API 보안 모범 사례 3가지 인포그래픽

소개

새로운 디지털 경제에서 성공하고자 하는 조직이라면 기존 방식을 고수하는 것만으로는 부족합니다. 기존의 보안 제어는 정적이고 유연성이 떨어집니다. 이러한 제어는 사용자의 이용 경로와 트래픽 흐름을 예측할 수 있었던 클라이언트/서버 통신 시대에 설계된 것으로, API가 보편화되어 오늘날 디지털 경험의 초석으로 자리 잡기 훨씬 전의 방식입니다.

제로 트러스트, 최소 권한 액세스, 인증/인가 원칙을 도입해 보안을 현대화하려는 노력이 성과를 거두었지만, 이제 판도는 달라졌습니다. 디지털 자산에서 트랜잭션을 수행하며 애플리케이션 비즈니스의 성장을 뒷받침하는 주체는 더 이상 전통적인 의미의 사용자가 아닙니다. 이러한 ‘사용자’는 점점 더 API를 통한 비즈니스 로직 호출로 바뀌고 있으며, 고객이나 잠재 고객뿐 아니라 파트너 또는 에코시스템 통합에서 비롯되는 경우도 많습니다. API의 중요성이 커진 만큼 공격자에게도 훨씬 더 큰 표적이 되고 있습니다.

생존을 원하는 조직은 데이터 센터, 프라이빗/퍼블릭 클라우드, 엣지 전반에 걸쳐 분산되고 끊임없이 변화하는 디지털 환경에서 API를 보호하고 의도치 않거나 예측하지 못한 위험을 완화해야 합니다. 더 나아가 성장하려는 조직은 몇 가지 핵심 영역에 전략적 노력을 집중하여 하이브리드 및 멀티 클라우드 환경 전반의 디지털 접점을 보호하는 예측 가능하고 확장 가능하며 자체 방어 기능을 갖춘 API 보안 플랫폼을 구축해야 합니다.

전통적 보안과 현대적 보안의 비교

기존 보안 제어는 전 세계 조직에서 비즈니스 기밀과 고객 데이터를 보호하기 위해 널리 도입되어 있습니다. 기업은 민감한 정보에 대한 접근을 제한함으로써 개인정보를 보호하고 데이터 도난을 방지하기 위해 트래픽 검사를 활용합니다. API 게이트웨이의 속도 제한과 같은 보안 제어는 서비스 거부(DoS) 공격을 완화하는 데 도움이 됩니다. 또한 웹 애플리케이션 방화벽(WAF)의 웹 스크래핑 제어는 가격 정보와 같은 민감한 정보가 유출되는 것을 방지합니다. 이 밖에도 조직은 OWASP Top 10에 포함된 위험을 비롯한 여러 일반적인 위험에 대응하기 위해 정적 코드 분석, 동적 애플리케이션 보안 테스트 등 다양한 보안 도구를 함께 사용하는 경우가 많습니다.

하지만 오늘날의 디지털 환경에서는 기존의 보안 조치만으로는 충분하지 않습니다. 그렇기 때문에 많은 조직이 분산 애플리케이션을 위해 인증(AuthN), 권한 부여(AuthZ), 동적 트래픽 검사를 비롯한 최신 보안 제어를 도입하고 있습니다.

조직은 다단계 인증, 공개 키 인증서, 생체 인식 등의 방법을 사용하여 사람과 디바이스의 신원을 확인하고, 적법한 사용자와 신뢰할 수 있는 시스템만 데이터에 액세스할 수 있도록 합니다. 권한 부여란 인증된 사용자에게 적절한 권한을 부여하는 것으로, 사용자가 업무에 필요한 모든 파일과 데이터에는 액세스할 수 있도록 하는 동시에 열람 권한이 없는 다른 정보에는 접근하지 못하도록 합니다. 트래픽 검사를 통해 기업은 보안 검사 체인 전반에서 애플리케이션 트래픽을 검사하여 비정상적인 활동과 잠재적 위협을 식별하고, 회계 처리 또는 인시던트 대응에 필요한 인사이트를 확보함으로써 위험을 최소화할 수 있습니다.

