API 공격 방지: 사이버 범죄자의 새로운 계정 탈취 표적에 대비하기

F5 에코시스템 | 2023년 7월 25일

끊임없이 변화하는 위협 환경에서 사이버 범죄자들은 가치 있는 리소스와 기능에 직접 접근할 수 있다는 점을 악용해 계정 탈취(ATO) 사기를 저지르는 새로운 주요 수단으로 API를 활용하고 있습니다. API 위협이 심각한 문제로 대두되면서 OWASP는 조직이 해결해야 할 영역에 대한 관심을 높이기 위해 새로운 2023년 10대 API 보안 위험 목록을 발표했습니다.

범죄자들은 ATO 전술을 전환해 악성 봇으로 API를 표적으로 삼고, 크리덴셜 스터핑과 비즈니스 로직 악용부터 DDoS 공격에 이르는 다양한 공격을 감행하고 있습니다. 이러한 공격은 흔히 애플리케이션 중단, 신원 도용, 사기로 이어집니다. 손쉽게 구할 수 있는 도구 덕분에 이러한 공격을 실행하기가 그 어느 때보다 쉬워졌으며, 기존 봇 방어 기법으로는 탐지하기 어렵습니다.

추산에 따르면 F5 최고기술책임자실(Office of the CTO)의, 향후 몇 년간 운영 환경의 API 수가 기하급수적으로 증가할 것으로 예상됩니다. 2030년에는 운영 환경의 API가 5억 개에서 15억 개 이상에 이를 수 있습니다. 안타깝게도 이는 끊임없이 공격 대상을 확대하려는 사이버 범죄자들에게는 매우 반가운 소식입니다.

출처 [1]: 지속적인 API 확산(F5 CTO실)

API 난립은 취약점으로 이어질 수 있는 수많은 사각지대를 초래합니다

개방형 설계와 예측 가능한 구조로 인해 쉽게 탐색할 수 있는 수많은 허점이 생깁니다.
개발자는 논리적 아키텍처(예: REST)를 따르는 예측 가능한 구조로 유연한 API를 구축하는 경향이 있어, 범죄자가 노출되었을 가능성이 있는 추가 데이터를 쉽게 탐색할 수 있습니다.
조직 간 가시성이 낮으면 API 활동을 관찰하기가 어렵습니다. 특히 해당 API의 존재 자체를 모르는 경우에는 더욱 그렇습니다.
API는 SecOps 팀이 인지하기도 전에 게시되는 경우가 많아 섀도 또는 좀비 API 생태계가 형성되고, API 트래픽에 대한 엔드투엔드 가시성이 부족해집니다.
복잡성이 증가하면 관리되지 않고 보안이 취약한 API가 생겨 공격 표면이 확대됩니다.
분산 환경과 서비스의 확산으로 인해 모든 API를 일관되게 검색, 관리 및 모니터링하기가 어려워지며, 그 결과 위협이 증가하고 보안 및 개인정보 보호 사고에 대한 취약성이 커집니다.

기존 보안 제어로는 ATO 공격으로부터 API를 보호하지 못할 수 있습니다

최신 악성 봇 공격은 계속 진화하고 있어 기존 봇 방지 도구로는 효과를 지속적으로 유지하기 어렵습니다. 특히 봇 공격이 탐색 스캔 자동화부터 리소스 및 비즈니스 로직 취약점 악용, 크리덴셜 스터핑 및 인젝션 공격에 이르기까지 새롭고 다양한 방식으로 API를 표적으로 삼는 데 사용되므로, API와 관련해서는 이 문제가 더욱 심각해질 가능성이 높습니다.

API 크리덴셜 스터핑 공격은 기존의 봇 완화 전략만으로는 보안 위협에 노출될 수밖에 없는 이유를 잘 보여주는 사례입니다. 일부 API는 웹사이트에 로그인할 때와 마찬가지로 사용자 이름과 비밀번호를 제출하면 인증 토큰을 제공합니다. 일반적으로 이 토큰은 이후 해당 API에 보내는 다른 모든 요청에 사용됩니다. 이는 API, 특히 오래된 API에서 흔히 사용되는 방식이며, 크리덴셜 스터핑 및 비밀번호 스프레이 공격에 취약합니다.

