GigaOM Radar Edge Platform Leader & Outperformer 2024 | 
API(Application Programming Interface)는 서로 다른 소프트웨어 응용 프로그램 간의 가교 역할을 수행하여 원활하게 통신하고 데이터를 공유할 수 있도록 합니다. 소프트웨어 구성 요소가 상호 작용하는 방법에 대한 방법과 프로토콜을 정의하여 개발자가 다양한 시스템과 기능을 통합할 수 있도록 합니다.
API는 기업이 효율성을 높이고 혁신을 촉진하며 디지털 범위를 확장할 수 있도록 지원하기 때문에 현대 기술 생태계에서 매우 중요합니다. API는 다양한 애플리케이션 간의 상호 운용성을 촉진함으로써 프로세스를 간소화하고, 새로운 기능을 개발하며, 궁극적으로 사용자를 위해 보다 역동적이고 상호 연결된 디지털 경험을 창출하는 데 기여합니다.
오늘날의 디지털 환경에서 API의 중요성과 성장이 증가함에 따라 API는 취약점과 API 오용을 모색하는 사이버 범죄자들의 주요 목표가 되었습니다. 성공적인 API 악용은 데이터 침해, 서비스 중단, 시스템 손상 등 심각한 결과를 초래하여 기업과 고객에게 심각한 위험을 초래할 수 있습니다. Postman의 최신 API 현황 보고서에 따르면 30%의 기업이 분기별로(또는 그 이상) API 보안 관련 이벤트가 발생한다고 보고했습니다. Venture Beat는 또한 API 취약점으로 인해 전 세계적으로 연간 750억 달러의 비용이 발생한다고 추정합니다.
공격자가 탐지하기 전에 API를 탐지하고 모니터링합니다.
Ponemon Institute가 최근 실시한 설문 조사에서 설문 조사 참여자의 54%가 모든 API를 식별하고 분류하는 데 어려움을 겪고 있습니다. 하이브리드 애플리케이션 환경 전반에 걸친 신속한 혁신의 압박으로 인해 문서화되지 않았거나 적절한 거버넌스 프로세스의 일부인 API가 생성되는 경우가 많으며, 이로 인해 조직은 사용 중이거나 제공되는 다양한 API에 대한 통제력을 잃게 됩니다. 따라서 API를 보호하려면 먼저 공격자가 탐지하기 전에 탐지해야 합니다. 탐지할 수 없는 것은 보호할 수 없습니다.
“API 보안은 많은 조직이 제공하는 API 또는 사용하는 API의 인벤토리를 보유하고 있지 않기 때문에 복잡합니다.”
Gartner®, API 보안: API를 보호하기 위해 해야 할 일, Mark O’Neill; Dionisio Zumerle; Jeremy D’Hoinne, 2023년 1월 13일.
Gartner는 미국 및 국제적으로 Gartner, Inc. 및/또는 그 계열사의 등록 상표 및 서비스 마크이며 허가를 받아 본 계약에 사용됩니다. All rights reserved.
모바일 및 웹 애플리케이션은 시작하기에 좋은 장소입니다. 분석해야 할 다른 영역으로는 애플리케이션 통합, 개발 중이지만 아직 게시되지 않은 API 및 조직에서 사용하는 타사 API가 있습니다.
API를 발견한 후에는 적절한 분석 및 측정을 위해 API를 범주화해야 합니다. 여기에는 의심스러운 활동을 조기에 감지하기 위해 API 트래픽 및 사용 패턴(예: 비정상적인 트래픽 급증 및 반복적인 요청)을 모니터링하는 것도 포함됩니다. Gartner는 2023 Gartner API Security: API를 보호하기 위해 수행해야 할 조치 보고서에 다음과 같은 범주화 기준을 사용할 것을 제안합니다.
API 보안 향상을 위한 모범 사례
API 보안을 강화하려면 API 라이프사이클의 모든 단계에서 지속적이고 전체적인 보안 접근 방식을 채택해야 합니다. 다음 권장 사항을 고려하십시오.
- 강력한 인증 및 권한 부여 메커니즘 구현: 강력한 인증 및 권한 부여 메커니즘을 적용하는 것은 API 남용을 방지하는 기본 단계입니다. 강력한 API 키 관리를 구현하고 최소 권한의 원칙을 적용하여 각 API 키가 필요한 리소스에만 액세스하도록 제한합니다. OAuth 2.0과 같은 업계 표준 프로토콜을 활용하여 인증을 안전하게 처리하고 단순한 API 키에만 의존하지 않도록 합니다.
