최근 Google Cloud 연구 보고서에 따르면, 설문조사에 참여한 조직의 절반이 지난 12개월 동안 API 보안 사고를 경험했습니다.1 API를 통한 계정 탈취 공격의 증가는 잠재적인 매출 손실과 고객 신뢰 하락으로 이어져 비즈니스 위험을 높일 뿐만 아니라, 제공, 배포 및 유지 관리 프로세스를 방해하여 제품 출시를 담당하는 애플리케이션 팀의 부담을 가중합니다.
위협 환경에 더 효과적으로 대응하기 위한 주요 API 보안 문제 논의
조직들이 API 기반 보안 사고라는 현실에 직면하면서, 많은 조직이 운영 워크플로를 훼손하지 않으면서 위협에 선제적으로 대응할 수 있는 명확하고 실용적인 방법을 모색하고 있습니다. 이들은 이렇게 묻습니다. "API 트래픽을 분석하고, 봇과 악용 행위를 탐지하며, 사기나 데이터 도난으로 이어질 수 있는 무단 액세스를 방지하기 위해 어떤 조치를 취하고 있는가?"
최근 여러 앱 개발자와 보안 전문가들이 F5 및 Google Cloud와 함께 애플리케이션의 수많은 API를 통해 막대한 피해를 초래할 수 있는 계정 탈취 위협을 차단하는 방안에 대해 논의했습니다.
이 웨비나는—계정 탈취 위협 차단 – API 보안 논의에 참여하세요—DevOps 팀과 정보 보안 팀이 협력하여 이러한 API 보안 과제를 성공적으로 해결할 수 있도록 마련되었습니다. 주요 주제는 다음과 같습니다:
- API를 겨냥한 현재의 위협 환경
- 기존 봇 탐지 기법이 더 이상 효과적이지 않은 이유
- 잠재적인 브랜드 및 평판 훼손을 완화하는 방법
라이브 세션에 참석하지 못하셨더라도 걱정하지 마세요. 이 블로그 게시물에서 주요 내용을 확인하고 다시보기 영상도 시청하실 수 있습니다.
대비하고, 보호하고, 대응하세요
논의가 진행되면서 패널들은 API가 어떻게 보안 위험을 초래할 수 있는지, 그리고 조직이 API를 통한 계정 탈취를 방지하기 위해 무엇을 할 수 있는지 설명했습니다. 또한 현재 사용되는 API가 방대해지면서 디지털 공격 표면이 기하급수적으로 확대되었지만, 많은 조직이 효과적인 보호에 필요한 가시성을 확보하지 못하고 있다고 강조했습니다. 충분한 가시성을 확보하기 위해 전문가들은 조직이 다음 질문에 답해 볼 것을 권고했습니다:
- 우리 환경에는 어떤 API가 존재하나요?
- 해당 API를 통해 어떤 리소스에 액세스할 수 있나요?
- 누가 API를 사용하나요?
- 해당 API로 인해 노출되는 구체적인 비즈니스 취약점은 무엇인가요?
API 기반 사이버 위협에 효과적으로 대응하려면, 악의적 공격자가 사용자 계정 탈취에 성공하기 전에 DevOps, 정보 보안 및 비즈니스 팀이 협력하여 보호 조치를 구현할 수 있는 최선의 방법을 찾아야 합니다. 효과적인 사이버 보안 프로그램을 위해서는 적절한 도구와 인텔리전스, 탄탄한 부서 간 협업 계획, 효과적인 팀 협력, 진행 상황과 보안 태세를 평가하고 측정하는 역량, 그리고 전략의 효과를 경영진과 조직 전체에 솔직하게 보고할 수 있는 자신감을 아우르는 종합적인 전략이 필요합니다.
방어 체계를 강화하기 위해 당사 전문가들은 애플리케이션 개발 및 배포 과정에서 보호 조치를 추가하고, 배포 후에는 실시간 모니터링을 도입할 것을 권장합니다. 이를 통해 심각한 문제가 발생하기 전에 팀이 신속하게 대응할 수 있습니다. 이처럼 포괄적인 다계층 접근 방식을 사용하면 멀티클라우드 네트워크 트래픽과 분산 애플리케이션 및 API 데이터가 혼재된 환경에서도 데이터를 확장성 있게 수집하는 동시에 정상적인 행동 및 활동과 악의적인 행동 및 활동을 자동으로 구분할 수 있습니다.
