탐지 및 인라인 시행은 F5 분산 클라우드 API 보안의 필수 구성 요소로, API 동작에 대한 제어를 강화하고, 악의적이거나 원치 않는 활동(자동화된 위협 포함)을 완화하며, 민감한 데이터의 노출을 방지합니다.
API, API를 통해 활성화되는 서비스, 그리고 API가 액세스하는 시스템 및 데이터 전반에 걸쳐 취약점을 탐지하고 중요한 보호 기능을 구현합니다.
오늘날의 디지털 환경에서 API는 현대 애플리케이션의 중추이며, 서비스 간의 통합과 데이터 교환을 가능하게 합니다. 조직이 기능을 강화하고 혁신적인 솔루션을 제공하기 위해 API에 점점 더 의존하게 되면서 보호되지 않은 API와 관련된 위험도 기하급수적으로 증가했습니다. 사이버 범죄자들은 중요한 비즈니스 기능을 지원하고 조직으로의 게이트웨이 역할을 하는 이러한 엔드포인트를 적극적으로 표적으로 삼아, 민감한 데이터에 액세스하고, 서비스를 방해하고, 비즈니스 로직을 남용하여 사기를 저지르고, 서비스 거부(DoS), 주입 및 기타 위협을 포함한 공격을 실행하는 등의 취약점을 악용합니다.
디지털 자산을 보호하고 고객의 신뢰를 유지하려면 조직에서는 API 보호를 우선시해야 합니다. API에 대한 강력한 보안 조치를 구현하면 점점 더 커지는 위협에 대한 위험을 완화할 수 있을 뿐만 아니라 규제되는 산업에서 규정 준수도 보장할 수 있습니다. API 보안은 조직의 디지털 서비스, 인프라, 고객 경험 전반에 걸쳐 회복성을 증진합니다.
API 보안 솔루션에는 봇 및 기타 위협에 대한 발견, 취약성 탐지, 모니터링 및 실시간 완화 기능이 포함되어야 합니다. 인라인 시행이 중요합니다. 조직이 개발을 중단하고 API 코드의 모든 취약점을 즉시 수정하거나, 코드가 완벽해질 때까지 코드 릴리스 흐름을 중단할 것을 기대하는 것은 합리적이지 않습니다. 여기서 인라인 API 감지 및 보호 기능이 중요해집니다.
API 엔드포인트 제어, 모니터링 및 보호를 위한 인라인 시행
강력한 API 보안 스택은 포괄적인 보호를 보장하기 위해 여러 계층의 시행 및 제어 메커니즘을 사용합니다. OWASP API 보안 상위 10대 위협은 API가 직면하는 고유한 취약성과 보안 위험을 포함하여 광범위한 위협을 강조합니다. 여기에는 데이터를 유출하거나 빼내려는 공격, 리소스를 소모하거나 남용하는 공격(예: DoS 공격)은 물론, 표준 주입 시도, 액세스 및 인증의 격차, 보안 구성 오류도 포함됩니다. 이러한 악용 사례와 API의 고유한 속성은 자동화된 공격과 악의적인 행위자의 주요 타깃이 되는 중요한 엔드포인트를 노출시키므로 전문적인 탐지 및 보호가 필요합니다. 이로 인해 중요한 시스템 및 민감한 데이터에 대한 무단 액세스 위험이 커집니다. 복잡한 인증 및 권한 부여 메커니즘을 적절히 시행하고 지속적으로 모니터링하지 않으면 보안 위험이 더욱 높아질 수 있습니다. 또한 API는 종종 동적 비즈니스 로직을 처리하고 타사 서비스와 통합되므로 API에 고유한 다양한 위협과 악용을 방어하기 위한 추가적인 보안 조치가 필요합니다.
F5® 분산 클라우드 API 보안을 통해 조직은 API 엔드포인트의 보안을 유지하는 데 목적을 둔 강력한 일련의 시행 기능에 액세스할 수 있습니다. 분산 클라우드 API 보안은 글로벌 API 검색과 인라인 감지, 웹 앱 및 API 보호(WAAP)의 시행 기능을 결합합니다. API는 SQL 및 명령 주입과 같은 주입 결함을 포함하여 지원하는 애플리케이션과 동일한 유형의 주입 공격을 받을 수 있습니다. 이것이 바로 기존 웹 애플리케이션 방화벽(WAF) 기능이 최신 앱과 이를 구동하는 API를 보호하는 데 여전히 중요한 역할을 하는 이유입니다. F5 분산 클라우드 서비스는 F5의 핵심 WAF를 특징으로 하며, CVE(일반적인 취약점 및 노출)에 대한 8,500개 이상의 시그니처와 F5 랩에서 식별한 알려진 취약점 및 기술을 포함하는 강력한 공격 시그니처 엔진을 갖추고 있어 인식된 위협으로부터 API를 보호하기 위한 강력한 기준을 형성합니다.