이러한 보안 통제는 널리 도입되어 보안 및 위험 관리 팀이 충분히 이해하고 있지만, 데이터 센터의 핵심부부터 고객 접점에 이르는 수많은 디지털 접점 전반에 이를 구현하는 것은 매우 중요한 과제입니다.

그러나 오늘날 조직은 복잡하게 상호 연결된 아키텍처를 운영하고 있어 인증(AuthN) 및 권한 부여(AuthZ)와 같은 보안 정책을 일관되게 적용하기가 어렵습니다. IT 부서는 난립하는 도구와 이기종 환경 관리의 어려움으로 과부하 상태이며, ‘사용자’ 역시 사람보다는 API, 서비스 또는 머신일 가능성이 높습니다. 갈수록 복잡해지고 상호 연결되는 아키텍처에 대응하려면 위험 관리의 패러다임을 전환해야 합니다. 조직이 대규모로 데이터 인사이트를 연계하고 새롭게 부상하는 위협을 신속하게 해결하려면 인공지능(AI) 및 머신러닝(ML)과 결합된 크로스 플랫폼 가시성이 필요합니다. 이제 이러한 기능은 서비스형 웹 앱 및 API 보호(WAAPaaS) 플랫폼을 통해 구현할 수 있습니다.

적응형 ID 기반 보안

핵심적인 크로스 플랫폼 애플리케이션 서비스와 능동적인 운영 모델의 결합은 모든 보안 플랫폼, 특히 API를 보호하는 데 매우 중요합니다. 이러한 핵심 애플리케이션 서비스에는 제로 트러스트와 위험 기반 관리뿐 아니라 데이터 센터 또는 클라우드 환경 내에서 서비스와 해당 서비스에 대한 액세스를 격리하는 마이크로세그멘테이션이 포함될 수 있습니다. 또 다른 핵심 원칙인 기본 제공 심층 방어는 플랫폼 전반에 여러 계층의 보안 통제를 적용하여, 하나의 보안 통제가 의도적인 공격자를 저지하지 못하더라도 복원력을 유지할 수 있도록 합니다.

강력한 네임스페이스 격리는 리소스를 분리하여 보안을 강화하며, 비밀 정보 관리는 현대 아키텍처에서 점점 보편화되는 시스템 간 통신에 보안 정책을 일관되게 적용합니다.

그림 3: 크로스 플랫폼 애플리케이션 서비스의 일부인 인증(AuthN) 및 권한 부여(AuthZ)을 위한 ID 권한 기관.

포지티브 보안 운영 모델을 통해 조직은 CI/CD 파이프라인에 보안을 통합하고, 새로운 API 엔드포인트를 동적으로 검색하며, API 스키마 및 액세스 제어를 적용하는 동시에 AI/ML 기반 이상 탐지로 핵심 비즈니스 로직을 자동으로 보호할 수 있습니다. 이를 통해 애플리케이션 수명 주기 전반에 걸쳐 정책을 일관되게 적용하고, 고도로 분산되고 상호 연결된 아키텍처에서 위험과 의도치 않은 구성 오류를 줄이며, 악의적인 사용자를 무력화할 수 있습니다.

기반 인프라와 API가 어디에 있든 이러한 서비스를 일관되게 제공할 수 있도록 확장되고, 오탐 분석 및 위험 평가·분류와 같은 운영을 자동화할 수 있는 플랫폼을 활용하면 보안 팀은 여러 환경에서 보안 정책을 유지하고, 실제 조치나 사고 대응이 필요하지 않을 수도 있는 수많은 보안 경보를 처리하는 일상적인 실무 과제 대신 전략적 위험 관리에 역량을 집중할 수 있습니다.

그림 4: 포지티브 보안 운영 모델은 자동화된 보호와 적응형 방어를 지원합니다.

더 알아보기