어 별다른 저항 없이 기업 IT 환경에 침투하는 데 능숙해졌습니다.
개인 데이터는 애플리케이션이나 서비스 제공업체가 아닌 개인의 소유입니다. 디지털 경제는 개방형 데이터 공유를 촉진합니다. API는 비공개, 공개, 파트너 및 제3자 데이터와 서비스를 지원합니다. 데이터 개인정보 보호 규정을 준수하려면 API에 개인정보 보호 기술을 적용해야 합니다.
Deploying an API 보안 솔루션을 제대로 배포하려면 인프라 통합과 커넥터가 필요하며, 일부는 IT 환경에 맞게 사용자 지정해야 합니다. 복잡한 배포 과정을 이해하려면 아키텍처 계획이 필요합니다. 기존 IT 엔터프라이즈 아키텍처에서 별도의 설정 없이 바로 작동하는 솔루션을 선택하면 배포 시간을 단축할 수 있습니다.
API 공격 방어에 대해 자세히 알아보려면 F5의 의뢰로 작성한 제 최신 보고서인 API 보안 솔루션 평가 가이드를 확인해 보세요. 이 보고서에서는 API 보호 솔루션을 선택할 때 고려해야 할 가장 중요한 사항을 다룹니다.
Tari Schreider, C|CISO, CRISC – Datos Insights 전략 고문
각주:
1 Ian Dinno, T-Mobile 침해 사고에서 얻은 교훈(현재까지), F5, 2023년 2월 8일
2 Rajesh Narayanan, Mike Wiley, 지속적인 API 확산, F5, 2021년 11월 4일
3 Rajesh Narayanan, 분산 게이트웨이 주체: 진화하는 API 관리, F5, 2023년 6월 23일
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.