시프트 레프트: 금융 서비스 API 보안의 판도를 바꾸는 전략

Chad Davis수석 산업 마케팅 매니저 | F5

이제 API는 그 어느 때보다 중요해졌습니다. 특히 계좌 보유자의 일상적인 거래 결제를 처리하고 원활한 온라인 계좌 개설을 지원하는 등 다양한 업무에 API를 활용하는 금융 서비스 기관에는 더욱 그렇습니다.

또한 API를 통한 핀테크 기업과의 협력이 보편화되는 등 금융 서비스 생태계가 끊임없이 변화함에 따라, 금융 부문에서 API 사용이 크게 증가하고 있습니다. 이에 따라 금융 서비스 기관의 API 의존도는 그 어느 때보다 높아졌습니다.

하지만 API에 대한 의존도가 높아지면서 공격자들의 주목을 받고 있습니다.

공격자들은 이러한 API가 수행하는 핵심적인 역할을 인식하고 시스템에 접근해 중요 데이터를 유출하기 위해 API의 취약점을 악용하고 오용하며 침해하려는 목적으로 끊임없이 공격하고 있습니다. 기존 앱 및 API 보안 도구가 트래픽 기반 탐지와 검사에만 의존함에 따라 하이브리드 및 멀티클라우드 환경의 복잡성과 관리 문제가 더욱 심화됩니다. 이러한 방식으로는 전체 상황을 부분적으로만 파악할 수 있으며, API가 프로덕션 환경에 배포된 후에야 이를 탐지할 수 있습니다.

이러한 시나리오는 대규모 데이터 유출, 규정 준수 문제, 막대한 규제 벌금 등 심각한 비즈니스 위험을 초래합니다. 하지만 금융 서비스 조직은 고객이 신속한 서비스 이용, 모든 계좌를 한눈에 볼 수 있는 통합 조회, 간편한 송금을 요구하기 때문에 이러한 위험을 감수해야 합니다. 이 모든 기능은 내부적으로 API를 통해 제공됩니다.

이 글에서는 하이브리드 및 멀티클라우드 환경에서 운영되는 금융 서비스가 시프트 레프트를 통해 얻을 수 있는 혁신적인 이점을 살펴보고, 이것이 금융 서비스 API 보안의 다음 주요 이정표인 이유를 설명합니다. 조직은 코드베이스에서 직접 조기에 API를 식별하고, 이를 종합적으로 파악하며, 선제적으로 문서화함으로써 방어 체계를 강화하고, 가시성의 중대한 공백을 해소하며, 통제를 개선하고, 규정 준수 요건과 규제 기관의 요구를 충족하는 한편, 위험 부담이 매우 큰 금융 업계에서 API 보안의 새로운 표준을 수립할 수 있습니다.

시프트 레프트란 무엇이며, 왜 중요한가요?

보안 패러다임에서 "시프트 레프트"라는 개념은 단순한 유행이 아니라 강력한 보호와 위험 관리를 보장하기 위한 필수 요소로 자리 잡고 있습니다. 특히 API는 기존 웹 앱보다 더 자주 변경되고 새로운 API가 훨씬 빠른 속도로 추가되기 때문에 더욱 그렇습니다.

간단히 말해, 인라인 트래픽 분석과 같은 기존 보안 통제에만 집중하면 조직은 전체 공격 표면에 존재하는 취약점을 파악하고 이해할 수 없게 됩니다. 이로 인해 조직은 공격에 취약해지며, 사각지대가 재앙을 초래할 수 있는 금융 서비스의 API 영역에서 이러한 문제가 특히 두드러집니다. 취약점과 약점은 프로덕션 환경에서 수정하기가 언제나 더 어렵고 비용도 많이 들며, 코드가 변경될 때마다 추가적인 위험이 발생할 가능성이 있습니다.

‘시프트 레프트(shift-left)’ 전략의 중요성은 단순히 새로운 기술을 통합하는 데 그치지 않습니다. 이는 개발 주기의 시작 단계부터 API 보안에 접근하는 방식을 근본적으로 혁신하는 것입니다.

코딩 단계부터 API 검색을 시작하고 문서의 정확성을 보장하면 조직은 자사의 API 환경을 더욱 완전하게 파악할 수 있습니다. 이러한 선제적 접근 방식을 통해 프로덕션 환경에서 잠재적 취약점과 관련된 규칙, 제어 및 정책을 적용하여 테스트하고, 조기에 탐지하며, 즉시 해결할 수 있습니다. 이는 개발자의 작업 속도를 늦추지 않으면서 애플리케이션이 프로덕션 단계로 나아갈 수 있는 견고한 기반을 마련합니다. 이후 다음 릴리스나 버전에는 코드 수준에서 취약점을 해결한 업데이트된 코드를 반영할 수 있습니다. 개발자는 세상을 바꿀지도 모를 멋진 다음 기능에 집중할 수 있도록 인벤토리 및 문서화 프로세스의 자동화를 기꺼이 받아들일 것입니다.

