API 및 서드 파티 통합을 보호하는 방법

API는 현대적인 앱의 기반이자 AI 앱으로 이어지는 통로입니다. 서로 다른 시스템과 에코시스템이 함께 작동하도록 지원함으로써 API는 방대한 타사 에코시스템을 활용해 출시 기간을 단축하고 사용자 경험을 개선할 수 있습니다. 반면, API 사용의 폭발적인 증가와 생성형 AI의 부상으로 아키텍처가 분산되고 복잡성이 커졌으며 중대한 위험이 발생했습니다. 이로 인해 앱과 API를 보호하기가 더욱 어려워졌고, 결과적으로 공격자에게 매우 매력적인 표적이 되었습니다. 조직이 새로운 디지털 경제에서 앱 포트폴리오를 지속적으로 현대화하고 혁신함에 따라 API 수는 2031년까지 10억 개에 이를 것으로 예상됩니다.

API의 과제와 잠재적 위험 이해하기

엔드포인트와 통합이 끊임없이 확장되면서 API가 난립함에 따라, 보안 팀이 수동 방식으로 핵심 비즈니스 로직을 식별하고 보호하는 것은 현실적으로 어렵습니다. API는 데이터 센터, 퍼블릭 클라우드, 엣지 사이트를 활용하는 하이브리드 및 멀티클라우드 환경을 비롯한 이기종 인프라 전반에 점점 더 분산되고 있으며, 그 결과 핵심 비즈니스 로직이 중앙 집중식 보안 통제 범위 밖에 노출되고 있습니다. 또한 애플리케이션 개발 팀은 혁신을 위해 빠르게 움직이기 때문에 API 호출이 비즈니스 로직 깊숙이 숨겨지거나 안전하지 않은 코드를 참조하게 될 수 있어 보호하기가 어렵습니다.

혁신 속도가 이처럼 강조되다 보니 보안은 종종 뒷전으로 밀립니다. 때로는 API 자체를 설계할 때 보안을 아예 간과하기도 합니다. 보안을 고려하더라도 여러 클라우드와 아키텍처에 걸친 애플리케이션 배포를 유지·관리하는 과정의 복잡하고 미묘한 특성으로 인해 정책이 잘못 구성되는 경우가 많습니다.

API는 시스템 간 데이터 교환을 위해 설계되므로, 많은 API가 민감한 데이터로 직접 연결되는 경로가 됩니다. 하지만 사용자용 웹 양식의 입력값 검증과 같은 위험 통제 장치가 적용되지 않는 경우가 많습니다. 그럼에도 이러한 엔드포인트는 웹 앱을 위협하는 것과 동일한 공격, 즉 취약점 악용, 비즈니스 로직 오용, 액세스 제어 우회에 노출되며, 이는 데이터 유출, 서비스 중단, 계정 탈취(ATO)로 이어질 수 있습니다.

API 엔드포인트는 비즈니스 로직 공격의 위험을 완화하기 위한 코드 분석, 침투 테스트, 위협 모델링 등 웹 애플리케이션과 동일한 위험 통제를 적용해 평가해야 할 뿐만 아니라, 섀도 API와 좀비 API처럼 보안 팀의 관리 범위를 벗어나 있거나 사실상 방치된 엔드포인트에서 발생할 수 있는 의도치 않은 위험을 줄이기 위한 추가적인 고려도 필요합니다.

API도 웹 앱과 동일한 공격에 노출됩니다

API는 웹 애플리케이션을 표적으로 삼는 것으로 알려진 여러 공격에 동일하게 취약하기 때문에, API 보안 사고는 세간의 이목을 끈 대규모 데이터 유출 사건의 원인이 되어 왔습니다. 취약한 인증/권한 부여 제어, 잘못된 구성, 비즈니스 로직 악용, 서버 측 요청 위조(SSRF)와 같은 위험은 웹 앱과 API 모두에 영향을 미칩니다. 취약점 악용과 봇 및 악성 자동화에 의한 남용은 주요 우려 사항입니다:

• 인젝션 및 크로스 사이트 스크립팅(XSS)은 데이터에 대한 무단 액세스로 이어질 수 있습니다.
• 분산 서비스 거부(DDoS) 공격은 핵심적인 수익 창출 서비스를 중단시킬 수 있습니다.
• 크리덴셜 스터핑 및 기타 자동화된 공격은 계정 탈취, 데이터 유출, 사기로 이어질 수 있습니다.

API는 설계 및 구현 전반에 걸쳐 의도치 않은 위험을 초래합니다

애플리케이션은 점점 더 분산되고 탈중앙화된 모델로 전환되었으며, API가 이들을 서로 연결하는 역할을 하고 있습니다. 비즈니스 가치를 높이는 모바일 앱과 서드 파티 통합은 온라인 환경에서 성공적으로 경쟁하기 위한 필수 요건이 되었습니다. F5 Labs 연구에서는 더 많은 산업이 최신 애플리케이션 아키텍처를 도입함에 따라 API가 점점 더 주요 공격 대상으로 부상하고 있는 양상을 자세히 설명합니다. 이는 부분적으로 API가 더 구조화되어 있어 공격자가 다루기 쉽기 때문입니다.

