디지털 환경은 끊임없이 진화하고 있으며, 이에 따라 공공 부문과 국가 핵심 인프라를 겨냥한 위협도 변화하고 있습니다. 최근 발생해 널리 알려진 공격 사례로는 미국 재무부 침해 사고와 지난해 말 발생한 T-Mobile 이동통신사 해킹 사건(2023년 공개) 등이 있으며, 이는 곳곳에 도사린 취약성을 여실히 보여줍니다.
그리고 이러한 취약점은 애플리케이션 프로그래밍 인터페이스, 즉 API에서 점점 더 많이 발견되고 있습니다. 실제로 Gartner는 최근 API가 주요 공격 경로로 부상하고 있다고 예측했으며, 제 경험으로도 이러한 추세를 확인할 수 있습니다.
이번 주 열리는 AppWorld Public Sector Symposium에서는 API 보호를 비롯해 애플리케이션 제공 및 보안 분야의 새로운 동향을 논의할 예정입니다. 이 행사는 내일 버지니아주 타이슨스 코너에서 시작되며, 이러한 과제를 살펴보고 효과적인 해결책을 모색할 수 있는 매우 중요한 기회입니다.
섀도 API 위협의 실체
제가 반복해서 목격하는 가장 큰 과제 중 하나는 네트워크 취약점에 대한 가시성이 부족하다는 점입니다. 많은 조직이 현재 사용 중인 API가 몇 개인지조차 모릅니다. 약 100개의 API를 보유하고 있다고 생각한 고객을 대상으로 API 검색 작업을 수행한 결과, 실제로는 30,000개에 가까운 API가 발견된 적도 있습니다! 이는 드문 일이 아니며 심각한 보안 위험을 초래합니다.
API는 아키텍처, 구성 요소, 유형, 프로토콜이 뒤섞인 복잡한 생태계 속에 숨어 작동합니다. 평균적으로 조직은 20,000개가 넘는 API를 사용합니다. 2030년에는 공공 및 민간 부문에서 사용되는 API의 총수가 20억 개를 넘어설 것으로 예상됩니다. 이러한 API를 관리하고 보호할 때 가장 흔히 발생하는 문제는 문서가 부족하거나 API를 찾아내기 어렵다는 점입니다.
“여러 클라우드에 걸쳐 API를 관리하는 일은 매우 복잡하기 때문에, 모든 API와 그 보안 상태를 종합적으로 파악하지 못하는 보안 팀은 쉽게 감당하기 어려운 상황에 놓일 수 있습니다.”
알려지지 않았거나 관리되지 않는 API가 확산되는 이러한 ‘섀도 IT’ 현상은 취약점이 생겨나기 쉬운 환경을 조성합니다. 이러한 API에는 적절한 보안 통제가 적용되지 않은 경우가 많아 악의적인 공격자들의 손쉬운 표적이 됩니다. 이는 집의 문과 창문을 잠그지 않은 채 두는 것과 같습니다. 침입하려는 이들에게 문을 활짝 열어 주는 셈입니다.
API 악용 및 공격 벡터 이해하기
API는 국가 차원의 공격 주체와 사이버 범죄 조직 모두의 표적이 되는 경우가 점점 늘고 있습니다. 정부 및 국방 관련 API도 외부에 공개된 API만큼이나 취약합니다. 민감한 데이터를 처리한다는 점에서 오히려 공격자에게 더 매력적인 표적이라고 할 수 있습니다.
API는 네트워크 내부로 침투하는 심층 공격의 진입점으로 악용될 수 있습니다. API가 침해되면 내부 시스템, 데이터베이스 및 기타 핵심 리소스에 접근할 수 있게 됩니다. 이는 조직의 심장부로 통하는 비밀 통로를 발견하는 것과 같습니다. 미국의 이동통신 사업자인 T-Mobile 사례에서 볼 수 있듯이, 위협 행위자는 API 취약점을 악용해 다크 웹에서 가치가 있는 기밀 데이터에 무단으로 접근할 수 있습니다. 이 사건에서 공격자들은 현재 고객 계정 3,700만 개의 개인정보를 탈취했습니다.
더욱 복잡한 점은 조직이 자사 시스템과 통신하는 모든 API를 완전히 통제하지 못할 수도 있다는 것입니다.
미 재무부를 공격한 해커들은 제3자 소프트웨어 구성 요소의 취약점을 통해 접근 권한을 확보했습니다. 아이러니하게도 이 소프트웨어는 재무부의 사이버 방어 체계 일부였습니다. 이러한 공급망 공격은 규모나 지위에 관계없이 모든 조직에 영향을 미칠 수 있으며, 솔라윈즈 공격과 볼트 타이푼 그룹의 공격 등 수많은 사례가 언론의 주목을 받고 있습니다.