모든 네트워크나 컴퓨팅 리소스와 마찬가지로 API도 남용과 DoS 공격을 받기 쉽습니다. F5 분산 클라우드 서비스는 웹 애플리케이션과 API의 서비스 가용성을 유지하기 위해 계층 7 DoS 보호 및 속도 제한 기능을 제공합니다. 조직에서는 API 엔드포인트 연결과 요청 속도를 정확하게 제어하고, 특정 클라이언트와 연결을 완전히 식별, 모니터링, 차단하거나 사용자 정의 임계값을 적용할 수 있습니다. API 연결 및 요청에 대한 이러한 세부적인 제어는 개별 API 수준이나 전체 도메인에서 시행될 수 있습니다.
봇과 자동화된 트래픽을 완화하는 것은 포괄적인 API 보안 전략의 중요한 구성 요소입니다. 분산 클라우드 서비스를 통해 조직은 자동화된 위협에 대한 강력한 보호 기능을 제공하는 F5 분산 클라우드 봇 방어에 액세스할 수 있습니다. 공격자는 봇을 사용해 OWASP API 보안 취약점 10가지 중 3가지(인증 위반, 리소스 소비 제한 없음, 민감한 비즈니스 흐름에 대한 액세스 제한 없음)를 직접 악용합니다. 상위 10개 항목 중 나머지 7개 항목(보안 오류, 부실한 재고 관리, 권한 부여 위반 등의 취약점 포함)은 봇과 간접적으로 관련이 있습니다. 공격자는 봇을 이용해 이러한 취약점을 효과적으로 발견하고 신속하게 악용합니다. 예를 들어 로그인, 체크아웃, 신용카드 검증, 예약 등의 많은 API 엔드포인트는 봇에 특히 취약합니다.
또한, 분산 클라우드 서비스는 고급 머신 러닝(ML)과 행동 분석을 제공하여 API 엔드포인트를 지속적으로 추적하고 모니터링합니다. 이 기능을 사용하면 조직에서 API 동작의 기준을 정하고, 인증 상태를 검증하고, 시간 경과에 따른 API 사용량을 시각화할 수 있습니다. 이를 통해 통신 패턴을 탐지하고 정상 동작과 이상 동작의 상관 관계를 파악하는 작업이 간소화됩니다. API가 발전함에 따라 이러한 접근 방식은 조직이 API 통신에서 민감한 데이터와 개인 식별 정보(PII)의 노출을 포함하여 의심스러운 활동을 식별하고 조치를 취하는 데 도움이 됩니다.
민감한 데이터는 종종 무의식적으로 또는 실수로 API 내에서 노출되거나 전송되므로 잠재적인 PII 및 기타 민감한 데이터가 위험에 처할 수 있는 웹 앱 및 API 엔드포인트를 식별하는 것이 필수적입니다. 이를 통해 데이터를 보호하고 잠재적 침해를 방지할 수 있습니다. 분산 클라우드 API 보안을 통해 조직은 API 환경을 제어하고 웹 앱과 API를 통해 노출될 수 있는 중요한 데이터에 대한 가시성을 확보할 수 있습니다.
조직에서는 API 내에서 노출되는 중요한 데이터를 검색하고, 태그를 지정하고, 보고하기 위해 민감한 데이터 정책을 쉽게 구성할 수 있습니다. 여기에는 일반적인 PII 데이터(신용카드 번호, 실제 주소 및 이메일 주소, 전화번호 등)를 식별하기 위한 기본 정책, 20개 이상의 주요 규정 준수 프레임워크(예: PCI-DSS, HIPAA, GDPR, SOC2 등)와 관련된 수백 개의 사전 정의된 데이터 유형에 적용할 수 있는 특정 규정 준수 프레임워크, 심지어 특정 조직에 고유한 맞춤형 민감 데이터까지 포함됩니다. 이 서비스는 코드 저장소와 트래픽 분석에서 조직의 API를 자동으로 검색하고 문서화하여 모든 개별 API의 각 엔드포인트에 대한 자세한 가시성을 제공합니다.
엔드포인트 세부정보는 API별로 제공되며, 심각도 순으로 순위가 매겨진 취약성에 대한 중요한 통찰력을 제공합니다. 또한, 이러한 중요한 통찰력에는 설명, 증거 및 시정 지침이 포함됩니다. 새로운 API 보호 규칙을 통해 신속하게 조치를 취해 API 및 데이터를 제한하거나 차단하거나 API 동작을 제어하세요.
