API가 현대 애플리케이션, 특히 AI 애플리케이션의 핵심 기반으로 계속 발전함에 따라 조직은 새롭게 등장하는 보안 위험으로부터 API를 보호하는 데 점점 더 큰 어려움을 겪고 있습니다. 가시성을 유지하고 취약점을 탐지하며 강력한 보호 체계를 보장하는 것은 API 중심 비즈니스라면 반드시 갖춰야 할 필수 요건입니다.
“이번 릴리스에서는 새롭고 흥미로운 API 검색 옵션, 확장된 테스트 시나리오, 향상된 탐지 기능을 제공하며, 이를 통해 전반적인 가시성과 규정 준수를 개선하는 동시에 API 보안 위험을 줄일 수 있습니다.”
As part of the F5 Application Delivery and Security Platform (ADSP)의 일환으로, 최신 F5 Distributed Cloud Services 릴리스에서는 이러한 과제를 더욱 유연하고 효율적으로 정면 돌파할 수 있도록 설계된 다양한 신규 개선 사항을 선보입니다. 이번 릴리스에서는 API 보안 위험을 줄이는 동시에 전반적인 가시성과 규정 준수를 개선하는 데 중점을 두고, 새롭고 유용한 API 검색 옵션, 확대된 테스트 시나리오, 향상된 탐지 기능을 제공합니다.
이러한 새로운 기능을 좀 더 자세히 살펴보겠습니다.
확장된 API 검색 옵션
끊임없이 변화하는 API 인벤토리에 대응하려면 API를 효과적으로 검색하는 것이 매우 중요합니다. 특히 보안 사각지대가 될 수 있는 섀도 API와 관리되지 않는 API가 증가함에 따라 그 중요성이 더욱 커지고 있습니다. 이제 F5 ADSP에 F5 BIG-IP 및 F5 NGINX, 추가 프록시/게이트웨이, 에어갭 환경을 위한 확장된 검색 옵션이 도입되어, 조직은 다양한 앱과 환경 전반에서 API를 찾아내고 보호할 수 있는 유연성을 한층 더 확보하게 되었습니다. 각각의 새로운 검색 옵션은 고유한 앱 및 인프라 요구 사항을 충족하도록 설계되어, 조직이 API 가시성을 향상할 수 있는 더욱 포괄적인 기능을 제공합니다.
- BIG-IP를 위한 API 검색: BIG-IP TMOS를 활용하는 조직을 위해 당사는 대역 외 API 검색 옵션을 통해 F5 Distributed Cloud API Security의 검색 기능을 확장하고 있습니다. 이를 통해 BIG-IP 고객(버전 15.1 이상)은 가상 서버를 통해 처리되는 API 트래픽을 검사하고 Distributed Cloud Services 콘솔에서 명확하게 시각화할 수 있습니다. 이 통합을 통해 BIG-IP 고객은 알려지지 않은 API, 섀도 API 및 더 이상 사용되지 않는 API를 탐지하고, 정확한 최신 문서로 API 인벤토리를 보강하며, 단일 공급업체의 통합 솔루션을 통해 API 보안을 원활하게 관리함으로써 API를 완벽하게 제어할 수 있습니다. (실제 작동 모습은 여기에서 확인할 수 있습니다.)
- 추가 프록시 및 게이트웨이에 대한 API 검색 지원(얼리 액세스): API 요청은 다양한 프록시와 게이트웨이를 거치는 경우가 많아 조직이 전체 API 에코시스템을 포괄적으로 파악하기가 어렵습니다. 배포 위치, API 앞단의 서비스 또는 인프라 전반에서 요청이 이동하는 방식과 관계없이 모든 API를 파악하면 조직은 동작을 모니터링하고 잠재적 위협을 탐지하며 API의 무분별한 확산에 더욱 효과적으로 대응할 수 있습니다. 이러한 가시성은 다양한 환경에서 일관된 API 보안을 유지하는 데 필수적입니다.
이번 릴리스에서는 검증된 통합을 통해 대역 외 API 검색 기능을 NGINX OSS, NGINX Plus, Kong 및 Apigee 프록시로 확장했습니다. 또한 거의 모든 게이트웨이나 프록시에서 로그를 수집할 수 있는 범용 검색 솔루션을 도입하여 조직이 API 활동을 분석하고 관리되지 않는 API를 탐지하며 Distributed Cloud Services 콘솔에서 API 에코시스템을 중앙 집중식으로 시각화할 수 있도록 했습니다.
이 기능은 현재 얼리 액세스로 제공되며, 다양한 게이트웨이 및 프록시 기술을 사용하는 조직이 API 보안 태세를 강화할 수 있는 방법을 시험해 볼 기회를 제공합니다. - 로컬 API 검색(얼리 액세스): 이번 최신 릴리스에서는 규정 준수 또는 보안 제약으로 인해 외부 데이터 공유가 불가능한 에어갭 및 규제 환경을 위한 로컬 API 검색 기능을 제공합니다. 전용 콘솔이 포함된 배포형 로컬 API 검색 소프트웨어를 사용하면 민감한 데이터를 클라우드로 전송하지 않고도 BIG-IP 가상 서버를 통과하는 API를 100% 로컬 환경에서 파악할 수 있습니다. 로컬 API 검색은 엄격하게 통제되거나 클라우드 사용이 제한된 환경에서 운영되는 산업을 위해 설계되었습니다.
