숨겨진 API: 사각지대가 공공 부문 기관을 공격에 노출시키고 있는가?

제가 계속해서 보는 가장 큰 과제 중 하나는 네트워크 취약성에 대한 가시성이 부족하다는 것입니다. 많은 조직에서는 사용 중인 API의 수를 알지 못합니다. 우리는 약 100개의 API가 있다고 생각했던 고객을 대상으로 API 발견 연습을 수행했는데, 실제로는 30,000개에 가까운 API를 발견했습니다! 이런 일은 흔하지 않으며 심각한 보안 위험을 초래합니다.

API는 아키텍처, 구성 요소, 유형 및 프로토콜의 패치워크 사이에 숨겨진 복잡한 생태계에서 작동합니다. 평균적으로 기업들은 20,000개가 넘는 API를 사용합니다 . 2030년까지 공공 및 민간 부문에서 사용되는 API의 총 수는 20억 개를 초과할 것으로 예상됩니다. 이러한 정보를 관리하고 확보하는 데 있어 가장 흔히 발생하는 어려움은 문서가 부족하거나 정보를 찾는 데 어려움이 있는 경우입니다. 

알려지지 않았거나 관리되지 않는 API가 급증하는 이러한 "섀도우 IT" 현상은 취약성의 온상을 조성합니다. 이러한 API는 적절한 보안 제어가 부족해 악의적인 공격자의 표적이 되기 쉽습니다. 집에 문과 창문을 잠그지 않은 것처럼 생각해 보세요. 침입하고 싶어하는 사람에게 허락된 셈이죠. 

API는 국가 차원의 행위자와 사이버 범죄 조직 모두의 표적이 되는 경우가 점차 늘어나고 있습니다. 정부 및 국방 관련 API도 대중에게 공개되는 API만큼 취약합니다. 논란의 여지가 있지만, 그들은 민감한 데이터를 처리하기 때문에 표적으로 더욱 매력적입니다.

API는 네트워크에 대한 보다 심층적인 공격을 위한 진입점으로 사용될 수 있습니다. 손상된 API는 내부 시스템, 데이터베이스 및 기타 중요한 리소스에 액세스할 수 있도록 해줍니다. 그것은 마치 조직의 중심부로 통하는 비밀 통로를 찾는 것과 같습니다. 미국의 네트워크 운영자인 T-Mobile의 사례에서 보았듯이 위협 행위자들은 API의 취약성을 악용하여 다크 웹에서 가치가 있는 기밀 데이터에 무단으로 접근할 수 있습니다. 이번 사건에서 공격자는 3,700만 개의 현재 고객 계정의 개인 정보를 훔쳤습니다. 

상황을 더욱 복잡하게 만드는 것은 조직이 자체 시스템과 접촉하는 모든 API를 완벽하게 제어하지 못할 수 있다는 것입니다. 

미국 재무부 공격자는 타사 소프트웨어 구성 요소의 취약성을 통해 액세스 권한을 얻었는데, 아이러니하게도 해당 소프트웨어는 재무부의 사이버 방어 시스템을 구성하는 일부였습니다. 이러한 공급망 공격은 규모와 지위에 상관없이 모든 조직에 영향을 미칠 수 있으며, Solar Winds 공격과 Volt Typhoon 그룹 사건과 같은 수많은 사례가 헤드라인을 장식했습니다.

강력한 API 보안 대책에는 아무것도 소홀히 할 필요가 없습니다. 2024년 애플리케이션 전략 보고서 현황: API 보안은 어떤 API가 가장 큰 위험에 노출되어 있는지, 어떤 API가 보호에서 흔히 간과되는지, 그리고 AI 시대에 API를 안전하게 유지하기 위해 API 보안 모델과 책임을 어떻게 조정해야 하는지에 대해 설명합니다. 스포일러 경고: API를 수용하지 않는 한, 제로 트러스트 보안에도 맹점이 있습니다. 

AI는 API 보안을 악화시키기도 하고 도와주기도 합니다. 가트너는 대규모 언어 모델이 데이터를 수집하고 교환해야 하는 API의 수로 인해 AI 도입으로 인해 2026년까지 API에 대한 수요가 30% 이상 증가할 것으로 추정합니다. 각 API에는 문서화와 보안이 필요하므로 악의적인 의도가 침투할 가능성이 많습니다.

다행히도 조직이 무방비 상태는 아니며 AI는 강력한 방어 도구로 부상하고 있습니다. AI와 머신러닝은 API 트래픽을 실시간으로 분석하여 사람이 직접 식별하기 어려운 이상 징후와 의심스러운 동작을 감지할 수 있습니다.

AI는 API를 분류하고, 일반적인 동작 패턴을 이해하며, 잠재적인 오용이나 보안 취약점을 표시할 수 있습니다. 또한 이를 통해 보안 정책을 동적으로 생성하고 진화하는 위협에 적응하며 API가 항상 보호되도록 할 수 있습니다. 이는 API 트래픽을 끊임없이 모니터링하는 지칠 줄 모르는 지능형 보안 경비원이 있는 것과 같습니다.