F5의 애플리케이션 전략 현황 보고서에 따르면, 조직이 증가하는 위협 환경에 대응하고 앱과 API를 보호하기 위해 고군분투하는 가운데 멀티 클라우드의 복잡성과 일관된 보안 정책 적용의 어려움이 가장 큰 과제로 꼽혔습니다.
API 난립으로 인한 광범위한 과제
앱 개발자와 보안 팀이 힘을 합쳐 API 보안 과제를 성공적으로 해결할 수 있도록 Google Cloud와 F5는 특별 웨비나를 공동 개최했습니다. 복잡하게 얽힌 API 풀기: 무분별한 확산에 대응하고 디지털 생태계 보호하기이 대화에서는 조직이 API의 무분별한 확산, 관리 및 보안과 관련해 현재 고민하고 있거나 반드시 고민해야 할 까다로운 질문에 대해 실질적이고 실행 가능한 여러 해답을 제시했습니다.
라이브 세션에 참석하지 못했더라도 걱정하지 마세요. 이 블로그 게시물에서 주요 내용을 일부 확인하고 다시 보기 영상도 시청할 수 있습니다.
ActualTech Media의 Jess Steinbach가 진행한 이 행사에는 저명한 발표자들도 참여했습니다. Joshua Haslett Google Cloud 전략적 기술 파트너 관리자, Ian Dinno F5 수석 제품 마케팅 관리자, 그리고 David Remington F5 제품 관리 디렉터가 함께 API 보안이라는 뜨거운 주제를 정면으로 다루며, 조직 전반에 걸쳐 더욱 포괄적인 앱 및 API 보안 전략을 도입할 수 있도록 참석자들에게 전문적인 조언과 실질적인 지침을 제공했습니다.
안전한 API를 위한 길 찾기
토론에서 제기된 주요 논점 중 하나는 총체적인 접근 방식을 구현하기 위한 올바른 방향을 찾는 것이었습니다. 조직의 애플리케이션 생태계 전반에서 사용되는 API 수가 전례 없는 속도로 계속 증가하면서 이 문제는 해결하기가 더욱 어려워졌습니다. 한 참석자의 질문에서도 강조되었듯이, API의 무분별한 확산으로 인한 보안, 거버넌스 및 효율성 문제는 하이브리드 클라우드 인프라의 도입 확대와 복잡한 다중 애플리케이션 비즈니스 프로세스를 구동하는 수많은 마이크로서비스로 인해 더욱 심화되고 있습니다.
데이터 유출, 계정 탈취, 사기 등 API 난립과 관련된 위험에 대응하려면 조직의 애플리케이션 보안 프로그램에 지속적인 탐색 및 모니터링, 런타임 보호, 실시간 보안 상태 관리를 제공하는 API 보호 기술이 포함되어야 합니다. 또한 릴리스가 지연되거나 사용자 경험에 부정적인 영향을 미치거나 애플리케이션 가동 중단이 발생하지 않도록, 소프트웨어 개발 수명 주기의 초기 단계에 보안 방법론과 코드 테스트를 손쉽게 통합하여 CI/CD 파이프라인이 원활하게 운영되도록 지원하는 프로세스도 마련되어야 합니다.
보안을 향한 여정은 비즈니스에 맞춰 변화하고 성장해야 합니다
팀에서 어떤 API가 어디에서 실행되고 있는지 충분히 파악했다고 생각하는 순간에도 새로운 앱이나 API 엔드포인트가 추가되거나 기존 항목이 업데이트될 가능성이 큽니다. 이는 새로운 서드 파티 서비스일 수도 있고, 보안을 담당하는 팀에서 파악하지 못한 여러 신규 또는 업데이트된 API일 수도 있습니다. 이로 인해 조직에는 취약한 진입점과 노출 위험이 새롭게 생깁니다. 끊임없이 확산되는 환경을 지속적으로 파악하는 일은 끝없는 싸움이며, 보안 팀이 이러한 서비스를 개별적으로, 그리고 완전하게 작동하는 애플리케이션의 일부로서 평가하고 보호하기는 더욱 어려워집니다.
애플리케이션 인프라의 복잡성이 확대되면서 위협 환경의 위험이 증가하는 것과 관련해, Ian과 David는 AI와 머신 러닝이 API 보안에서 공격의 범위와 규모뿐 아니라 필요한 보호 조치 측면에서도 중요한 역할을 하게 될 것이라는 확고한 입장을 밝혔습니다.
웨비나에서 패널이 논의한 또 다른 핵심 요소는 API 보안 상태에 대한 가시성을 확보해야 한다는 점입니다. 예를 들어, 한 참석자는 최근 일부 시스템과 애플리케이션에서 성능 문제와 기타 장애가 발생하기 시작했다고 패널에게 설명했습니다. 하지만 이러한 현상이 API의 무분별한 확산을 악용한 실제 공격의 징후인지 쉽게 판단할 수 없었습니다. 이는 많은 팀이 겪고 있는 공통적인 문제로 보입니다.
Google과 F5, 안전하고 빠르며 원활한 사용자 경험 제공 지원
이 대화에서는 우수한 API 보안 관행을 적용하기 위해 검증된 접근 방식을 도입할 때 따라야 할 몇 가지 모범 사례도 소개했습니다. 이와 관련된 핵심 요소 중 하나는 지속적으로 증가하는 API를 보호할 수 있도록 기존 애플리케이션 보안 인프라를 강화하는 것입니다.
바로 이 지점에서 F5의 웹 앱 및 API 보호 솔루션이 진가를 발휘합니다. 귀사와 같은 조직이 하이브리드 및 멀티 클라우드 환경의 복잡성을 줄이고, 팀이 대규모로 안전한 디지털 경험을 더욱 쉽게 제공할 수 있도록 지원합니다. Google Cloud와 F5를 활용하면 현재 인프라에서 안전하고 빠르며 원활한 사용자 경험을 유지하는 동시에, 비즈니스가 지향하는 방향으로 발전할 수 있는 환경을 준비할 수 있습니다.
다시 한번 이 중요한 주제에 관심을 가져 주셔서 감사드리며, 웨비나 전체 주문형 녹화본을 통해 논의 내용을 직접 확인해 보시기 바랍니다. 웨비나 제목은 복잡하게 얽힌 API 풀기: 무분별한 확산에 대응하고 디지털 에코시스템을 보호하는 방법입니다.
궁금한 점이 있으시면 F5 Distributed Cloud 팀의 API 보호 전문가에게 문의하여 후속 상담을 받아 보시기 바랍니다.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.