전체적인 거버넌스 전략 없이 API가 광범위하게 분산되면 위험이 증가합니다. 복잡한 공급망과의 통합 및 CI/CD 파이프라인을 통한 자동화로 인해 애플리케이션과 API가 지속적으로 변화하는 애플리케이션 수명 주기 프로세스에서는 이러한 위험이 더욱 커집니다.

인터페이스의 다양성과 잠재적인 위험 노출로 인해 보안 팀은 최신 앱과 AI 앱의 구성 요소를 나타내는 모든 창문뿐만 아니라 정문까지 선제적이고 동적이며 지속적으로 보호해야 합니다.

API 보안 솔루션

머신 러닝 기술의 발전으로 테스트 환경과 프로덕션 환경 모두에서 API 엔드포인트를 동적으로 탐지하고 상호 종속성을 자동으로 매핑할 수 있게 되었습니다. 이를 통해 시간 경과에 따른 API 통신 패턴을 실용적으로 분석하고, 위험을 증가시키는 섀도 API 또는 문서화되지 않은 API를 식별할 수 있습니다.

또한 엔드포인트를 지속적으로 모니터링하고 분석하면 보안 기준선을 자동으로 구축할 수 있어, 보안 팀의 업무 부담을 불필요하게 늘리지 않고도 실시간 탐지, 자동화된 위험 점수 산정 및 악의적인 사용자에 대한 대응이 가능합니다.

이러한 지속적이고 자동화된 보호를 통해 정교하게 조정된 정책을 마련할 수 있으며, 이를 모든 아키텍처와 모든 API에 걸쳐 소프트웨어 개발 수명 주기의 모든 단계에 일관되게 적용할 수 있습니다. 그 결과 익스플로잇을 완화하고 비즈니스 로직 공격을 차단하며 스키마 및 프로토콜 준수와 액세스 제어를 강제할 수 있습니다.

기업은 최신 아키텍처와 서드파티 통합을 활용해 새로운 사용자 경험을 개발하는 동시에 레거시 애플리케이션을 현대화해야 합니다. 코어부터 클라우드, 엣지에 이르기까지 API를 보호하는 종합적인 거버넌스 전략은 알려진 위험과 알려지지 않은 위험을 줄이면서 디지털 혁신을 뒷받침합니다.

유연한 API 보안 패러다임

F5 솔루션은 어떤 환경에서도 운영할 수 있는 유연성을 제공합니다. 전반적인 가시성과 머신 러닝 기반의 자동화된 보호 기능을 통해 효과를 극대화하고 보안 팀의 부담을 줄입니다. F5는 단일 기능 중심의 전문 솔루션을 통합하고 하이브리드 및 멀티클라우드 환경을 일관되게 보호하여 복원력과 문제 해결 역량을 향상할 수 있습니다.

API 보안 배포 시 주요 고려 사항은 다음과 같습니다:

• 하이브리드 및 멀티클라우드 지원
  전반적인 가시성과 일관된 정책 적용을 통해 복잡성, 도구의 난립, 잘못된 구성의 위험을 줄이고 문제 해결 속도를 높일 수 있습니다.
• 기존 개발 프로세스와의 통합
  보안 팀은 테스트 중에 위험을 선제적으로 발견하고 네이티브 terraform 레지스트리를 통해 보안 정책을 CI/CD 파이프라인에 통합함으로써 애플리케이션 수명 주기에 발맞출 수 있습니다.
• 포지티브 보안 모델
  F5 솔루션은 OpenAPI 정의, Swagger 파일 및 제로 트러스트 원칙을 사용해 스키마를 적용하는 포지티브 보안 모델로 정책을 간소화합니다.
• 자동화된 방어
  머신 러닝 기반 이상 징후 탐지는 보안 팀에 환경 전반의 정책 조정이나 과도한 오탐에 따른 부담을 주지 않으면서 취약점 악용, 비즈니스 로직 남용, 서비스 거부 공격을 해결합니다.
• 풍부한 시각화
  API 사용량 기준선을 상세히 분석할 수 있는 보안 대시보드는 운영자가 인사이트 간의 연관성을 파악하고 인시던트 대응을 간소화하는 데 도움이 됩니다.
• 보안 복원력
  내구성 높은 텔레메트리와 고도로 훈련된 머신 러닝을 통해 디지털 비즈니스의 속도에 발맞추고 새롭게 등장하는 적대적 AI 공격을 완화하는, 더욱 효율적이고 효과적인 보안을 구현할 수 있습니다.

결론

F5 솔루션은 클라우드와 아키텍처 전반에서 중요한 비즈니스 로직과 타사 통합을 지속적으로 탐지하고 자동으로 보호함으로써 기업의 전체 포트폴리오에 걸쳐 API를 보호합니다.

포괄적이고 일관된 보안 정책과 복원력 있는 머신 러닝 기반 방어 체계를 결합하면 조직은 API 보안을 디지털 전략에 맞게 조정할 수 있습니다. 이를 통해 기업은 위험 관리를 개선하고, 자신 있게 혁신하며, 운영을 간소화할 수 있습니다.

See F5 Distributed Cloud 실제 활용 사례 보기.