NGINX 및 F5 Distributed Cloud WAAP을 활용한 멀티 클라우드 API 보안

NGINX | 2023년 8월 01일

이제 중요한 것은 클라우드를 사용하고 있는지가 아니라 몇 개의 클라우드를 사용하고 있는지입니다. 오늘날 대부분의 기업은 모든 요구를 충족하는 단일 클라우드 솔루션은 없다는 점을 인식하고 하이브리드 또는 멀티 클라우드 아키텍처로 전환했습니다. F5의 2023년 애플리케이션 전략 현황 보고서에 따르면, 기업의 85%가 서로 다른 두 가지 이상의 아키텍처에서 애플리케이션을 운영하고 있습니다.

개발 및 API 팀에는 이로 인해 상당한 부담이 가중됩니다. 이들은 복잡한 분산 환경에서 API를 대규모로 안전하게 제공해야 합니다. 이제 연결은 단순히 클라이언트와 백엔드 서비스 간에만 이루어지는 것이 아니라, 서로 다른 클라우드, 리전, 데이터 센터 또는 엣지 로케이션에 배포된 애플리케이션 간에도 이루어집니다. 또한 모든 API는 배포 위치나 제공 및 보안에 사용되는 도구와 관계없이 조직의 보안 및 규정 준수 요구 사항을 충족해야 합니다.

이처럼 고도로 분산된 환경에서 API를 보호하려면 고유한 역량과 모범 사례가 필요합니다. 저는 이전에 API 보안을 위한 이중 접근 방식의 중요성에 대해 설명한 바 있습니다. 즉, 처음부터 보안을 내재화하는 ‘시프트 레프트’와 일련의 글로벌 보안 태세 관리 방식을 적용하는 ‘실드 라이트’입니다. 이 블로그 게시물에서는 클라우드, 온프레미스 및 엣지 환경 전반에서 API를 안전하게 제공하면서 이 전략을 실무에 적용하는 방법을 살펴보겠습니다.

하이브리드 및 멀티 클라우드 API 보안 참조 아키텍처

하이브리드 및 멀티 클라우드 아키텍처는 특히 민첩성, 확장성, 복원력 측면에서 분명한 이점이 많습니다. 하지만 복잡성이 한층 더 가중됩니다. 실제로 F5의 2023년 애플리케이션 전략 현황 보고서에 따르면, 복잡성 증가는 오늘날 조직이 직면한 가장 일반적인 과제입니다. 두 번째로 일반적인 과제는 무엇일까요? 일관된 보안을 적용하는 것입니다.

오늘날의 문제는 일부 WAF와 같은 보안 솔루션이 API에 필요한 컨텍스트와 보호 기능을 제공하지 못한다는 점입니다. 동시에 API 전용 보안 솔루션은 공격을 차단하기 위한 정책을 생성하고 적용하는 기능이 부족합니다. 검색, 관측성, 관리, 정책 적용 전반에 걸쳐 아키텍처와 기술을 상호 연결된 하나의 스택으로 다루는 솔루션이 필요합니다.

실질적으로 API 트래픽이 주요 인프라 지점을 통과할 때 이를 보호하려면 다음 세 가지 계층 전반에 API 보안을 통합해야 합니다:

글로벌 계층 – 봇 및 DoS 공격에 대한 엣지 보호와 탐지 및 가시성
사이트 계층 – 개별 클라우드, 데이터 센터 또는 엣지 배포 환경 내 보호
앱 계층 – API 런타임 가까이에 배포되는 세분화된 액세스 제어 및 위협 방지

아래 참조 아키텍처는 F5 Distributed Cloud Services와 F5 NGINX가 멀티 클라우드 및 하이브리드 아키텍처에서 포괄적인 API 보호를 제공하기 위해 어떻게 연동되는지 개괄적으로 보여줍니다:

F5 Distributed Cloud는 엣지, 클라우드 및 온프레미스 배포 전반에 걸쳐 글로벌 수준의 보호 기능을 제공합니다.

이 참조 아키텍처에서 F5 Distributed Cloud는 엣지, 클라우드 및 온프레미스 배포 전반에 걸쳐 글로벌 보호 계층을 제공합니다. NGINX Plus와 NGINX App Protect WAF는 소프트웨어 개발 수명 주기에 통합되어 런타임 보안을 적용함으로써 사이트 계층 및/또는 애플리케이션 계층에서 세분화된 보호를 제공합니다.

이 아키텍처의 각 구성 요소가 제공하는 보안 기능을 살펴보겠습니다.

F5 Distributed Cloud를 통한 API 검색 및 모니터링

먼저, 퍼블릭 클라이언트의 API 트래픽은 에지에 배포된 F5 Distributed Cloud Web Application and API Protection (WAAP)을 통과합니다. 특히 이를 통해 DDoS 공격, 봇 악용 및 기타 익스플로잇으로부터 전 세계적으로 보호할 수 있습니다. 또한 다양한 클라우드, 온프레미스 데이터 센터 및 에지 배포 환경으로 유입되는 API 트래픽에 대한 중요한 글로벌 가시성을 제공합니다.

