오늘날 API 보안이 중요한 화두로 떠오른 데에는 그럴 만한 이유가 있습니다. 생각해 보면 대부분의 금융 서비스 기관은 기술 기업에 가까워졌습니다. 이들은 디지털 고객의 요구에 대응하는 기준을 끌어올리고 있는 핀테크 기업과 보조를 맞추거나, 심지어 이들과 협력하기 위해 끊임없이 혁신해야 한다는 압박을 받고 있습니다. 그 결과 API를 통해 핀테크를 통합하는 방향으로 발전한 금융 서비스 생태계는 오픈 파이낸스의 성장을 크게 촉진했습니다. 이에 따라 금융 서비스 기관은 비즈니스를 운영하기 위해 그 어느 때보다 API에 의존하게 되었습니다.
은행이 API의 중요성을 인식한 것처럼 공격자들도 이를 알아차린 것은 놀라운 일이 아닙니다. 공격자들은 API를 악용하거나 오용하고 침해함으로써 금전적 이익이나 그 밖의 이득을 얻을 수 있다는 점을 알고 있기 때문에 비즈니스 핵심 API를 끊임없이 노립니다. 동시에 최근 몇 년 사이 공격 표면도 크게 확대되었습니다. 이는 업계 전반에 확산된 하이브리드 및 멀티 클라우드 환경의 복잡성 증가와 관리 난이도 상승이 주된 원인입니다. 이 모든 요인은 대규모 데이터 유출, 규정 준수 문제, 규제 당국의 벌금 등 비즈니스에 중대한 영향을 초래합니다.
물론 나쁜 소식만 있는 것은 아닙니다. 금융 서비스 조직은 신뢰할 수 있는 파트너와 협력함으로써 API를 위협으로부터 더욱 효과적으로 보호할 수 있습니다. 적합하고 신뢰할 수 있는 파트너가 API 보안 강화에 도움을 줄 수 있는 다섯 가지 영역을 살펴보겠습니다.
- 개발: 개발팀은 어려운 과제에 직면해 있습니다. 한편으로는 필요한 기능을 개발하고 제대로 작동하도록 해야 하는 촉박한 기한에 쫓깁니다. 다른 한편으로는 보안팀이 정의한 요구 사항에 따라 API를 개발해야 합니다. 하지만 이러한 요구 사항을 강제하거나 제대로 준수되는지 확인할 실질적인 방법은 없습니다. 물론 코드를 감사하고 검토할 수는 있지만, 이는 사람의 실수나 누락이 발생하기 쉬운 번거롭고 시간이 많이 드는 과정입니다. 또한 대부분의 경우 다른 긴급한 우선순위에 밀리기 일쑤입니다. 대다수 기업에서는 일반적으로 개발자 수가 보안 전문가 수보다 훨씬 많아 확장성 문제가 발생합니다. 그 결과 버그, 누락, 취약점이 개발 과정을 통과해 프로덕션 API에 유입됩니다. 보안팀이 업무를 가로막거나 비즈니스에 필요한 속도를 늦추지 않으면서 보안 통제를 확장하려면 자동화가 필수적입니다. 신뢰할 수 있는 파트너와 협력하여 스키마, 표준, 정책을 자동으로 적용하는 것이 더 나은 방법입니다.
- 액세스 제어: 믿기 어려울 수도 있지만, 누가 어떤 API에 액세스할 수 있는지를 제어하는 일은 여전히 쉽지 않습니다. 현대 비즈니스의 복잡성을 고려하면 그리 놀라운 일도 아닙니다. 대부분의 기업은 두 곳 이상의 클라우드 공급업체를 이용하며, 온프레미스 및/또는 데이터 센터 환경도 함께 운영합니다. 일반적으로 서로 분산된 각 환경의 네트워크, 기술, 개발 및 보안 스택을 관리하려면 여러 팀이 필요합니다. 따라서 API 액세스를 제어하고 모니터링하는 일이 심각한 과제가 된 것은 놀라운 일이 아닙니다. 실제로 2023년 OWASP API 보안 10대 위험 중 4개가 인증/인가와 관련되어 있습니다. 신뢰할 수 있는 적절한 공급업체는 복잡성을 단순화하고 과중한 부담을 덜어줄 수 있습니다. 이를 통해 기업은 적절한 액세스 제어를 비롯해 해당 환경의 운영, 유지 관리 및 보안에 온전히 집중할 수 있습니다.
- 비인가 API: 때로는 공식 절차에 시간이 걸리기 때문에 개발자가 개발 기한을 맞추고자 새로운 인프라와 엔드포인트를 구축하기도 합니다. 또는 인프라와 엔드포인트가 관리의 사각지대에 놓여 제대로 목록화, 관리, 모니터링 및 보호되지 않았을 수도 있습니다. 이유가 무엇이든 비인가 API는 존재합니다. API의 존재를 파악하지 못하면 이를 목록화, 관리, 모니터링 및 보호할 수 없습니다. 신뢰할 수 있는 우수한 파트너는 기업이 알려지지 않은 API를 탐지할 뿐만 아니라 이를 보호할 수 있도록 지원합니다.
- WAF만으로는 충분하지 않음: 웹 애플리케이션 방화벽(WAF)이 보안 스택의 필수 요소라는 데는 의심의 여지가 없습니다. WAF는 매우 다양한 위협으로부터 중요한 보호 기능을 제공합니다. 하지만 매일 API를 겨냥하는 온갖 공격을 모두 차단하도록 설계된 것은 아닙니다. 또한 API는 빠르게 진화하고 있어 보안 제어가 감지하지 못할 수 있는 완전히 새로운 유형의 취약점이 생겨납니다. 신뢰할 수 있는 파트너라면 WAF를 기반으로 하면서 WAF와 통합된 API 취약점을 식별하고 완화하는 정교한 기능까지 제공해야 합니다.
- 지능형 공격: 애플리케이션이 이미 알려진 일반적인 공격의 표적이 되던 시대는 지났습니다. 지능형 공격자는 탐지를 피해 민감한 비즈니스 흐름을 노출하고, 데이터를 탈취하며, 사기를 저지르고, 애플리케이션을 중단시키고, 평판을 훼손하는 고도화된 공격을 감행합니다. 여기에는 수동 공격과 자동화된 봇 공격이 모두 포함됩니다. 이러한 지능형 공격을 식별하고 탐지하며 완화하려면 전문적인 노하우가 필요합니다. 가장 고도화된 공격에 대한 방어는 신뢰할 수 있는 파트너라면 반드시 API 보안 서비스에 포함해야 합니다.
물론 이것이 모든 항목을 망라한 목록은 아닙니다. 각 금융 서비스 조직은 위험 등록부를 검토하여 어떤 위험과 위협이 비즈니스에 가장 큰 영향을 미칠 가능성이 있는지 파악해야 합니다. 더 심각한 영향을 미칠 가능성이 있는 항목에는 더 높은 우선순위를 부여할 수 있습니다. 그러나 많은 리더가 API 보안 위험의 실제 범위를 가장 효과적으로 평가하는 방법을 모를 수 있다는 점에 유의해야 합니다. 따라서 적합한 파트너와 협력하는 것이 더욱 중요합니다. API 보안 관련 위험은 이상적으로 위험 목록에서 상당히 높은 순위에 있어야 하며, 이는 투자가 필요한 우선 과제임을 의미합니다. 여기에는 API 보안의 중요성을 이해하고 적합한 솔루션을 제공하는 올바른 파트너와 협력하는 것도 포함됩니다.
자세한 내용은 은행 및 금융 서비스를 위한 사이버 보안을 참조하세요.
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.