최신 PCI DSS(결제 카드 산업 데이터 보안 표준) 4.0.1 업데이트는 중요한 변화로, API와 클라이언트 측 스크립트를 포함한 소프트웨어 공급망을 더욱 강조합니다.
PCI DSS 3.2.1이 폐기됨에 따라 결제를 처리하는 조직은 최신 마이크로서비스 기반 애플리케이션과 멀티클라우드 환경, API 도입 확대 등 변화하는 환경에 적응해야 합니다.
이 블로그 게시물에서는 거의 모든 산업과 조직의 거래에 필수 요소가 된 API를 보호하기 위해 특별히 마련된 PCI DSS 4.0.1에 도입된 주요 신규 요구 사항 중 일부를 살펴봅니다.
새로운 의무 사항은 다음과 같습니다:
- 배포 전 테스트 6.2.3: 이는 코드 취약점을 식별하고 수정하기 위해 출시 전에 API를 포함한 맞춤형 및 주문형 소프트웨어를 철저히 검토하고 테스트하며 안전하게 개발하는 관행을 강조합니다.
- 일반적인 위협으로부터의 보호 6.2.4: 조직은 맞춤형 및 주문형 소프트웨어에서 흔히 발생하는 소프트웨어 공격과 관련 취약점을 방지하거나 완화하기 위한 통제 조치를 구현해야 합니다. 주요 대상에는 비즈니스 로직 악용, 인젝션 공격(예: SQL, LDAP, XPATH 또는 기타 명령, 매개변수, 객체, 오류 등), 액세스 제어 및 데이터에 대한 공격이 포함됩니다. 이 모든 요소는 API 보호에 매우 중요합니다.
- 맞춤형 소프트웨어의 인벤토리 및 현황 파악 6.3.2: 기업은 취약점 관리와 패치를 원활하게 수행하고 포괄적인 보안 태세를 보장하기 위해 API 및 타사 구성 요소를 포함한 맞춤형 소프트웨어의 가시성과 인벤토리도 유지해야 합니다.
- 프로덕션 환경의 가시성, 위협 탐지 및 테스트 6.4.1 및 6.4.2: 이 업데이트에서는 공개 웹 애플리케이션과 API를 취약점, 알려진 공격 및 새롭게 등장하는 위협으로부터 보호하기 위해 정기적인 테스트와 지속적인 모니터링 및 보호가 필요함을 강조합니다. 이러한 요구 사항에는 다음이 포함됩니다:
- 외부에 공개된 웹 앱 및 API에 대한 정기적인(최소 연 1회) 스캔 및 테스트
- 공개 웹 앱 및 API 앞단에 배포되어 웹 및 API 기반 공격을 탐지하고 차단하는 기술 솔루션
조직은 2025년 3월까지 규정을 준수해야 합니다
PCI 보안 표준 위원회는 최근 몇 년간 나타난 비즈니스 및 기술 환경의 변화에 대응하기 위해 2024년 6월 PCI DSS 4.0 표준의 최신 개정안을 발표했습니다. 이번 개정안은 API가 널리 도입되고, 대면·웹·모바일 결제 시스템을 비롯해 오늘날 점차 디지털화되는 경제를 뒷받침하는 다양한 서비스와 상호작용을 지원하는 애플리케이션 및 인프라가 발전하고 있음을 반영합니다.
“PCI DSS 4.0.1이 API 보안에 중점을 둔 것은 오늘날의 복잡하고 끊임없이 진화하는 IT 환경에서 디지털 거래를 보호하기 위한 중요한 진전을 의미합니다.”
API는 위협 패러다임의 변화를 나타내며, API 고유의 특정 위협은 API OWASP TOP 10에서 다룹니다. API는 기존 웹 앱과 동일한 공격 및 취약점 대부분에 노출될 수 있지만, 비즈니스 로직을 직접 노출하는 경우가 많아 공격자에게 갈수록 매력적인 표적이 되고 있습니다. 따라서 개인정보를 보호하고 사용자와 이해관계자의 신뢰를 유지하는 동시에 API 통신의 기밀성, 무결성 및 가용성을 보장하려면 무단 액세스, 조작 또는 노출로부터 데이터를 보호하기 위한 API 전용 통제 체계가 필요합니다.