이 기능 역시 현재 얼리 액세스로 제공되며, 에어갭 환경을 사용하는 조직은 이를 통해 API 보안 태세를 강화하고 규정 준수 또는 규제 요건을 충족하는 방법을 시험해 볼 수 있습니다.
이렇게 확장된 API 검색 기능을 통해 기업은 섀도(알 수 없는), 관리되지 않거나 잊힌 API를 탐지하고, OpenAPI 스키마와 문서를 생성하며, 민감한 데이터 탐지 및 위험 인사이트를 활용해 API 인벤토리를 강화할 수 있습니다.
이러한 새로운 옵션은 다양한 애플리케이션 아키텍처와 보안/규정 준수 요구 사항을 충족할 수 있는 유연성을 제공하므로, 조직은 API 보안을 위해 애플리케이션을 변경하거나 중대한 아키텍처 결정을 내리거나 규정 준수 측면에서 타협할 필요 없이 진화하는 API 보안 과제에 손쉽게 대응할 수 있습니다.
새로운 시나리오로 확장된 API 테스트 제품군
다음을 통해 제공되는 선제적 보안 기능을 지속적으로 강화하는 가운데, F5 Distributed Cloud API Security 이번 릴리스에서는 서비스에서 제공하는 API 테스트 기능의 범위를 확대하여 OWASP API Top 10에서 식별된 더 많은 취약점을 다룹니다. 특히 조직이 API1(객체 수준 권한 부여 취약점) 및 API4(무제한 리소스 소비) 취약점을 테스트할 수 있도록 새로운 시나리오가 추가되었습니다. 이러한 추가 기능을 통해 조직은 다음과 같은 문제로 이어질 수 있는 API 코드 내의 숨겨진 위험을 파악할 수 있습니다.
- 리소스에 대한 무단 액세스.
- 안전하지 않은 토큰 처리.
- 과도한 데이터 노출.
- 리소스 포화 및 잘못된 구성.
API 테스트 제품군을 강화하면 조직은 API 코드 리포지토리와의 통합 및 자동화된 테스트를 통해 개발 수명 주기 초기에 더 광범위한 잠재적 취약점을 탐지할 수 있습니다. 이를 통해 조직은 프로덕션 배포 전에 문제를 해결하여 API 위협 표면 전반의 노출과 악용 가능성을 크게 줄일 수 있습니다.
OWASP API 10대 취약점 전반에 대한 위협 탐지 강화
API 테스트를 강화했을 뿐만 아니라 트래픽 기반 위협 탐지 메커니즘도 지속적으로 개선하고 있습니다. 새롭게 등장하는 위협으로부터 API를 보호하는 일은 끊임없는 과제이며, 고객 여러분께서 광범위하게 진화하는 위협으로부터 보호받아야 한다는 점을 잘 알고 있기 때문입니다.
이번 최신 릴리스에서는 새로운 기능을 추가해 기존의 여러 탐지 기능을 강화하고, 주요 OWASP API Top 10 위협에 대한 보호 수준을 높였습니다. 이를 통해 조직은 프로덕션 환경에서 발생하는 공격 또는 익스플로잇 시도와 의심스러운 API 활동을 더욱 심층적으로 파악할 수 있습니다.
새로운 탐지 기능을 한눈에 살펴보면 다음과 같습니다:
- 객체 속성 수준 권한 부여 취약점(BOPLA) 공격 탐지: BOPLA 익스플로잇에 대한 탐지 기능이 개선되어 API 요청에서 요청 매개변수가 악용되는 것을 식별할 수 있습니다. 조직은 이러한 이상 징후를 탐지함으로써 데이터 유출 및 권한 상승 시도로 이어질 수 있는 BOPLA 취약점 악용 공격을 더욱 효과적으로 방지할 수 있습니다.
- JWT 자동 추출: API 요청에서 JWT를 식별하고 추출하여 사용자/클라이언트 식별 및 추적 기능을 개선합니다. 이는 객체 수준 권한 부여 취약점(BOLA)을 탐지하는 데 매우 중요하며, 장기적인 보안 인사이트를 위해 정확도와 공격 추적성을 향상합니다.
- 인증 실패 탐지 기능 개선: 새 릴리스에서는 인증이 필요한 엔드포인트에 인증 없이 접근한 사례를 표시하여 인증 로직의 심각한 취약점을 즉시 파악할 수 있도록 합니다. 이러한 인사이트를 바탕으로 신속하게 시정 조치를 시행하여 API 엔드포인트 보안을 강화할 수 있습니다.
- 기능 수준 권한 부여 취약점(BFLA) 공격에 대한 이상 탐지 개선: 확장된 이상 탐지 기능을 통해 관리 엔드포인트를 노리는 잠재적인 BFLA 악용 시도를 식별할 수 있습니다. 인증된 사용자의 적절한 ‘클레임’을 검증함으로써 조직은 민감한 관리 기능을 노리는 무단 접근 시도에 대한 증거를 실시간으로 확보할 수 있습니다.