이러한 유형의 표적 공격은 대부분의 기존 통제 수단을 우회하므로 공격자와 실제 고객을 구분하기가 어렵습니다. 기본적인 웹 애플리케이션 방화벽(WAF)과 보안 정보 및 이벤트 관리(SIEM) 시스템 같은 기존 보안 통제 수단만으로는 API에 대한 봇 공격을 식별하고 방지하기에 충분하지 않습니다. 이는 부분적으로 머신 간 또는 API 간 트래픽이 매우 많기 때문입니다. 공격은 겉으로는 정상적인 앱 동작처럼 보일 수 있지만, 이면에서는 API가 악용되고 오용될 수 있어 공격자가 너무 늦을 때까지 탐지를 피할 수 있습니다.

ATO 공격을 방어하기 위한 성공적인 API 보안 전략에는 다각적인 경계가 필요합니다

API 보안은 조직 전체가 공동으로 책임져야 하는 영역입니다. 따라서 기존 웹 앱과 최신 API 패브릭 모두에서 시스템 침해와 데이터 유출로 이어지는 봇 기반 공격뿐만 아니라 가동 시간과 안정성에 영향을 미치는 공격에도 각별히 주의해야 합니다.

API 보안 및 API를 통한 무단 액세스 방지와 관련하여, 크리덴셜 스터핑, 무차별 대입 또는 기타 강제 로그인 시도 메커니즘이 사용되는 경우 정교한 AI/ML 엔진은 로그인 실패 활동이나 API 매개변수를 탐색하려는 시도를 식별하고, 운영팀이 검토할 수 있도록 해당 시도를 표시하여 도움을 줄 수 있습니다.

“지난해 발간된 애플리케이션 전략 현황 보고서에서 응답자의 68%는 인증과 권한 부여를 API 보안의 가장 중요한 구성 요소로 꼽았으며, 프로덕션 환경(런타임)에서 API를 모니터링하기 위한 행동 분석과 이상 탐지가 그 뒤를 이었습니다.”

조직이 API 보안을 강화하는 방법에는 여러 가지가 있습니다. 여기에는 연결 및 액세스 검증, 시간 경과에 따른 동작 모니터링 및 경고, 잠재적인 침해 지점을 정확히 파악하기 위한 비정상적인 클라이언트 동작 식별 지원 등이 포함됩니다.

API 엔드포인트를 지속적으로 모니터링하고 보호하여 변화하는 앱 통합을 파악하고, 취약한 구성 요소를 탐지하며, 서드 파티 통합을 통한 공격을 완화합니다.
포지티브 보안 모델을 구현하세요 CI/CD 파이프라인과 통합되고 OpenAPI 및 Swagger 인터페이스 사양을 지원하여 스키마를 손쉽게 검증하고, 프로토콜 준수를 적용하며, 정상 트래픽 패턴의 기준선을 자동으로 설정하고, 비정상적인 동작을 탐지할 수 있습니다.
Embrace 제로 트러스트 및 위험 기반 보안을 도입하세요최소 권한 액세스 원칙을 적용하고, 페이로드를 검사하며, 무단 데이터 노출을 방지하고, 객체와 기능에 대한 액세스 제어 및 위험 기반 인증을 구현해야 합니다. 여기에는 API와 상호 작용하는 봇의 정상적인 행동에 관한 인텔리전스를 수집하고 기준선을 구축하는 작업이 포함되어야 합니다. 행동 및 패턴 분석, 워크플로 검증, 핑거프린팅을 활용하면 사람, 정상 봇, 악성 봇의 활동을 구분할 수 있습니다.
변화하는 애플리케이션 수명 주기에 대응하세요. 이기종 환경 전반에서 보안 구성 오류를 방지하고, 시스템 침해 및 서비스 거부로 이어질 수 있는 악용을 완화하며, 클라우드와 아키텍처 전반에서 위협을 일관되게 해결해야 합니다. API의 구성 오류, 취약점 및 비즈니스 로직 결함을 지속적으로 스캔하고 테스트하며 모니터링하세요.

조직이 신속하게 대응하고 API 환경 내 잠재적 문제를 식별하여 세부적으로 분석 및 조사한 후, 연결성, 가용성 또는 앱 및 API 보안에 영향을 줄 수 있는 이상 징후나 위협을 무력화하기 위해 적절한 조치를 취할 수 있도록 API 보안을 중앙에서 파악할 수 있는 통합 뷰를 마련하는 방안을 검토해야 합니다.

이 온디맨드 웨비나에서 계정 탈취 공격을 방지하는 방법을 자세히 알아보세요.