앱 및 API 보안에서 취약점이 프로덕션 환경에 배포된 후에야 발견되기를 기다리는 것은 도둑이 든 뒤에야 주택 보안 시스템을 설치하는 것과 같습니다. 이미 너무 늦은 것입니다. 이러한 원칙은 당사의 API 보안 서비스 접근 방식의 핵심입니다.
바로 이러한 이유로 F5 팀은 F5 Distributed Cloud API Security 서비스에 새롭게 추가된 API 테스트 기능을 소개하게 되어 매우 기쁘게 생각합니다. 이 서비스는 F5 Application Delivery and Security Platform의 일부입니다. 이 기능을 통해 보안 팀은 공격자가 취약점을 악용하기 전에 이를 선제적으로 식별하여 개발 프로세스 초기 단계에서 잠재적인 문제를 파악할 수 있습니다. 오늘날 끊임없이 진화하는 위협 환경에서 API 보안 태세를 강화하려는 조직에 획기적인 변화를 가져다주는 기능입니다.
증가하는 API 보안 과제
애플리케이션 프로그래밍 인터페이스(API)는 디지털 비즈니스의 중추가 되었습니다. API는 애플리케이션을 연결하고 디지털 경험을 구현하며 혁신을 촉진합니다. 하지만 이러한 연결성에는 상당한 위험이 따릅니다. 당사의 2025 F5 애플리케이션 전략 현황 보고서에 따르면, 조직의 58%가 API의 무분별한 확산을 중대한 문제로 꼽았습니다. 이로 인한 관리 복잡성 때문에 점점 더 많은 핵심 서비스와 민감한 데이터를 포함한 비즈니스 자산이 위험에 노출될 수 있습니다.
사후 대응형 보안에서 선제적 보안으로 전환
오늘날 대부분의 조직은 API 보안에 사후 대응 방식으로 접근합니다. 프로덕션 환경의 트래픽을 모니터링하면서 공격의 징후일 수 있는 의심스러운 패턴이나 동작을 식별하려고 합니다. 이러한 접근 방식은 필요하지만, 이것만으로는 충분하지 않습니다.
우리가 처음 파악한 과제 중 하나는 각 보안 테스트가 맥락을 인식하고 정확한 대상을 겨냥하도록 만드는 방법을 이해하는 것이었습니다. 먼저 각 엔드포인트의 논리와 기능을 파악한 다음, 개별 API에 적합한 특정 테스트를 실행할 수 있어야 했습니다. API마다 목적과 구현 방식에 따라 고유한 취약점이 있으므로, 이러한 수준의 맞춤화는 필수적입니다.
그 결과 탄생한 새로운 API 테스트 기능을 통해 보안 팀은 프로덕션 배포 전 API 엔드포인트를 대상으로 맞춤형 테스트를 실행할 수 있습니다. 조직은 배포 전에 취약점을 식별하여 프로덕션 환경에서 악용되기 전에 문제를 해결할 수 있습니다.
F5의 포괄적인 API 보안 접근 방식은 검색, 탐지 및 보호 기능을 결합하여 API 에코시스템에 대한 완전한 360° 가시성을 제공함으로써 선제적인 취약점 식별과 실시간 위협 방어를 모두 지원합니다.
적절한 균형 찾기
경험을 통해 얻은 또 다른 인사이트는 실제로 누가 API 테스트 도구를 사용하는지 파악한 것입니다. 처음에는 DevOps 팀과 개발자를 대상으로 했지만, 주요 사용자는 보안 운영(SecOps) 및 개발 보안 운영(DevSecOps) 전문가라는 사실을 알게 되었습니다. 이러한 깨달음은 우리의 접근 방식에 영향을 미쳤습니다.
구성과 세부 설정을 지나치게 복잡하게 만드는 것은 최선의 방법이 아니라는 점을 깨달았습니다. 보안 팀에는 강력하면서도 간단하고, 광범위한 교육이나 설정 없이 기존 워크플로에 쉽게 통합할 수 있는 솔루션이 필요합니다.
당사의 솔루션은 Open Web Application Security Project(OWASP) API 보안 10대 위험에 부합하는 정교한 테스트를 수행하며, 여기에는 인증 실패, 권한 부여 누락 및 기타 심각한 취약점에 대한 검사가 포함됩니다. 또한 보안 팀이 쉽게 이해하고 즉시 조치할 수 있는 방식으로 결과를 제공합니다.
실제 환경에서의 영향
““집행국의 조사와 그에 따른 동의 명령은 API 보안이 무엇보다 중요하며 모든 통신사업자가 반드시 주목해야 할 사안임을 분명히 보여줍니다.”—로얀 A. 이갈, 미국 연방통신위원회 집행국장 겸 개인정보 보호 및 데이터 보호 태스크포스 위원장”
API 보안이 경제적으로 미치는 영향은 상당합니다. IBM의 데이터 유출 비용 보고서에 따르면 2024년 전 세계 데이터 유출의 평균 비용은 488만 달러로, 전년 대비 10% 증가했습니다. 또한 같은 연구에서는 보안팀이 유출 사고를 식별하고 억제하는 데 걸린 평균 시간이 258일인 것으로 나타났습니다.
이처럼 탐지에 오랜 시간이 걸리면 취약한 상태가 장기간 지속되어 공격자가 민감한 데이터와 시스템에 접근할 수 있습니다. 특히 API는 중요한 데이터와 비즈니스 기능에 직접 접근할 수 있으므로 그 피해가 더욱 심각할 수 있습니다. 조직은 선제적인 API 테스트를 도입하여 취약점이 프로덕션 환경에서 악용되기 전에 이를 식별하고 수정할 수 있습니다. 이러한 예방적 접근 방식은 막대한 비용이 드는 침해 사고를 방지하는 데 도움이 될 뿐만 아니라, 취약점이 악용된 후 대응하는 것보다 해결에 필요한 시간과 노력을 크게 줄여 줍니다.
계층화된 접근 방식으로 격차 해소
아마도 우리가 얻은 가장 중요한 통찰은 선제적 테스트와 런타임 모니터링 중 어느 하나만으로는 강력한 API 보안을 확보하기에 충분하지 않다는 것입니다. 조직에는 취약점을 조기에 식별하기 위한 테스트와 알려지지 않은 취약점을 악용하는 공격을 탐지하기 위한 모니터링이 모두 필요합니다.
API 공격이 계속 진화하고 그 영향이 심화됨에 따라 이러한 다계층 접근 방식은 매우 중요합니다. Gartner에 따르면 API 침해 사고로 유출되는 데이터는 일반적인 보안 침해 사고보다 최소 10배 더 많습니다. 이는 조직이 단 하나의 방어선에만 의존해서는 안 되는 이유를 여실히 보여주는 충격적인 통계입니다. 공격이 갈수록 정교해지고 잠재적 피해도 커지면서 예방적 테스트와 능동적 모니터링을 모두 수행해야 할 필요성이 그 어느 때보다 분명해졌습니다. API가 애플리케이션과 서비스를 연결하는 핵심 역할을 하는 오늘날의 디지털 경제에서 선제적 보안 테스트는 단순한 모범 사례가 아니라 비즈니스의 필수 요건입니다. 조직은 취약점이 악용되기 전에 이를 식별하고 해결함으로써 가장 중요한 디지털 자산을 보호하는 동시에 고객이 기대하는 원활한 경험을 제공할 수 있습니다.
포괄적인 F5 Distributed Cloud API Security 솔루션에 대해 자세히 알아보세요. 여기에서 확인할 수 있습니다.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.