궁극적으로 API 보안의 핵심은 가능한 한 최고의 가시성을 확보하고, 각 상황에 적절히 대응할 수 있는 실시간 런타임 인텔리전스를 갖추는 것입니다.
API 기반 성장을 확장하고 보호하세요
웨비나에서 진행된 논의를 통해 많은 DevOps 및 정보 보안 전문가가 이미 API 보안의 중요성을 이해하고 있으며, 원활한 고객 경험과 자동화된 봇 기반 계정 탈취에 대한 고급 보호 조치 사이에서 균형을 유지하는 것이 중요하다는 점을 인식하고 있음이 드러났습니다. 그러나 이러한 인식에도 불구하고, 여전히 많은 전문가가 이 문제를 해결할 효과적이고 확장 가능한 방법을 찾는 데 어려움을 겪고 있습니다.
이러한 어려움을 해결하기 위해 패널은 조직이 기대하는 앱 중심의 성장을 보호할 책임이 있는 주요 이해관계자들과 소통하는 모범 사례를 보여주는 몇 가지 활용 사례와 사례 연구를 소개했습니다. 이러한 전략에는 다음과 같이 전략적이고 구체적인 질문을 하는 것이 포함됩니다:
애플리케이션 개발: 현재 계정 탈취 공격으로부터 API를 어떻게 보호하고 있습니까? API가 고객 데이터를 노출하거나 규정 준수 위험을 초래하지 않도록 어떻게 보장하고 있습니까?
보안 운영: 어떤 계정이 취약할 수 있는지 완벽하게 파악하고 계십니까? 악용 또는 침해 징후를 탐지하기 위해 API 트래픽을 모니터링할 수 있습니까?
네트워크 운영: 네트워크 인프라 전반에서 API 트래픽을 어떻게 보호하고 있나요? 악성 봇이나 스크립트가 API를 악용할 가능성이 우려되나요?
비즈니스 관리: 계정 보안은 고객의 신뢰를 유지하고 사기 거래로 인한 매출 손실을 방지하는 데 매우 중요합니다. 보안 침해와 관련하여 어떤 지표를 추적하고 있나요?
Google과 F5, 실시간 런타임 API 보호를 현실로 구현
이제 대부분의 API 기반 위협은 자동화되어 환경의 동적인 변화에 빠르게 적응하며, 보호 조치를 우회하고 탐지를 피하는 수법도 더욱 교묘해지고 있습니다. 효과적인 API 보안을 구현하려면 제공 프로세스나 사용자 경험에 불편을 초래하지 않으면서 고급 자동화 보호 기능을 조직의 지속적 통합/지속적 제공(CI/CD) 파이프라인, 운영, 인프라 및 워크플로에 통합할 수 있어야 합니다.
Google Cloud와 F5는 조직이 데이터 센터, 클라우드, 아키텍처 등 모든 환경에서 계정 탈취 사기에 통합적으로 대응할 수 있도록 지원하는 솔루션과 전문성을 갖추고 있습니다. 실시간 런타임 API 보호 기능을 통해 DevOps 팀과 InfoSec 팀은 더욱 쉽게 협력하여 다음을 수행할 수 있습니다.
- 애플리케이션에 매핑된 엔드포인트를 자동으로 검색
- 원치 않는 연결에 대한 허용 목록 또는 차단 목록을 정의하고 적용
- 네트워크, 디바이스 및 환경 원격 측정 데이터를 분석합니다
- 비정상적인 동작을 실시간으로 탐지
웨비나 전체 다시보기 영상을 통해 다른 기업들이 겪은 API 보안 과제와 이를 해결하기 위해 활용한 솔루션을 알아보시기 바랍니다. 웨비나 제목은 계정 탈취 위협 차단 – API 보안 논의에 참여하세요입니다. 더욱 효과적인 API 보안 프로그램을 수립하고 구현하기 위해 계정 탈취 방지 대책을 검토하는 과정에서 궁금했던 많은 사항에 대한 답을 찾으실 수 있을 것입니다.
추가 질문이 있으시면 언제든지 후속 상담을 요청해 주세요. F5 Distributed Cloud 팀의 API 보호 전문가에게 문의하세요, 그리고 여기에서 F5 Distributed Cloud 웹 앱 및 API 보호(WAAP) 시뮬레이터도 꼭 사용해 보세요: https://simulator.f5.com/s/waap
참고 자료:
1 Google Cloud, 2022년 API 보안 연구 보고서: 최신 인사이트 및 주요 동향, 2022년
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.