최근 T-Mobile의 데이터 유출 공개는 급성장하는 애플리케이션 보안의 ‘무법지대’인 API가 안고 있는 과제를 여실히 보여줍니다. 한 개인(또는 집단)은 API를 사용(또는 악용)해 3천만 명이 넘는 고객의 개인 데이터를 수집했으며, 탐지되기 전까지 한 달 넘게 매일 정보를 빼돌렸습니다.
이 글을 작성하는 시점에는 이번 사례에서 API가 정확히 어떻게 또는 왜 악용되었는지(예: 기능 악용, 객체 수준 권한 부여 결함, 과도한 데이터 노출), 그리고 침해 사실이 최종적으로 어떻게 발견되었는지에 대해 알려진 구체적인 내용이 많지 않습니다. 수치만 살펴보면, 속도 제한 임계값이나 시계열 행동 이상 징후 등을 유발하지 않은 채 이 API를 통해 하루 평균 90만 2천 명의 고객 데이터가 유출되었습니다. 혹은 이러한 징후가 감지되었지만 운영팀이 신속히 식별하고 완화 조치를 취할 만큼 적절한 위협 수준으로 분류되지 않았을 수도 있습니다. 이는 전형적인 저강도 장기 공격의 특징을 보입니다.
이와 같은 침해 사고는 API가 얼마나 광범위하게 사용되고 있는지, 오늘날 조직에 얼마나 중요한지, 그리고 모든 애플리케이션과 나아가 조직 전체의 보안(또는 보안 취약성)에 어떤 고유한 역할을 할 수 있는지 생각해 볼 기회를 제공합니다. 최근 몇 년간의 침해 사고 분석에서 F5 Labs는 API와 관련된 사고의 경우 대부분 침해 수법이 기술적으로 매우 단순하며, 외부에 공개된 보안이 취약한 API 엔드포인트가 영향을 받는다는 사실을 확인했습니다.
API 보안은 말처럼 쉽지 않습니다(적어도 제대로 구현하려면 그렇습니다). 오늘날 대부분의 조직이 모니터링하는 애플리케이션과 엔드포인트의 수가 늘어나면서 애플리케이션 보안 이벤트 데이터가 쏟아져 나오고 있어, 모든 상황을 빠짐없이 파악하고 대응하는 것은 불가능한 일처럼 느껴집니다.
하지만 이번 공격은 특히 API 보안과 관련해 세 가지 핵심 요소를 부각하며, 모든 조직은 이를 교훈 삼아 다음을 제공하는 기술과 서비스에 우선순위를 둘 수 있습니다:
API 가시성 및 검색. 이 사례에서는 해당 API의 존재가 알려져 있었는지 또는 적극적으로 모니터링되고 있었는지가 명확하지 않습니다. 안전하게 개발되고 문서화가 잘된 API와 스키마 적용 기능을 기반으로 하는 포지티브 보안은 매우 중요하지만, 이는 전체 해법의 절반에 불과합니다. 대부분의 조직은 자사 환경에서 실행 중인 모든 API를 완벽하게 파악하지 못하고 있을 가능성이 높으므로, 애플리케이션의 모든 통신 경로에서 아직 문서화되지 않은 API를 지속적으로 학습하고 매핑하는 것이 무엇보다 중요합니다. 검색 기술을 활용하면 조직은 전체 API 환경을 매핑하여 알려지지 않은 API나 섀도 API, 차단 또는 제거해야 할 방치된 API나 좀비 API, 그리고 거버넌스 대상으로 고려해야 할 알려지지 않은 ‘정상’ API를 식별함으로써 더욱 포괄적으로 관리·감독할 수 있습니다.
API의 존재를 파악하고 액세스 제어 기능을 갖추는 것은 API 보안이라는 퍼즐을 완성하는 데 매우 중요한 두 가지 요소입니다. 당사의 2022년 애플리케이션 전략 현황 보고서에서 응답자의 68%는 인증과 권한 부여를 API 보안의 가장 중요한 구성 요소로 꼽았으며, 그 뒤를 근소한 차이로 행동 분석 및 이상 탐지가 이었습니다. 이는 악의적인 공격자가 인증과 권한 부여를 손쉽게 우회할 수 있는 방법이 많기 때문에 API를 모니터링하여 비정상적인 행동과 잠재적인 악용을 식별하고 경고하는 기능입니다. 이 시나리오에서는 API와 클라이언트 간에 전달되는 데이터에서 무언가 비정상적인 점이 있었을 것입니다. API가 프로덕션 환경에 배포된 후 시간 경과에 따른 동작을 추적하려면 일반적으로 API 요청 분석과 시계열 이상 탐지를 통해 기준 행동 특성을 구축하고, 이를 바탕으로 요청 빈도, 오류, 지연 시간, 처리량 등의 이상 징후를 식별해야 합니다. 이 기능을 활용할 때는 예기치 않은 급증이나 급감이 발생하거나, 특이한 트래픽 패턴이 나타나거나, 비정상적인 API 요청이 탐지될 경우 문제를 알리는 경고 기능이 매우 중요합니다.
최신 API 보안 스택을 완성하려면 인라인 애플리케이션 및 API 보안 적용 엔진이 필요합니다. 여기에는 속도 제한, IP 평판, 허용/차단 목록 기능, 악성 엔드포인트와 사용자 및 기타 활동을 추가로 조사하고 조치할 수 있는 L7 DoS 등 세분화된 L7 정책 적용과 여러 계층의 애플리케이션 보안 기능을 갖춘 WAF가 포함될 가능성이 높습니다. 이를 통해 운영 팀은 이상 징후가 탐지될 때 의심스러운 API 악용을 빠르고 쉽게 식별하고, 이러한 오용을 차단하는 정책을 수립할 수 있습니다. 그 결과 API와 앱 엔드포인트가 발전하고 동작이 변화하더라도 시간이 지남에 따라 더욱 효과적으로 보호할 수 있습니다.
시간이 지나 이번 침해 사고에서 정확히 무슨 일이 있었는지 밝혀지면서 더 많은 사실이 드러나겠지만, 조직은 이러한 세 가지 요소를 활용해 보안 상태를 평가하고 이와 같은 악용으로부터 애플리케이션과 API 엔드포인트를 보호하기 위한 계획을 더욱 체계적으로 수립하는 것이 매우 중요합니다.
최신 애플리케이션 개발 및 API 보안의 과제와 팁에 대해 자세히 알아보기
이 Forrester ‘API 보안 취약성’ 보고서에서는 현대적인 앱 개발 및 API 보안과 관련해 갈수록 커지는 과제를 조명하고, 현대적인 앱 및 API 개발 워크플로에 보안을 통합하는 방법에 대한 팁을 제공합니다.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.