분산 클라우드 API 보안은 사용자 정의형 민감한 데이터 감지 기능도 갖추고 있어 사용자가 API 요청 및 응답 내에서 다른 민감한 데이터 유형을 나타낼 수 있는 흔하지 않거나 고유한 패턴을 정의하고 검색할 수 있습니다. 이 기능을 사용하면 탐지 및 보호가 필요한 고유하고 조직별 데이터를 검색하고, API 트래픽을 지속적으로 모니터링하여 우발적인 유출이나 의심스러운 활동을 파악할 수 있습니다.
이러한 탐지 기능 외에도 분산 클라우드 서비스는 민감한 데이터 마스킹 및 누출 탐지 기능을 포함한 다양한 방법을 제공하여 조직이 API에서 식별된 민감한 데이터를 보호하는 데 도움을 줍니다. 이를 통해 조직은 API 데이터 보호 정책을 수립하여 API 응답 내에서 데이터가 처리되는 방식을 정의하여 제한, 차단 또는 마스크할 수 있습니다. API 내 데이터의 노출 및 마스킹을 제어하는 정책은 특정 API 엔드포인트, 엔드포인트 그룹, 특정 경로 또는 전체 도메인에 쉽게 적용할 수 있습니다. 이를 통해 공격자가 특정 API 트래픽에 액세스하더라도 민감한 데이터는 안전하고 이해할 수 없게 유지됩니다. 이 서비스에는 마스킹 기능 외에도 모든 API에 대한 지속적인 모니터링이 포함되어 있으며, 전송된 모든 데이터를 분석하여 API 응답 내에서 의도치 않은 누출이나 의심스러운 활동을 감지하고 보고하는 데 도움이 됩니다.
액세스 및 권한 부여 위협을 처리할 때, 분산 클라우드 API 보안은 API 동작, 인증 및 액세스에 대한 향상된 가시성, 감독 및 제어를 제공하여 API 게이트웨이 기능을 강화합니다. 이를 통해 조직은 인증 격차를 파악하고, 액세스 제어를 강화하고, API, 백엔드 시스템 및 중요 데이터에 대한 무단 접근 시도를 차단할 수 있습니다. 이 서비스는 지속적인 검색을 통해 모든 앱 및 API 엔드포인트를 학습하고 모델링하며 매핑합니다. 여기에는 인증 상태도 포함됩니다. 직접적인 코드 분석과 트래픽 기반 검색을 통해 인증 유형과 API 엔드포인트 세부 정보를 알아내고 문서화할 수도 있습니다. 학습되었거나 업로드된 OAS 파일을 활용하면 인증 요구 사항을 적용하고 에지에서 인증되지 않은 트래픽을 차단하여 요청 처리를 위한 API 게이트웨이 및 서버에 대한 의존도를 줄일 수 있습니다.
이 서비스에는 JSON 웹 토큰(JWT) 검증 기능도 포함되어 있어 조직에서 인증 키를 업로드하고 에지에서 JWT 로그인 요청을 검증할 수 있습니다. 이 기능을 사용하면 조직에서 세션 상태를 서버에 저장하거나 데이터베이스나 캐시에서 사용자 정보를 검색할 필요가 없습니다. 즉각적인 검증이 가능하므로 검증을 위해 출처를 쿼리할 필요가 없어지고, API 확장성이 향상되며, 더 빠른 사용자 경험이 제공됩니다.
조직은 유효한 스키마 정의에 따라 적절한 API 동작을 적용하기 위해 자동으로 생성되거나 가져온 OAS 파일을 사용하여 분산 클라우드 API 보안을 활용할 수도 있습니다. 이 서비스는 데이터 유형, 길이 제약, 허용 문자, 유효한 값 범위 등 문서화된 API 특성에 대해 입력 및 출력 데이터의 유효성을 검사하여 규정 준수를 보장합니다. API 트래픽을 지속적으로 모니터링하여 자동 검증, 차단 또는 보호 규칙 구현을 지원하여 사양 파일에 정의된 개별 API 엔드포인트, API 그룹 또는 기본 경로에 대한 세부적인 액세스 제어가 가능합니다.
F5의 확장 가능한 SaaS 기반 분산 클라우드 플랫폼은 보완적인 WAAP 기능과 함께 고급 API 보호 기능을 제공합니다. 분산 클라우드 API 보안은 API에 대한 여러 계층의 보호 기능을 제공하여 조직이 취약점, 의심되는 공격 및 남용을 신속하게 감지하고 대응할 수 있도록 지원합니다. 이 솔루션은 필수적인 API 보안 제어의 배포와 관리를 간소화하고, 중앙 집중식 가시성과 관리를 제공하는 통합 콘솔 내에서 증가하는 API를 포함한 애플리케이션의 전체 생태계를 보호합니다.