API 트래픽은 빠르게 증가하고 있으며, 대부분의 API 공격은 수주 또는 수개월에 걸쳐 서서히 진행됩니다. 수많은 정상 API 요청과 응답 속에서 악성 트래픽을 찾아내는 것은 건초 더미에서 바늘을 찾는 것과 같습니다. 이 문제를 해결하기 위해 F5 Distributed Cloud는 인공 지능(AI)과 머신 러닝(ML)을 활용하여 API 검색, 엔드포인트 매핑, 능동 학습 및 새로운 위협의 징후일 수 있는 이상 징후 탐지 등 API 트래픽에 대한 인사이트를 제공합니다.

앱 및 API 보안의 글로벌 계층 역할을 하는 F5 Distributed Cloud WAAP는 다음과 같은 이점을 제공합니다:

자동 API 검색 – API를 탐지하고 매핑하여 타사 및 섀도 API, 인증 상태 등에 대한 가시성을 포함해 전체 에코시스템을 완벽하게 파악할 수 있습니다.
민감한 데이터 유출 방지 – 주민등록번호, 신용카드 번호 및 기타 개인 식별 정보(PII)와 같은 민감한 데이터를 탐지하고 분류하며 마스킹하여 노출을 방지합니다.
모니터링 및 이상 탐지 – AI 및 머신러닝 도구를 활용해 트래픽을 지속적으로 검사하고 분석하여 이상 징후와 취약점을 탐지합니다.
향상된 API 가시성 – 모든 API 엔드포인트에서 트래픽이 흐르는 방식을 관찰하여 엣지 API, 내부 서비스 및 서드파티 통합 간의 연결성을 파악합니다.
환경 전반에 걸쳐 적용되는 보안– 스키마 검증과 속도 제한을 적용하고 원치 않거나 악의적인 트래픽을 차단하는 포지티브 보안 모델을 사용합니다.

F5 Distributed Cloud WAAP을 시작하려면 F5 Distributed Cloud Services 무료 엔터프라이즈 평가판을 신청할 수 있습니다. 여기에는 API 보안, 봇 방어, 엣지 컴퓨팅 및 멀티 클라우드 네트워킹이 포함됩니다.

F5 NGINX를 통한 액세스 제어 및 런타임 보호

API 트래픽은 글로벌 계층을 통과한 후 사이트 계층 및/또는 앱 계층에 도달합니다. 글로벌 계층은 일반적으로 IT 네트워크 및 보안 팀에서 관리하지만, 사이트 계층과 앱 계층의 개별 API는 소프트웨어 엔지니어링 팀에서 구축하고 관리합니다.

액세스 제어의 경우, API 게이트웨이가 일반적으로 사용됩니다. 개발자가 가장 일반적인 보안 요구 사항 중 일부를 애플리케이션 상위의 공유 인프라 계층에 위임할 수 있기 때문입니다. 이를 통해 중복 작업을 줄일 수 있습니다(예: 각 개발자나 팀이 자체 인증 및 권한 부여 서비스를 구축하는 작업).

F5 NGINX Management Suite API Connectivity Manager를 사용하면 플랫폼 엔지니어링 및 DevOps 팀이 개발자에게 요청 티켓 작성이나 기타 번거로운 절차를 요구하지 않고도 API 게이트웨이 및 개발자 포털과 같은 공유 인프라에 대한 액세스를 제공할 수 있습니다.

API Connectivity Manager를 사용하면 보안 정책을 설정하여 NGINX Plus를 API 게이트웨이로 구성하고 NGINX App Protect WAF 정책을 구성 및 모니터링할 수 있습니다. 이 두 기능을 함께 사용하면 다음과 같은 기능을 포함하여 API 런타임에 필수적인 보호 기능을 제공할 수 있습니다:

액세스 제어 적용 – API 엔드포인트에 대한 세분화된 액세스(인증 및 권한 부여)를 관리하고, IP 주소 또는 JWT 클레임을 기준으로 트래픽을 허용하거나 거부하는 액세스 제어 목록을 생성합니다.
민감한 데이터 암호화 및 마스킹 – mTLS와 종단 간 암호화를 통해 API 간 통신을 보호하고, API 응답에서 신용카드 번호와 같은 민감한 데이터를 탐지하여 마스킹합니다.
위협 탐지 및 차단 – OWASP API Security Top 10에 대한 보호를 넘어, 7,500개 이상의 위협 캠페인 및 공격 시그니처로부터 고급 보호 기능을 제공합니다.
대규모로 WAF 및 API 트래픽 모니터링 – NGINX App Protect WAF를 통해 모든 API 게이트웨이의 API 트래픽을 시각화하여 오탐과 잠재적 위협을 탐지합니다.

You can start a NGINX API Connectivity Stack 30일 무료 평가판을 시작하면 NGINX Management Suite와 API Connectivity Manager, Instance Manager, Security Monitoring 모듈뿐만 아니라 API 게이트웨이인 NGINX Plus와 WAF 및 DoS 보호를 위한 NGINX App Protect도 이용할 수 있습니다.

결론

NGINX는 클라우드 및 온프레미스 데이터 센터 환경 전반에서 탁월한 런타임 보호 기능을 제공합니다. F5 Distributed Cloud와 함께 사용하면 보안 및 플랫폼 엔지니어링 팀은 관련 앱이 어디에 배포되어 있든 API 엔드포인트를 지속적으로 파악할 수 있습니다. F5 Distributed Cloud와 NGINX를 함께 사용하면 필요에 따라 어떤 방식으로든 아키텍처를 구축하고 보호할 수 있는 완벽한 유연성을 확보할 수 있습니다.