NGINX App Protect, API 생태계에 보안을 제공하다

Scott Laster

최근 몇 년 사이 API는 현대적인 앱 경제를 구축하는 사실상의 접근 방식으로 자리 잡았습니다. 이러한 소프트웨어 인터페이스는 시스템, 애플리케이션 및 기기가 서로 통신하고 방대한 데이터와 기능을 공유할 수 있게 하는 주된 수단이 되었습니다. 본질적으로 API는 정보를 위한 현대판 실크로드가 되었으며, 고객이 여러 공급업체의 최고 수준 도구를 결합한 솔루션을 활용할 수 있도록 실질적인 힘을 제공합니다.

MuleSoft의 연례 연결성 벤치마크 보고서에서 설문 조사에 참여한 조직 중 80%가 공개 및/또는 비공개 API를 사용합니다. 보고된 이점으로는 생산성 향상(54%), 혁신 증대(47%), 비용 절감(34%) 등이 있습니다. 또한 설문 조사에 따르면 API를 공개하는 기업은 API를 통해 상당한 수익을 창출하며, 그 규모는 평균적으로 총매출의 31%에 달합니다.

하지만 모든 상황이 순탄한 것은 아닙니다. F5 Labs의 연구에 따르면 2020년 상반기의 API 보안 사고 건수는 이전 2년간 발생한 사고 건수를 합친 것보다 많아질 것으로 예상되었습니다. DevOps 팀이 직면한 중대한 과제는 API 보안에 취약한 영역이 많다는 점입니다. API 엔드포인트에 인증이 전혀 적용되지 않은 경우부터 인증 및 권한 부여가 제대로 작동하지 않는 경우, 기본적인 구성 오류에 이르기까지 다양합니다.

이제 중요한 질문은 모든 API 활동을 어떻게 보호할 것인가입니다. 이 블로그에서는 NGINX App Protect를 중심으로 한 ‘코드형 보안’ 접근 방식이 API 보호의 핵심인 이유와, 기존에 신뢰해 온 다른 보안 공급업체의 솔루션과 함께 CI/CD 파이프라인에 원활하게 통합되는 방식을 설명합니다.

API는 직원과 파트너 모두에게 서비스를 제공합니다

As tracked by ProgrammableWeb의 집계에 따르면 현재 20,000개가 넘는 비공개, 파트너 및 공개 API가 사용되고 있으며, 이를 통해 우리가 매일 사용하는 앱이 구동됩니다. API가 매력적인 이유는 물론, 더 나아가 API가 실행되거나 연결되는 컨테이너 기반 마이크로서비스가 매력적인 이유는 소프트웨어 기능과 데이터를 직원뿐 아니라 모든 전략적·상업적 파트너를 포함한 광범위한 사용자에게 개방할 수 있기 때문입니다. (당연히 이 접근 방식은 각자의 구체적인 요구 사항에 가장 적합한 공급업체를 자유롭게 선택할 수 있다는 점에서 DevOps 팀에도 매력적입니다.)

예를 들어, 많은 기업이 프라이빗 API와 파트너 API를 활용해 셀프서비스 IT를 구현합니다. IT 자산을 쉽게 검색하고 재사용할 수 있게 하면 조직 구성원들이 매번 DevOps에 의존하지 않고도 더 많은 업무를 수행할 수 있습니다. 셀프서비스 IT를 제대로 구현하면 민첩성 향상, 출시 기간 단축, 다양한 공급업체가 참여하는 고객 중심 솔루션, 효율성 및 혁신 증대, 고수익 매출 창출 등의 성과를 얻을 수 있습니다.

이러한 역학 관계는 개발 및 프로덕션 측면에서도 존재합니다. 컨테이너화된 소프트웨어와 API를 통해 DevOps 팀은 다양한 파트너와 협업할 수 있습니다. 여기에는 Okta, AuthO, Microsoft와 같은 ID 및 액세스 관리(IAM) 파트너뿐만 아니라 MuleSoft, Akana, Kong과 같은 수명 주기 관리 파트너도 포함됩니다.

코드로서의 보안, 보호 수단으로서의 정책

오늘날 빠르게 변화하는 역동적인 CI/CD 환경에서 개발자와 DevOps 팀은 웹 앱 및 API 보호에 대한 종합적인 접근 방식이 필요하며, 솔루션을 구현하고 소프트웨어를 빠르고 안전하게 출시할 수 있도록 지원하는 애플리케이션 보안 도구가 필요합니다. 또한 팀은 원하는 액세스 관리 및 수명 주기 관리 파트너와 긴밀하게 통합된 상태를 유지하면서 코드를 보호해야 합니다.

