가장 심각한 API 보안 위험 신호

모든 API가 어디에 있는지 파악하지 못하고 있습니다

• API 난립은 놀라울 정도로 만연해 있습니다. Datos API 보안 솔루션 평가 가이드에 따르면, 2030년까지 사용되는 API 수는 20억 개를 넘어설 것이며, 이미 조직당 평균 20,000개 이상의 API를 사용하고 있습니다.
• API 엔드포인트는 고유한 과제를 안겨줍니다. F5의 「2024년 애플리케이션 전략 현황 보고서」에 따르면, “개별 API 하나에 수십 개 또는 수백 개의 엔드포인트가 있을 수 있습니다.” 더욱 복잡한 점은 조직이 자사 시스템과 통신하는 모든 API를 완전히 통제하지 못할 수도 있다는 것입니다.
• Postman의 2023년 API 현황 보고서에서는 API 사용을 가로막는 다음과 같은 장애 요인을 확인했습니다:
  • 문서 부족(52%)
  • API 검색의 어려움(32%)

조직의 공격 표면이 명확하지 않습니다

• The Datos API 보안 솔루션 평가 가이드에서는 핵심 문제를 다음과 같이 설명합니다. “API 공격 표면을 파악하는 것은 API 보안에 필수적입니다. CISO는 알지 못하는 것을 보호할 수 없습니다. 섀도 API, 고아 API, 구버전 API 및 오래된 API를 식별하려면 API 검색이 필요합니다.”
• API는 모든 현대 비즈니스에 매우 중요합니다. Venture Beat의 설명에 따르면, “API는 전체 웹 트래픽의 91%를 차지하며, 마이크로서비스 아키텍처로의 전환 추세와 빠르게 변화하는 시장 상황에 역동적으로 대응해야 할 필요성에 부합합니다.”
• 그리고 API는 핵심적인 역할을 하기 때문에 사이버 범죄자들이 즐겨 노리는 표적입니다. 웹 기반 사이버 공격의 90%가 API 엔드포인트를 표적으로 삼고 있으며, API에서 비롯된 공격으로 유출된 레코드 수는 10억 건을 넘어섰습니다.

보안 스택이 지나치게 복잡합니다

• 오늘날의 앱과 API는 하이브리드 멀티클라우드 환경에 배포되고 있습니다. 2024년 애플리케이션 전략 현황 보고서에 따르면, 약 90%의 조직이 SaaS, 퍼블릭 클라우드/IaaS, 온프레미스(기존 방식), 온프레미스(프라이빗 클라우드), 코로케이션, 엣지를 포함한 하이브리드 배포 모델을 운영하고 있습니다.
• From 동일한 보고서에 따르면, 6가지 서로 다른 모델을 운영하는 조직의 수가 2023년에서 2024년 사이에 약 20% 증가했습니다.
• 대기업(직원 10,000명 이상)의 66%는 일반적으로 60~80개의 보안 도구를 사용합니다. 이는 여러 클라우드 환경의 특정 요구 사항을 해결하는 데 필요한 전용 도구를 사용하기 때문이기도 합니다.

보안 태세를 유지하는 데 수작업이 너무 많이 필요합니다

• API와 엔드포인트가 너무 많기 때문에 수동 보안 업데이트 방식은 지속 가능하지 않습니다. API 보안을 자동화하면 수동 업데이트의 필요성을 크게 줄일 수 있습니다. 이는 월간 1,800만 건의 API 요청을 관리하는 복잡성을 줄이기 위한 노력을 담은 이 McGraw Hill 사례 연구에서 확인할 수 있습니다.
• 애플리케이션 전략 현황 설문조사 응답자들은 제로데이 공격에 대응할 때 수동 패치 및 업데이트로는 충분히 신속하게 대처할 수 없다고 답했으며, 많은 의사 결정권자는 공격이 성공했을 때 발생하는 막대한 비용 때문에 앱 및 API 보안 자동화가 필수라고 밝혔습니다. 이에 따라 앱 및 API 자동화 비율은 지난 1년간 33%에서 43%로 증가했습니다. 공개되는 CVE 수가 빠르게 늘어나는 가운데, F5 Labs 연구진은 2025년에는 통상적으로 매주 500개의 새로운 CVE가 공개될 것으로 예상합니다.
• 생성형 AI 도입이 확대되면서 앱 및 API 보안에도 영향을 미치고 있습니다. 보안 분야에서 생성형 AI의 가장 대표적인 활용 사례는 탐지된 위협에 맞춰 보안 정책을 자동으로 조정하고 보안 구성을 생성하는 것입니다.

AI 앱 보안이 걱정됩니다

• 생성형 AI 보안은 탄탄한 애플리케이션 및 API 보안을 기반으로 시작됩니다. 이를 Google의 클라우드 개발자 애드버킷인 Mete Atamel은 다음과 같이 간결하게 설명합니다: “생성형 AI를 어떤 방식으로 사용하든, 결국에는 SDK나 라이브러리 또는 REST API를 통해 엔드포인트를 호출하게 됩니다.”
• 출시 두 달 만에 OpenAI GPT Store에서 사용자가 이미 300만 개가 넘는 맞춤형 ChatGPT를 만들었으며, 이는 타사 제공업체의 보안을 확보하는 데 따르는 보안 과제의 규모를 보여줍니다.
• IDC는 “응답자의 66%가 GenAI를 비롯해 퍼블릭 및 프라이빗 AI 워크로드를 주요 사용 사례 중 하나로 꼽았다”고 보고했습니다. 또한 “대부분의 엔터프라이즈 AI 기반 애플리케이션은 구현 방식이 고도로 분산되어 있어, 다양한 퍼블릭 클라우드, 특화 클라우드, 온프레미스 인프라 및 애플리케이션 환경을 높은 가용성과 보안성을 유지하며 오가야 하는 수십에서 수백 건의 API 상호작용이 필요하다”고 밝혔습니다. F5 연구진 역시 대부분의 조직이 하이브리드 및 멀티클라우드 환경에 AI 앱을 배포할 것으로 예상한다는 사실을 확인했습니다. 애플리케이션 전략 현황 설문조사 응답자들은 퍼블릭 클라우드(80%)와 온프레미스(54%)에서 AI 앱을 운영할 것이라고 답했습니다.