API를 사용하면 서비스를 통합하고 데이터를 연결하거나 업데이트하기가 더 쉬워지므로 현대 애플리케이션에서 널리 활용되고 있습니다. 조직이 애플리케이션 포트폴리오를 지속적으로 현대화함에 따라 사용되는 API의 수는 2031년까지 10억 개를 넘어설 것으로 예상됩니다.1이러한 모든 API를 추적하는 것조차 쉽지 않으며, 보안까지 확보하는 것은 더욱 어려운 과제입니다. 이로 인해 조직은 환경 내에서 관리되지 않는 수많은 ‘섀도우’ API를 처리해야 하는 상황에 놓이게 됩니다.
안타깝게도 공격자들은 API가 애플리케이션보다 더 쉬운 공격 대상인 경우가 많다는 사실을 알아냈습니다. F5의 분석에 따르면 웹 기반 사이버 공격의 90%가 API 엔드포인트를 표적으로 삼는다는 점이 이를 뒷받침합니다.2관리되지 않는 API는 보이지 않는 대상을 보호할 수 없다는 점에서 특히 큰 위험을 초래합니다. 또한 많은 API가 애플리케이션을 개발하는 팀과 다른 팀이나 심지어 다른 회사에서 구축되므로 잠재적 위험을 파악하기가 어렵습니다.
API와 공동 책임 모델 살펴보기
대규모의 API를 효과적으로 관리하고 보호하려면 다계층 솔루션이 필요합니다. AWS 사용자를 위한 Amazon API Gateway는 개발자가 규모에 관계없이 API를 생성, 게시, 유지 관리, 모니터링 및 보호할 수 있도록 지원하는 완전관리형 서비스입니다. API Gateway는 다양한 백엔드 통합을 지원하므로 컨테이너 기반, 서버리스 및 기존 인스턴스 기반 워크로드를 사용할 수 있습니다.
하지만 보안은 AWS와 고객이 공동으로 책임져야 합니다. AWS는 인프라와 서비스를 보호할 책임이 있으며, 고객 역시 자신의 데이터와 애플리케이션을 안전하게 보호해야 합니다.
AWS는 다음과 같은 보안 설계 원칙을 권장합니다.3
- 완화: 분산 서비스 거부 (DDoS) 공격의 영향
- Implement inspection and protection using a 웹 애플리케이션 방화벽(WAF)을 사용하여 검사 및 보호 구현
- 준실시간 모니터링을 통해 감사 및 추적 기능을 활성화합니다
- 보안 모범 사례 자동화
- 심층 방어 접근 방식을 위해 모든 계층에 보안을 적용하세요
F5로 AWS의 API 보호
AWS 파트너인 F5는 Amazon API Gateway와 연동하여 앱과 API를 보호하는 보안 기능을 제공합니다. F5 BIG-IP Advanced WAF 또는 F5 Distributed Cloud WAF는 Amazon API Gateway 또는 API 서비스에 접근하려는 악성 트래픽을 식별할 수 있습니다. WAF는 Amazon API Gateway의 앞단이나 뒷단에 배포할 수 있습니다. 하지만 게이트웨이 앞단에 배포하면 비용을 발생시키는 악성 API 호출을 차단할 수 있다는 추가적인 이점이 있습니다.
F5 WAF 솔루션은 행동 분석을 사용하여 위협을 정확하게 식별하고, 계층 7 DoS 완화, 애플리케이션 계층 암호화 및 위협 인텔리전스 서비스를 제공합니다. WAF를 배포하면 OWASP Top 10에 포함된 공격을 비롯한 다양한 공격으로부터 애플리케이션과 API를 보호할 수 있습니다.
API 보호를 위한 또 다른 중요한 요구 사항은 검색입니다. F5 Distributed Cloud API Security를 CI/CD 파이프라인과 통합하여 개발 프로세스를 방해하지 않고 API 변경 사항을 포착할 수 있습니다. 기존 API 스키마를 업로드하여 적절한 API 동작을 적용하고 앱 간 및 API 간 패턴을 기반으로 정책을 자동 생성할 수 있습니다. F5 Distributed Cloud API Security는 연결을 제어하고 API 트래픽의 비정상적인 동작을 모니터링하여 의심스러운 활동을 차단할 수도 있습니다.
봇은 API 보안에 또 다른 중대한 위협이 됩니다. OWASP API 보안 10대 위협 중 상당수는 무제한 리소스 소비나 취약한 인증처럼 봇이 쉽게 악용할 수 있는 취약점입니다. F5 Distributed Cloud Bot Defense를 추가하면 인간 전문가와 머신 러닝을 결합하여 정상 사용자와 유용한 봇은 허용하면서 악성 봇 트래픽을 탐지할 수 있습니다.
다계층 API 보안 확보
F5는 API 보호에 필요한 모든 기능을 F5 Distributed Cloud Web App and API Protection(WAAP)을 통해 제공하며, 통합 관리 기반의 다계층 보안을 지원합니다. Distributed Cloud WAAP는 AWS, 기타 퍼블릭 또는 프라이빗 클라우드, 온프레미스, 엣지 등 앱과 API가 어디에 배포되어 있든 일관된 보안을 제공합니다.
Find F5 Distributed Cloud WAAP on the AWS Marketplace에서 F5 Distributed Cloud WAAP을 찾아 손쉽게 보호 기능을 추가하고 공동 책임 모델에 따른 귀사의 책임을 이행하세요.
AWS용 F5 솔루션에 대한 자세한 내용은 f5.com/aws에서 확인하세요.
출처
1. F5, 지속적인 API 확산, 2021년 11월
2. F5, F5, API 보호를 위해 시프트 레프트 전략 도입, 2024년 2월
3. Amazon, Amazon API Gateway 보안 개요: AWS 백서, 2023
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.