조직의 규정 준수 기한이 2025년 3월로 정해짐에 따라, API와 클라이언트 측 스크립트를 보호하기 위해 기업이 이러한 새로운 사양을 신속히 준수해야 할 필요성이 더욱 강조되고 있습니다.
규정 준수를 보장하기 위한 몇 가지 전략
PCI DSS 4.0 표준을 효과적으로 충족하고 전체 공격 표면을 보호하려면, 조직은 기존 보안 인프라, 프로세스 및 역량을 평가하고 다음을 제공하는 솔루션의 도입을 고려해야 합니다:
- 포괄적인 API 검색: 먼저 코드 리포지토리와 통합하여 소스에서 직접 완전하고 정확한 인벤토리와 문서를 구축합니다. 또한 트래픽 기반 분석과 도메인 크롤링을 통해 섀도우 API, 좀비 API, 관리되지 않는 API 및 서드 파티 API를 식별합니다.
- 강력한 API 테스트: 이러한 테스트는 API 코드의 프로덕션 배포 전 분석과 외부에 공개된 앱 및 API의 동적 테스트를 결합하여, 취약점을 지속적으로 식별하고 관련 맥락과 해결 지침을 제공합니다.
- 런타임 보호: 적절한 API 동작을 보장하고 부적절한 동작을 차단 및 제한하려면 인라인 적용 및 제어 메커니즘이 필요합니다. 여기에는 API 보호 규칙, 속도 제한, 데이터 마스킹, 스키마 적용 기능을 구현하여 포지티브 보안 모델을 제공하기 위한 WAF 및 기타 API 전용 기능이 포함됩니다.
- 지속적인 모니터링 및 이상 징후 탐지: AI/ML 기반 행동 분석과 지속적인 API 트래픽 검사를 통해 잠재적 공격, 민감한 데이터 노출 및 API 엔드포인트의 악용이나 침해를 나타낼 수 있는 기타 비정상적인 API 동작을 식별합니다.
이번 업데이트는 상당한 규모이지만, 규정 준수가 부담스러울 필요는 없습니다
API 보안에 중점을 둔 PCI DSS 4.0.1은 오늘날의 복잡하고 끊임없이 진화하는 IT 환경에서 디지털 거래를 보호하기 위한 중요한 진전을 의미합니다.
마감 기한이 다가옴에 따라 API 보안을 강화하기 위한 선제적 조치는 규정 준수를 달성하고 유지하는 데 핵심적인 역할을 할 것입니다. 또한 API와 클라이언트 측 스크립트를 노리는 사이버 위협 및 공격에 대한 인프라의 복원력을 높이고, 고객의 결제 카드 데이터와 정보를 더욱 안전하게 보호하며, 고객 및 규제 기관이 귀사를 신뢰할 수 있도록 신뢰도와 공신력을 강화할 것입니다.
“2025년 3월이라는 기한은 API와 클라이언트 측 스크립트를 보호하기 위해 조직이 이러한 새로운 사양을 준수해야 할 시급성을 강조합니다.”
조직이 PCI DSS 4.0.1을 준수하도록 준비하려면 현재의 API 보안 관행을 평가하고, 미비점을 파악하여 필요한 개선 조치를 시행해야 합니다. PCI Security Standards Council에서 제공하는 추가 자료와 지침을 지속적으로 확인하여 2025년 3월까지 준비를 완료하세요.
이 작업이 반드시 어렵고 부담스러울 필요는 없습니다. F5는 조직이 새로운 요구 사항에 부합하는 통제 조치를 평가하고 구현하여 웹 앱 및 API 보안 태세를 강화할 수 있도록 지원하는 전문성과 솔루션을 갖추고 있습니다.
F5의 완전한 API 보안이 실제로 작동하는 모습을 보여주는 데모를 확인하고 지금 바로 문의하여 전문가와의 미팅을 예약하세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.