결론
조직이 API 기반의 최신 애플리케이션을 도입함에 따라 노출되는 엔드포인트가 늘어나 사이버 위협에 취약해지고 강력한 API 보호의 필요성이 강조됩니다. API는 데이터 교환, 서비스 활성화, 거래 실행을 위한 중요한 매개체 역할을 하므로 사이버 범죄자들의 주요 표적이 됩니다. 조직이 기능을 강화하고 운영을 간소화하기 위해 API에 점점 더 의존하게 되면서 보호되지 않은 API와 관련된 위험도 급증했습니다. 취약점은 무단 접근, 데이터 침해, 서비스 중단으로 이어질 수 있으며, 궁극적으로는 민감한 정보가 유출되고 고객 신뢰가 손상될 수 있습니다. 인증 메커니즘의 복잡성과 API의 동적 특성으로 인해 기존의 보안 조치는 종종 부족하여 전문적인 보호가 필요합니다.
이것이 바로 분산 클라우드 API 보안이 제공하는 것입니다. 조직이 강력한 API 보호를 구현하여 위험을 완화하고 현대 디지털 인프라와 생태계 내에서 회복력을 강화하는 데 필요한 플랫폼과 도구를 제공합니다. API 보호를 우선시함으로써 기업은 진화하는 위협에 더 효과적으로 대응하고, 서비스와 데이터의 무결성을 보장하고, 혁신의 속도에 영향을 주지 않으면서 업계 규정을 준수할 수 있습니다. 이를 통해 빠르게 진화하는 디지털 생태계에서 새롭고 현대적인 앱의 잠재력을 안전하게 최대한 활용할 수 있습니다.
API 보호를 우선시함으로써 기업은 진화하는 위협에 더욱 효과적으로 대응하고, 서비스와 데이터의 무결성을 보장하며, 혁신의 속도에 지장을 주지 않고 업계 규정을 준수할 수 있습니다.
다음 단계
주요 이점
API 취약점 노출 감소
OWASP API 보안 상위 10개 항목에 대한 위협으로 인한 잠재적 피해를 최소화하기 위해 긍정적 보안 기능을 포함한 인라인 시행 및 제어를 통해 공격 및 기타 API 악용에 실시간으로 대응합니다.
무단 접근을 차단하고 데이터 손실을 제한하세요
API 사용과 개인 식별 정보(PII)를 포함한 민감한 데이터의 노출에 대한 심층적인 통찰력을 얻고, API가 중요한 데이터를 노출하는 것을 마스크, 제한 또는 차단하는 기능을 활용하세요.
API 엔드포인트를 모니터링하고 가시성을 개선합니다.
중앙 콘솔에서 API 엔드포인트를 지속적으로 모니터링하여 비정상적이고 악의적인 활동을 탐지하고 대응 전략을 개선하고, 제어를 최적화하고, API 보호 정책을 강화합니다.
일관된 보호 및 정책 관리를 쉽게 적용하세요
공통된 일련의 제어 메커니즘을 사용하여 단일 지점에서 API 보안을 관리하면 정책 구현이 간소화되고 모든 API에서 일관된 보호가 보장됩니다.
주요 기능
포괄적인 런타임 보호 보장
인라인 앱 및 API 보안 기능을 웹 애플리케이션 방화벽(WAF)과 봇 방어 기능과 결합하여 풍부한 클라이언트 측 신호와 머신 러닝(ML)을 활용하여 최대 효과와 거의 0에 가까운 오탐지를 보장합니다.
민감한 데이터 보호
API 보호 규칙을 포함하여 API 요청을 통해 노출된 민감한 데이터를 마스크하여 데이터 전송을 제한하거나 모든 형태의 데이터를 노출하는 API 엔드포인트를 완전히 차단합니다.
긍정적인 API 보안을 강화하세요
유효한 엔드포인트, 매개변수, 메서드, 인증 및 페이로드 세부 정보를 통해 원하는 API 동작을 강제로 적용하기 위해 학습된, 자동 생성된 또는 기존의 OpenAPI 사양(OAS) 파일을 사용하여 자동으로 긍정적인 보안 모델을 제공합니다.
행동 분석 및 이상 감지 수행
ML 기반 분석을 활용하여 가장 자주 사용되고 공격을 받는 API 엔드포인트를 식별하고, 동작 이상을 포함한 사용 패턴을 평가하고, 노출된 민감한 데이터를 식별합니다.
실시간 위협 탐지 및 위험 점수 부여 구현
지속적인 트래픽 검사, 위협 모니터링, 취약성 식별을 활용하여 인증 상태, 민감한 데이터 노출, 동작 이상을 식별하여 가장 자주 타겟팅되는 API와 고위험 엔드포인트를 정확히 찾아냅니다.