앱 보안이냐 API 보안이냐? 봇은 가리지 않습니다. 디지털 자산을 보호하세요

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

깜짝 퀴즈입니다. 다음 엔드포인트 중 어느 것이 API에 속하고, 어느 것이 앱에 속할까요?

https://www.example.com/product

https://www.example.com/product

혼란스러워서 판단하기 어렵더라도 괜찮습니다. 바로 그게 핵심입니다. 앱 엔드포인트와 API 엔드포인트는 거의 똑같아 보입니다. 기술적으로 RESTful 방식이라면(대부분 그렇습니다) HTTPS를 통해, 일반적으로 GET 메서드로 동일하게 호출되기 때문입니다. 흔히 차이가 나는 부분은 요청과 함께 전송되는 페이로드입니다. API의 경우 일반적으로 JSON 또는 XML 형식의 데이터가 포함되지만, 웹 앱 요청에는 아무것도 포함되지 않을 수도 있습니다.

그럼에도 불구하고 당사의 연례 조사에서 도출된 주요 결과 중 하나는 조직들이 보안 측면에서 API를 애플리케이션과 다르게 취급한다는 점을 시사합니다. 이러한 해석은 조직의 41%가 애플리케이션 수와 비교해 적어도 동일하거나 더 많은 수의 API를 보유하고 있으면서도, 이를 보호하는 동일한 보안 서비스에는 더 낮은 가치를 부여한다는 조사 결과에 근거합니다.

조직이 어떻게 애플리케이션보다 더 많은 API를 보유하게 되는지 궁금하실 수 있습니다. 좋은 질문입니다! 내부 서비스 간 통신(마이크로서비스 방식)에 사용되는 API는 이를 지원하는 서비스와 긴밀하게 결합되어 있지만, 외부 인터페이스를 제공하는 데 API를 사용하는 경우에는 반드시 그렇지만은 않습니다.

API는 어디에서 비롯될까요?

2021년 조사에서 응답자의 61%가 현대화 방법으로 “최신 사용자 인터페이스를 지원하기 위해 API 계층을 추가하고 있다”고 답했습니다. 2022년에는 이 수치가 45%였습니다. 이는 최신 사용자 인터페이스를 지원하는 API가 반드시 애플리케이션에 직접 연결된 구성 요소인 것은 아니라는 의미입니다. 이러한 API는 모바일 앱이나 디지털 서비스와 같은 최신 사용자 인터페이스와 애플리케이션을 지원하는 파사드일 수도 있고, 파트너 및 공급망과의 통신을 지원하도록 설계된 파사드일 수도 있습니다. 이러한 사용 사례는 API 게이트웨이와 로드 밸런서의 레이어 7 라우팅을 통해 지원됩니다. 이들은 대개 API 엔드포인트를 앱 엔드포인트로 변환할 수 있는 일정 수준의 변환 기능을 제공하며, 이를 통해 실제보다 훨씬 더 인상적으로 보이게 만든 미국 서부 개척 시대 건물의 정면처럼 API 파사드를 구현할 수 있습니다.

물론 상당수의 API는 앱에 연결된 공개 엔드포인트로, 웹(일반적으로 HTTPS)을 통해 액세스됩니다.

어떤 경로로 공개되었든, 외부에 노출된 API는 애플리케이션과 마찬가지로 다양한 공격의 대상이 됩니다. 특히 봇이 개입하는 경우에는 더욱 그렇습니다. 문서가 잘 갖춰진 API는 공격자가 대규모 공격을 스크립트로 자동화하기 쉽게 만들기 때문입니다.

예를 들어, 2023년에 F5 Distributed Cloud Bot Defense의 보호를 받은 트랜잭션 중 13%가 조금 넘는 비율이 자동화된 트랜잭션이었습니다. 즉, 사람이 웹 브라우저나 모바일 앱을 사용하는 대신 스크립트나 소프트웨어가 사용되었습니다. 이러한 트랜잭션은 API와 앱 모두를 통해 발생합니다. 이러한 자동화된 트랜잭션 중 일부는 분명 ‘악성 봇’에 의한 것이었으며, 당사의 보안 서비스가 이들이 시도하던 악의적인 행위를 하지 못하도록 차단했습니다. (이들이 무엇을 시도했는지는 이 F5 Labs 보고서에서 자세히 알아볼 수 있습니다.)

그래서 응답자들이 자체 보고한 API 수를 기준으로 봇 관리를 어떻게 인식하는지 살펴본 결과, 봇 관리의 중요도가 상당히 낮다는 사실에 다소 놀랐습니다.

이 멋진 막대 차트를 보면 API 게이트웨이에 부여되는 중요도는 관리 중인 API 수에 비례하는 것으로 보이지만, 봇 관리의 경우는 그렇지 않다는 것을 알 수 있습니다. 사실은 정반대입니다! API 수가 늘어날수록 봇 관리의 중요도는 낮아지는 것으로 보입니다. 그것도 빠르게 말이죠.

물론 이러한 API의 대부분이 내부용일 수도 있습니다. 즉, 악의적인 봇일 수 있는 외부 행위자에게 노출되지 않고 마이크로서비스 간에 통신하는 이스트-웨스트 API라는 뜻입니다.

하지만 꼭 그렇지만은 않을 수도 있습니다. 지난 1년 동안 공격자가 API를 통해 접근 권한을 얻었다는 기사를 많이 접한 점을 고려하면, 우리가 생각하는 것보다 외부에 노출된 API가 훨씬 더 많을 것으로 보입니다.

따라서 이제 사람들에게 다시 한번 상기시킬 때입니다. 시중에는 그린치 봇, 스니커 봇 등 수요가 높은 상품을 싹쓸이해 비즈니스를 방해하는 성가신 봇이 여럿 있지만, 취약점을 찾아내 공격하는 것만을 목적으로 하는 봇도 상당히 많습니다. API와 애플리케이션 모두에서 말입니다.

따라서 조직은 API를 보호하고 궁극적으로 비즈니스를 지키기 위해 모든 범위의 보안 옵션을 활용하는 것이 좋습니다. 봇 관리는 분명 이러한 보안 옵션 중 하나이며, 모든 보안 전략의 핵심 구성 요소로 고려해야 합니다.

결국 봇은 해당 엔드포인트가 앱에 속하는지 API에 속하는지 신경 쓰지 않습니다. 둘 다 공격할 것입니다.

즉, 조직은 봇을 탐지하고 이들이 시도하는 악의적인 행위를 차단하여 앱과 API를 모두 보호해야 합니다.

봇 방어가 실제로 어떻게 작동하는지 확인하려면 이 데모를 살펴보세요.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물