강력한 API 보안 대책을 마련하려면 모든 요소를 빠짐없이 살펴야 합니다. F5의 2024년 애플리케이션 전략 현황 보고서: API 보안에서는 어떤 API가 가장 큰 위험에 노출된 것으로 보이는지, 어떤 API가 흔히 보호 대상에서 누락되는지, 그리고 AI 시대에 API를 안전하게 보호하기 위해 API 보안 모델과 책임이 어떻게 변화해야 하는지를 설명합니다. 미리 말씀드리자면, 제로 트러스트 보안에도 사각지대가 있습니다. API까지 포괄하지 않는다면 말입니다.
AI가 API 보안의 든든한 조력자가 될 수 있을까요? AI 기반 방어 활용하기
AI는 API 보안 문제를 악화시키는 동시에 해결에도 도움을 줍니다. Gartner는 AI 도입으로 인해 API 수요 증가분의 30% 이상이 2026년까지 발생할 것으로 전망합니다. 이는 대규모 언어 모델이 데이터를 수집하고 교환하는 데 많은 API가 필요하기 때문입니다. 각 API에는 문서화와 보안이 필요하므로 악의적인 행위에 악용될 수 있는 수많은 기회가 생깁니다.
다행히 조직이 무방비 상태인 것은 아니며, AI는 강력한 방어 도구로 부상하고 있습니다. AI와 머신러닝은 API 트래픽을 실시간으로 분석하여 사람이 수동으로 식별하기 어려운 이상 징후와 의심스러운 행동을 탐지할 수 있습니다.
AI는 API를 분류하고 정상적인 동작 패턴을 파악하며 잠재적인 오용이나 보안 취약점을 식별할 수 있습니다. 또한 진화하는 위협에 맞춰 동적으로 보안 정책을 생성하여 API가 항상 보호되도록 할 수 있습니다. 지치지 않는 지능형 보안 요원이 API 트래픽을 끊임없이 모니터링하는 것과 같습니다.
환경 전반에서 일관된 보호 구현
오늘날 공공 부문 조직은 확장성과 복원력을 확보하기 위해 AWS, Azure, Google Cloud 등을 아우르는 하이브리드 및 멀티클라우드 환경을 활용하지만, 이로 인해 API 보안 문제는 더욱 복잡해집니다. 클라우드 제공업체마다 자체 보안 도구와 구성이 서로 달라 보안 체계가 파편화됩니다. 클라우드 네이티브 보안에만 의존하면 공격자가 노리는 보안 공백이 생깁니다. 이는 서로 협력하지 않는 여러 군대로 성을 방어하려는 것과 같습니다.
여러 클라우드에 걸쳐 API를 관리하는 복잡성은 모든 API와 해당 보안 상태를 종합적으로 파악하기 어려운 보안 팀에 큰 부담이 될 수 있습니다. 이 문제를 해결하려면 인증, 권한 부여 등을 포괄하는 일관된 단일 보안 정책을 모든 클라우드에 적용하는 통합 접근 방식이 필요합니다. 또한 어디서나 기본적인 보호 수준을 보장할 수 있도록 보안 제어를 표준화하는 것도 매우 중요합니다.
API 개발 수명 주기에 통합된 자동화된 보안 테스트는 취약점을 조기에 식별하는 데도 도움이 됩니다. 실시간 모니터링과 위협 탐지는 가시성을 확보하고 사고에 신속하게 대응할 수 있도록 하며, 강력한 ID 및 액세스 관리(IAM) 시스템은 API 액세스를 제어하고 명확한 API 거버넌스 정책은 일관된 보안 관행을 보장합니다.
멀티클라우드 환경에서 API를 보호하려면 선제적이고 중앙 집중화된 표준 접근 방식이 필요합니다. 현대의 공공 부문 및 핵심 인프라 조직은 이러한 원칙을 구현함으로써 위험을 완화하고 API의 보안을 지속적으로 유지할 수 있습니다. 궁극적으로 중요한 것은 진화하는 위협에 맞서 강력하고 유연하게 대응할 수 있는 방어 체계를 구축하는 것입니다.
더 자세히 알아보고 싶으신가요? 최근 공개된 Federal Tech Podcast에서 John Gilroy와 나눈 대화를 들어보세요. 또한 F5 공공 부문 솔루션 웹페이지도 방문해 보세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.