오늘날의 클라우드 우선 생태계에서 소프트웨어 개발자들이 배포하는 API의 수가 급증하고 있습니다. F5의 2024년 애플리케이션 전략 현황(SOAS) 보고서에 따르면, 현재 3분의 1이 넘는 조직이 애플리케이션 수만큼 많은 API를 관리하고 있으며, 일부 대기업은 최대 10,000개의 API를 관리하고 있습니다.1 조직들이 애플리케이션 포트폴리오를 지속적으로 현대화함에 따라 사용 중인 API의 수는 2031년까지 10억 개를 넘어설 것으로 예상됩니다.2
API가 이처럼 빠르게 확산되는 이유는 무엇일까요?
API는 효율성과 상호 운용성을 높여 주기 때문에 현대 애플리케이션에 없어서는 안 될 요소가 되었습니다. 또한 API는 서로 다른 소프트웨어 시스템 간의 원활한 통신을 지원하여, 팀이 다양한 서비스를 통합하고 프로세스를 간소화할 수 있도록 합니다.
AI의 부상은 데이터 처리, 머신 러닝, 자동화 등의 기능을 API에 크게 의존하기 때문에 API의 성장을 가속화합니다. AI 도입이 계속 증가함에 따라 API에 대한 수요도 함께 늘어날 것입니다.
하지만 급속한 확장에는 중대한 보안 문제가 뒤따릅니다. F5 SOAS 보고서에 따르면 조직의 95%가 API 게이트웨이를 사용하고 있습니다1. 그러나 이 방식만으로는 충분하지 않습니다. 오늘날 API 보안은 두 가지 핵심 과제에 직면해 있습니다. 바로 API 검색과 개발 프로세스 초기에 보안을 적용하는 시프트 레프트입니다.
API 보안 현황과 부족한 점
현재 API 보호 조치는 급증하는 API 사용량을 따라가지 못하고 있습니다. API 게이트웨이가 일정 수준의 제어 기능을 제공하기는 하지만, API 검색과 포괄적인 보안 전략이라는 근본적인 요구 사항을 충족하지는 못합니다. Gartner는 2025년까지 전체 API의 절반이 관리되지 않는 상태가 되어 심각한 위험을 초래할 것으로 예측합니다.3 이러한 섀도 API는 보안 팀의 가시성과 통제 범위 밖에서 작동하기 때문에 조직을 무단 액세스, 데이터 침해 및 기타 위협에 노출시킬 수 있습니다. 또한 공격자가 악용하여 민감한 데이터에 무단으로 액세스할 수 있는 취약점을 내포하고 있습니다. 이러한 위협에 대응하기 위한 첫 단계는 조직 환경 내의 섀도 API를 찾아내는 것입니다.
섀도 API를 발견하고 이와 관련된 멀티클라우드의 복잡성을 관리하기 위해 팀은 API 검색용 도구를 사용하여 외부에 노출된 도메인 영역을 조사하는 것부터 시작할 수 있습니다. 회사 도메인 내의 모든 엔드포인트를 식별하면 API 환경을 파악하는 데 도움이 됩니다. 그러나 서로 다른 보안 프로토콜과 거버넌스 요구 사항을 적용하는 여러 플랫폼에 API가 분산된 멀티클라우드 환경에서는 문제가 더욱 복잡해집니다. 이러한 복잡성을 해결하려면 API 관리 및 보안에 대한 전략적 접근 방식이 필요합니다.
개발자가 새로운 API를 지속적으로 추가하는 상황에서 Apigee API 관리와 Google Cloud의 F5 Distributed Cloud API Security 같은 솔루션을 도입할 수 있습니다. 이러한 솔루션은 지속적인 검색 및 모니터링 기능을 제공하여 개발 주기 초기에 보안 조치를 적용하고 API 거버넌스를 강화할 수 있도록 지원합니다.
API 보안을 개발 초기 단계로 전환
Gartner에 따르면 2026년까지 조직의 40%가 고급 API 보호 및 웹 애플리케이션 보안 기능을 기준으로 WAAP 제공업체를 선택할 것으로 예상됩니다. 이는 2022년의 15% 미만에서 증가한 수치입니다.4
이는 반가운 소식이지만, 더 많은 조직이 시프트 레프트를 통해 보안 관행을 CI/CD 파이프라인에 통합하여 API가 처음부터 안전하게 구축되도록 할 수 있습니다. 이를 위해서는 포괄적인 API 문서화, 자동화된 보안 검사, 개발자 및 보안 팀을 위한 지속적인 교육이 필요합니다.
개발팀과 보안팀 간의 긴장 완화
역사적으로 신속한 배포에 중점을 두는 개발자와 안전을 우선시하는 보안 팀 사이에는 긴장이 존재해 왔습니다. 이러한 긴장을 완화하려면 보안에 대한 공동 책임 문화를 조성하는 것이 중요합니다. 협업과 상호 이해를 장려하면 목표를 일치시키고 프로세스를 간소화하는 데 도움이 될 수 있습니다.
전체 API 수명 주기 보호
포괄적인 접근 방식에는 지속적인 모니터링, 정기적인 업데이트, 선제적인 위협 탐지, 강력한 인증 및 권한 부여 메커니즘 구현, 그리고 AI를 활용해 위협을 탐지하고 완화하는 고급 보안 도구 도입이 포함됩니다.
F5와 Google Cloud가 시프트 레프트를 지원합니다
API 보안을 개선하기 위한 첫 단계는 모든 API를 철저히 조사하여 관리되지 않거나 오래된 엔드포인트를 식별하고, 해당 기능과 보안 조치를 문서화하는 것입니다. 조직은 위험 수준과 잠재적 영향을 기준으로 API 보안의 우선순위를 정해야 합니다. F5 Distributed Cloud API Security 및 Apigee와 같은 상호 보완적인 솔루션은 모든 환경에서 API를 보호하는 포괄적인 보안 프레임워크를 구축하여, 갈수록 상호 연결되는 세상에서 개발자가 안심할 수 있도록 지원합니다.
따라서 API의 성장은 조직에 기회를 제공하지만, 각 팀은 보안상의 위험 요소를 인지해야 합니다. 조직은 시프트 레프트를 실천하고 지속적인 탐지를 도입하며 개발팀과 보안팀 간의 협업을 강화함으로써 API를 더욱 효과적으로 관리할 수 있습니다.
API 보안에 관한 F5 및 Google Cloud 전문가들의 자세한 의견을 확인하려면 Shift Left: F5와 Google Cloud로 API 보안 혁신하기 웨비나를 온디맨드로 시청하세요. 또한 Google Cloud Platform(GCP) 페이지에서 양사의 파트너십에 대해 자세히 알아볼 수 있습니다.
출처
1. F5, 2024년 애플리케이션 전략 현황 보고서, 2024
2. F5, 지속적인 API 확산, 2021년 11월
3. Gartner, 2022년 전망: API에 향상된 보안 및 관리 필요, 2021년 12월
4. Gartner, 클라우드 웹 애플리케이션 및 API 보호 시장 가이드, 2023년 11월
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.