이러한 탐지 기능 향상을 통해 조직은 BOLA, BOPLA, BFLA 및 인증 취약점 악용과 같은 중대한 공격 시도를 실시간으로 파악할 수 있습니다. 조직은 위협을 정확하게 식별함으로써 복잡한 API 에코시스템 전반에서 강력한 보안 태세를 유지하고 공격과 익스플로잇을 더욱 선제적으로 방지할 수 있습니다. 이러한 기능을 활용하면 조직은 API를 더욱 효과적으로 보호하고 API 보안 위험을 줄일 수 있습니다.
API 수명 주기에 보안 통합
이번 릴리스에서는 API 검색, 테스트 및 탐지 기능을 확장하여, 조직이 전체 API 수명 주기에 걸쳐 보안을 강화할 수 있도록 지원하려는 F5의 지속적인 노력을 애플리케이션 딜리버리 및 보안 플랫폼을 통해 보여줍니다. 배포 방식과 관계없이 모든 앱과 아키텍처에서 섀도 API 또는 더 이상 사용되지 않는 API를 더욱 효과적으로 찾아내는 것부터 초기 단계의 취약점을 완화하고 실제 위협을 더욱 효과적으로 탐지하는 것까지, F5는 가장 복잡하고 분산되어 있으며 다양한 앱 및 API 에코시스템에서 가시성과 제어력을 유지할 수 있도록 지원하기 위해 최선을 다하고 있습니다.
자세한 내용은 당사의 보도 자료를 참조하세요. 또한 지금 바로 당사의 제품 페이지에서 F5의 전체 API 보안 기능을 살펴보고, F5와 함께 API 보안 태세를 최적화하기 위한 다음 단계로 나아가세요.
여기에서 언급한 얼리 액세스 제품에 관심이 있는 고객은 자세한 내용을 알아보려면 현지 F5 고객 담당 팀에 문의하세요.
작성자 소개
관련 블로그 게시물
F5 NGINX Gateway Fabric로 AI 제공 표준화
F5 NGINX Gateway Fabric이 기업의 Kubernetes 트래픽 표준화, 애플리케이션 보안 강화, 대규모 AI 추론 준비를 어떻게 지원하는지 알아보세요.
F5의 CalypsoAI 인수 발표, TRiSM 프레임워크 구축을 향한 행보
F5의 CalypsoAI 전략적 인수를 통해 조직은 보안, 개인정보 보호 및 운영 통제력을 유지하면서도 안심하고 AI를 도입할 수 있습니다. 자세한 내용은 블로그에서 확인하세요.
사이버 복원력: LLM을 위한 OWASP Top 10 위험 완화
OWASP가 2025년 LLM 및 생성형 AI 앱을 위한 10대 위험 및 완화 방안을 발표하면서 업계에 절실히 필요했던 보안 기준이 마련되었습니다. 하지만 실행이 뒤따르지 않는 기준은 아무 의미가 없습니다. F5 AI 런타임 보안 솔루션은 OWASP 10대 위험의 80%에 대응하며, 현실에서 가장 시급한 위험을 우선적으로 해결합니다. 이 솔루션은 실시간 런타임 보호 기능을 결합하여 […]
석유 및 가스 산업을 위한 AI 보안
AI는 지질 모델링과 시추 최적화부터 파이프라인 모니터링, 예측 유지보수, 원자재 거래에 이르기까지 석유 및 가스 산업을 재편하고 있습니다. 하지만 이러한 미션 크리티컬 활용 사례에는 높은 위험도 따릅니다. 당사의 AI 런타임 보안 솔루션은 검증을 위한 레드팀, 보호를 위한 Guardrails, 그리고 내장된 관측 가능성을 통해 석유 및 가스 산업을 안전하게 보호합니다. […]
인사 부서를 위한 AI 보안
AI는 HR을 혁신하고 있습니다. 기업들은 비용을 절감하고 직원 경험을 개선하기 위해 AI 기반 채용 코파일럿, 온보딩 도우미, 직원 지원 챗봇, 인력 분석 도구를 도입하고 있습니다. 하지만 HR 애플리케이션에는 규정 준수 실패, 편향 논란, 평판 훼손으로 이어질 수 있는 고유한 위험도 존재합니다. 당사의 AI 런타임 보안 솔루션은 다음과 같은 방식으로 HR 분야를 보호합니다. […]
기업 법무 관리를 위한 AI 보안
AI는 계약 검토 및 증거개시 자동화부터 규제 준수 모니터링과 민감한 지식재산 관리에 이르기까지 기업 법무팀의 업무 방식을 혁신하고 있습니다. 그러나 법률 환경은 AI 도입 시 가장 큰 위험이 따르는 분야 중 하나입니다. 당사의 AI 런타임 보안 솔루션은 검증을 위한 레드팀, Guardrails 등 세 가지 접근 방식으로 기업 법무 관리를 보호합니다 […]