F5, API 보호를 위해 보안을 개발 초기 단계로 전환

Chuck Herrin

애플리케이션 프로그래밍 인터페이스(API)는 현대 디지털 생활을 보이지 않는 곳에서 지탱하는 중추 신경계와 같습니다. 우리는 매일 하루 종일 API로 구동되는 앱을 사용해 단골 가게에서 아침 첫 커피를 사고, 출입증을 찍어 사무실에 들어가며, 동료와 점심을 먹으러 차량 호출 서비스를 이용하고, 날씨를 확인합니다. 그리고 긴 하루를 마친 뒤에는 자리에 앉아 좋아하는 TV 프로그램을 스트리밍합니다. 우리가 매일 접하는 거의 모든 조직은 이를 인식하든 그렇지 않든 디지털 비즈니스를 운영하기 위해 API에 의존합니다.

API 우선 소프트웨어 개발 및 제공 방식의 부상은 수많은 측면에서 세상을 더 나은 방향으로 변화시켰습니다. 하지만 문제가 있습니다. 애플리케이션과 아키텍처가 변화하면 공격 표면도 함께 달라집니다. WAF, DDoS 방어, 봇 차단과 같은 기존 보안 조치는 여전히 필수적이지만, 이러한 API를 완벽하게 보호하기에는 부족합니다. 기존 보안 조치는 당시의 공격 표면에 맞춰 구축되었기 때문에, 최근 몇 년간 API가 빠르게 도입되면서 나타난 미래의 공격 표면과 변화를 예측할 수 없었습니다.

애플리케이션 및 API 보안 분야의 글로벌 리더인 F5의 기술은 전 세계 애플리케이션 중 거의 절반의 데이터 경로에 위치해 있어, 최신 웹 및 모바일 애플리케이션을 겨냥한 공격을 독보적인 관점에서 파악할 수 있습니다. F5의 분석에 따르면 오늘날 웹 기반 사이버 공격의 90% 이상이 API 엔드포인트를 표적으로 삼고 있으며, 보안 팀이 적극적으로 모니터링하지 않는 API를 통해 노출되는 경우가 많은, 비교적 새롭고 잘 알려지지 않은 취약점을 악용하려고 시도합니다.

공격과 공격 표면이 변화함에 따라 방어 체계도 이에 맞춰 조정되어야 합니다. 최근 업계에서 생성형 AI에 대한 관심이 높아지면서 인공지능 및 머신 러닝(AI/ML) 모델을 지원하는 앱과 API의 수가 빠르게 증가해 복잡성이 더욱 커지고 있습니다. 현대 기업에는 위험이 비용 부담이 크고 기업 평판을 훼손하며 대부분 예방 가능한 침해 사고로 확대되기 전에 이를 발견하고 완화하는 데 중점을 둔 역동적인 방어 전략이 필요합니다.

이처럼 빠른 변화 속도로 인해 핵심 API를 보호하는 일은 모든 유형의 조직에 중대한 과제가 되었습니다. 이미 업무 부담이 큰 개발 및 보안 팀은 회사에서 사용하는 API가 몇 개인지, 어디에 있는지, 그리고 이러한 인터페이스가 지원하는 핵심 데이터 및 비즈니스 프로세스와 관련해 어떤 규정 준수 및 기타 위험이 있는지조차 파악하지 못하는 경우가 많습니다.

기술은 끊임없이 변화하지만, API 보안 문제는 사이버 보안의 기본 원칙이 얼마나 중요한지를 잘 보여줍니다. NIST와 같은 주요 통제 프레임워크가 거의 항상 ‘식별(Identify)’부터 시작하는 데에는 이유가 있습니다. 간단히 말해, 보이지 않는 것은 보호할 수 없으며, 제대로 파악하지 못한 공격 표면의 위험을 효과적으로 관리하는 것은 불가능합니다.

출처: N. Hanacek/NIST

API 사각지대는 근본적인 문제로 자리 잡았으며, 오늘날 너무나 많은 조직이 자사의 API를 제대로 파악하지 못한 채 운영하고 있습니다. Gartner를 비롯한 업계 분석 기관들은 적어도 2019년부터 API가 가장 주요한 공격 경로가 될 것이라고 예측해 왔으며, 당사의 데이터 역시 이러한 주장을 뒷받침하고 있습니다. 이러한 추세는 둔화될 기미가 보이지 않습니다.

사이버 보안 업계는 이에 대응해 왔지만, 지금까지는 주로 API 개발의 특정 측면에 초점을 맞춘 포인트 솔루션을 제공하는 데 그쳤습니다. 이러한 제품은 현재 사용 중인 것으로 알려진 API를 찾아내는 API 검색 기능이나, 취약점을 발견하고 보안 공백을 해소하는 데 도움이 되는 스캔 및 테스트 도구 등 다양하지만 제한적인 기능을 제공합니다.