시프트 레프트 전략을 도입할 때 얻을 수 있는 주요 이점은 무엇인가요?

시프트 레프트 관점을 도입하면 많은 이점을 얻을 수 있습니다. 팀은 API를 더 잘 이해하고 보안 태세를 강화한 상태에서 프로덕션으로 전환할 수 있으며, 더욱 완전한 문서와 테스트에서 식별된 취약점에 대응하기 위한 선제적 보안 정책도 갖출 수 있습니다. 코드를 기반으로 한 이러한 탐색은 조직의 출발점이 되어 이상 징후와 알려지지 않았거나 더 이상 사용되지 않는 좀비 API 및 섀도 API를 더 쉽게 찾아내고, 프로덕션으로 전환한 후 발생하는 드리프트를 감지할 수 있게 해 줍니다. 이 모든 과정에서 프로덕션 환경 등에서 즉석으로 대응 방법을 익힐 필요도 없습니다.

초기 문서 없이 단편적인 정보를 조합하는 사후 대응 방식과 달리, 시프트 레프트를 도입하면 조직은 몇 단계 앞서 나가 보안 과제에 정면으로 대응할 준비를 갖출 수 있습니다.

그 밖의 이점은 다음과 같습니다:

• 프로덕션 환경에서 취약점 노출 제한
• API 문서화 및 이해도 향상
• 시간이 지남에 따라 API 코드를 강화하고 개선할 수 있도록 안전한 코딩 관행 장려
• 지속적인 위험 평가 및 해결 루프를 적용하여 도구 통합의 어려움 완화

시프트 레프트 전략에서 취약점을 조기에 탐지하기 위해 고려할 새로운 도구

애플리케이션과 API를 위한 보안 솔루션을 관리하는 일은 이미 많은 조직에 벅찬 과제입니다. 실제로 F5가 후원한 Datos Insights의 최근 보고서에 따르면 API 보안 분야에서만 80개가 넘는 솔루션 제공업체가 활동하고 있으며, 조직당 평균 20,000개 이상의 API를 사용하는 것으로 나타났습니다!

그 결과, 조직은 앱과 API를 보호하기 위해 여러 공급업체의 기술을 조합해 사용하는 경우가 많으며, 이는 사실상 API 보안을 공급망 보안으로 바꾸어 놓습니다. 이를 염두에 두고 API 보안을 위한 ‘시프트 레프트’ 솔루션을 선택할 때 고려해야 할 몇 가지 사항을 살펴보겠습니다.

• 스캔, 정찰 및 테스트 기능을 통한 코드 수준의 탐지로, 코드 내 CVE와 API 위험을 조기에 발견
• 생성형 AI 기반의 지능형 자동 보안 대응
• 강력한 API 스키마 자동 생성 및 검증
• 실행 가능한 인텔리전스를 통해 API 위험을 명확하게 파악
• 전체 앱 개발 수명 주기에 걸쳐 앱 및 API 보안과 제공 기능을 아우르는 광범위한 포트폴리오의 일부인 솔루션을 활용하여 API 수명 주기 전반의 보안 제공

시프트 레프트 접근 방식의 핵심인 선제적 전략을 활용하면 불일치, 섀도 API 및 기타 문제를 더 빠르고 정확하게 식별할 수 있습니다. 이 방법은 문서화가 누락되거나 처음부터 전반적인 이해가 부족할 수 있는 임시방편식 접근 방식보다 훨씬 우수합니다.

적절한 기술을 기반으로 시프트 레프트 전략을 도입하면 보안이 강화될 뿐만 아니라 전체 개발 수명 주기가 간소화되어 애플리케이션 팀과 리스크 관리 팀 모두가 이점을 누릴 수 있으므로, 미래 지향적인 금융 서비스 조직에 필수적인 관행입니다.

자세히 알아보세요 시프트 레프트가 조직에 어떤 도움이 되는지.

_{이 블로그는 일부 콘텐츠를 공유하며, 다른 산업 분야에 초점을 맞춘 추가 내용도 제공합니다.}

작성자 소개

Chad Davis수석 산업 마케팅 매니저 | F5

Chad Davis의 다른 블로그 게시물