지난 몇 년간 DevOps가 DevSecOps로 발전하면서 보안 자체를 코드로 구현하려는 움직임이 확산되었습니다. 이는 기업들이 보안을 모든 코딩 작업이 끝난 후에 덧붙이는 요소로 보는 대신, 새로운 소프트웨어의 모든 측면에 보안을 내재화해야 할 필요성을 인식하기 시작했다는 의미입니다. 여기에는 다음과 같은 관행이 포함됩니다:

• 가능한 경우 보안을 CI/CD 파이프라인에 직접 통합하여 자동화
• 보안을 관문이 아닌 안전장치로 구축하기(즉, 단순히 액세스를 허용하거나 거부하는 대신 지침과 도구 제공)
• 다양한 파트너와 협력하여 분산형 컨테이너 환경을 비롯한 모든 환경에서 일관되고 중앙 집중화된 보안 솔루션을 셀프서비스 방식으로 이용할 수 있도록 지원

‘코드형 보안(Security as Code)’이란 보안을 마지막 단계에서 단순히 덧붙이는 것이 아니라, 새로운 소프트웨어의 모든 측면에 보안을 내재화하는 것을 의미합니다.

현대적인 애플리케이션 인프라를 위한 고급 API 보안

F5는 앱 보안을 유연하고 확장 가능하며 안정적으로 구현하는 코드형 보안(security-as-code) 접근 방식을 적극 지지하며, NGINX App Protect는 이를 실현하는 데 중요한 역할을 합니다. NGINX App Protect는 API 보안과 시장을 선도하는 F5의 고급 웹 애플리케이션 방화벽(Advanced WAF) 및 봇 방어의 핵심 기능을 결합하여 DevOps를 지원합니다:

• 중단을 유발하지 않는 보안 제어(보안 팀이 승인한 범위 내)를 자동화 및 CI/CD 프로세스에 통합
• 컨테이너 및 마이크로서비스와 같은 분산 환경 전반에 애플리케이션 보안 제어를 배포하고 관리합니다
• 릴리스 속도나 애플리케이션 성능에 부정적인 영향을 주지 않으면서 비용 효율적인 보안 제어를 구현합니다

NGINX App Protect를 사용하면 기본 인프라에 구애받지 않는 경량 소프트웨어 패키지 형태로 애플리케이션 보안을 배포할 수 있습니다. 따라서 소프트웨어 개발자는 선언적 정책(“코드형 보안”)을 활용하여 API 게이트웨이나 기타 Ingress 컨트롤러로 들어오고 나가는 모든 트래픽을 보호할 수 있습니다. 이 모델에서는 API 자체가 기본적으로 안전하지 않더라도 인그레스, Kubernetes 포드 내부 또는 서비스 전반 등 여러 지점에 NGINX App Protect를 통한 보안을 적용할 수 있습니다.

F5와 NGINX는 고객이 우선시하는 다른 업계 선도 기업들과 협력하고 전 세계 DevOps 팀이 이미 사용 중인 공급업체와 제품을 포용함으로써 전체 애플리케이션 에코시스템을 위한 최첨단 솔루션을 제공하기 위해 최선을 다하고 있습니다.

결론

API가 정보 공유를 위한 새로운 실크로드로 자리 잡아 이전과는 비교할 수 없을 정도로 사용자와 긴밀하게 연결할 수 있게 된 지금, NGINX App Protect는 발생 가능한 모든 위협으로부터 애플리케이션과 데이터를 보호합니다. NGINX App Protect는 파트너 에코시스템과 긴밀하게 통합하는 기능을 비롯해 애플리케이션 제공 방식에 맞게 설계되었습니다. DevOps 환경 전반에서 원활하게 작동하는 이 업계 최고의 솔루션은 DevOps 자동화 및 CI/CD 프로세스 전체에 운영 중단 없는 보안 제어를 통합하여, 애플리케이션 보안이 나중에 덧붙이거나 임시방편으로 둘러대는 요소가 아니라 처음부터 내재되도록 합니다.

NGINX App Protect를 직접 사용해 볼 준비가 되셨나요? 지금 30일 무료 체험을 시작하거나, 사용 사례에 대해 논의하려면 문의해 주세요.

작성자 소개

Scott Laster

Scott Laster의 다른 블로그 게시물