하지만 API 보안의 미래는 직접 짜 맞추고 통합해야 하는 개별 솔루션의 집합이 아닙니다. 이제 F5 Distributed Cloud Services를 만나보십시오.

회사의 미래를 만들어 나가려면 미래에 대비할 수 있도록 회사를 준비시켜야 합니다.

F5의 분산 컴퓨팅 및 애플리케이션 보안 분야 업계 리더들은 API의 중요성이 이처럼 커질 것을 예견하고, 5년 전부터 시장의 판도를 바꿀 혁신적인 기능 제품군을 구축하기 시작했습니다. 이 제품군은 F5 Distributed Cloud Services라는 이름으로 출시되었습니다.

오늘날의 AI 기반 앱은 온프레미스, 클라우드 및 엣지 환경 전반에 분산된 데이터 소스, 모델 및 서비스를 기반으로 하며, 이들은 빠르게 증가하는 수많은 API를 통해 서로 연결됩니다. 고객이 서로 얽힌 이러한 과제와 기회를 효과적으로 헤쳐 나갈 수 있도록, F5가 다음과 같은 소식을 발표하게 되어 기쁘게 생각합니다. F5는 고급 API 코드 테스트 및 텔레메트리 분석 기능을 F5 Distributed Cloud Services에 도입하여 업계에서 가장 포괄적이고 AI에 최적화된 API 보안 솔루션을 제공합니다. 최근 API 보안 혁신 기업 Wib에서 인수한 기능을 추가함으로써 애플리케이션 개발 프로세스에서 취약점을 탐지하고 가시성을 확보할 수 있으며, API가 프로덕션 환경에 배포되기 전에 위험을 식별하고 정책을 적용할 수 있습니다.

API 보안의 미래와 마찬가지로, F5 Distributed Cloud Platform은 다음과 같은 핵심 특성을 바탕으로 모든 엔터프라이즈 컴퓨팅의 미래에 대비하도록 구축되었습니다:

• 멀티클라우드
• API 우선
• AI 기반

최고를 더욱 완벽하게

F5는 이미 F5 Distributed Cloud의 웹 앱 및 API 보호(WAAP) 서비스 제품군을 통해 강력한 API 검색 및 보호 기능을 제공해 왔습니다. 이 플랫폼은 API를 위한 강력한 스키마를 자동으로 생성하고 검증하며, 실행 가능한 인사이트를 통해 API 위험을 명확히 보여주고, AI/ML을 활용해 복잡한 API 공격을 완화하는 등 다양한 기능을 제공합니다. F5는 Distributed Cloud WAAP, NGINX App Protect 및 BIG-IP Advanced WAF를 통해 고객이 어디서나 모든 앱과 API를 보호할 수 있는 독보적인 역량을 제공합니다.

이제 F5는 API의 전체 수명 주기를 지원하기 위해 보안을 개발 초기 단계로 전환하고 있습니다.

Wib 플랫폼과 F5 Distributed Cloud API Security의 결합으로 업계에서 가장 포괄적인 API 보안 솔루션을 제공합니다.

이를 위해 현재의 API 검색 및 보호 기능을 다음과 같이 강화하고 있습니다:

• API 코드 분석을 통해 API 엔드포인트를 식별하고 프로덕션 환경에 배포하기 전에 위험을 평가합니다.
• API 테스트를 통해 취약점을 탐지하고 코드 및 트래픽 분석에서 발견된 의심스러운 위협을 검증합니다.
• API 규정 준수 분석을 통해 고객의 규제 요건에 부합하는 적절한 API 보안 태세를 보장합니다.
• API 위협 표면 평가를 통해 조직의 공개 자산을 모니터링하여 새로 등장하는 API와 보안 거버넌스의 적용을 받지 않는 API를 식별합니다.
• API 보안 융합 엔진을 통해 모든 위협, 취약점 또는 인사이트를 모든 정보 소스에서 검증하는 완벽하게 통합된 솔루션을 구축합니다.

Wib의 전 CTO이자 새롭게 F5의 일원이 된 저 역시 Wib의 기능을 F5 Distributed Cloud Services에 도입하게 된 팀의 기쁨에 공감하며, 세계에서 가장 강력하고 포괄적인 API 보안 플랫폼을 제공하기 위해 이미 기술 통합에 박차를 가하고 있습니다.

코드부터 클라우드까지 완벽한 가시성과 보안을 제공하는 세계 최초의 통합 앱 및 API 보안 솔루션으로 앱과 API를 안전하게 보호하세요.

어디서나 실행하고, 모든 곳에서 보호하세요. 오직 F5만이 가능합니다.

작성자 소개

Chuck Herrin

Chuck Herrin의 다른 블로그 게시물