- 속도 제한 구현: 특정 기간 내에 클라이언트가 요청할 수 있는 요청 수를 제한하는 속도 제한을 구현하여 애플리케이션 DDoS 공격을 완화합니다. 이러한 조치는 API 요청의 흐름을 관리하여 과부하를 방지하고 적법한 사용자에게 리소스를 공평하게 할당하는 동시에 악의적인 사용자를 방지하는 데 도움이 됩니다.
- WAF(Web Application Firewall) 및 API 게이트웨이 활용: WAAP(Web Application and API Protection) 및 API 게이트웨이를 활용하면 API 보안 태세와 거버넌스를 크게 향상시킬 수 있습니다. WAAP는 들어오는 API 요청을 검사하여 사전 정의된 보안 규칙을 기반으로 잠재적으로 유해한 트래픽을 필터링하여 애플리케이션 공격(예: SQLi 및 RCE)을 식별합니다. API 게이트웨이는 클라이언트와 백엔드 서버 간의 중개자 역할을 수행하여 추가적인 보안 계층을 제공하고 중앙 집중식 제어 및 모니터링을 허용합니다.
- 정기적인 보안 감사 및 침투 테스트 실시: 정기적인 보안 감사 및 침투 테스트는 API 인프라의 취약점과 약점을 식별하는 데 매우 중요합니다. 보안 전문가와 협력하여 실제 공격을 시뮬레이션하고 보안 조치의 효과를 평가하십시오. 식별된 문제를 즉시 해결하여 시스템의 복원력을 강화합니다.
Edgio의 고급 API 보안 기능
Edgio의 API 보안 솔루션은 진화하는 위협으로부터 엔터프라이즈 API를 발견하고 보호합니다. 개발자 워크플로우와 원활하게 통합되어 애플리케이션 성능을 향상시키고 릴리스 속도를 가속화합니다.
마이크로서비스 및 클라우드 네이티브 아키텍처에서 API가 기하급수적으로 증가함에 따라 많은 기업은 API 환경에 대한 가시성이 부족합니다. Edgio는 머신 러닝(ML)을 사용하여 애플리케이션 트래픽 패턴을 검사하고 API 엔드포인트의 검색, 관리 및 보안을 보장함으로써 이러한 과제를 해결합니다.
종합적인 WAAP(Web Application and API Protection) 솔루션의 일부로 제공되는 Edgio의 ML 기반 API 검색 기능은 API 엔드포인트의 온보딩 및 관리를 용이하게 합니다. Edgio의 API Security는 일단 온보딩되면 암호화 적용, API 속도 제한 및 기타 제어 등 API 보안 체계를 강화하는 다양한 기능을 제공하여 일관된 보안 관행을 보장하고 무단 액세스 및 기타 형태의 API 남용 위험을 줄입니다.
또한 Edgio는 API 스키마 검증을 통해 긍정적인 보안 모델을 제공하여 부적절하게 지정된 API 요청이 차단되도록 합니다. 따라서 SQL 인젝션, CMD 인젝션 및 제로데이 공격과 같은 공격으로부터의 오류와 악용을 방지하고 악의적인 API 호출을 필터링하여 애플리케이션 성능을 보호합니다.
Edgio의 듀얼 WAAP의 일부인 이 솔루션은 DevSecOps가 감사 모드에서 프로덕션 환경에서 API 스키마 변경 사항을 효율적으로 테스트하고 검증할 수 있도록 지원합니다. 이렇게 하면 정상적인 트래픽을 차단하는 위험을 줄이고 취약점이 발견될 때 MTTR(Mean Time to Resolution)을 빠르게 테스트하고 규칙 변경 사항을 네트워크 전체에 배포할 수 있습니다(60초 이내).
마무리
API가 최신 소프트웨어 개발에서 중요한 역할을 계속함에 따라 API 남용의 위험은 날로 증가하고 있습니다. 강력한 보안 조치를 사전에 구현함으로써 조직은 API 남용을 효과적으로 탐지 및 완화하고 시스템을 보호하며 악의적인 공격자로부터 민감한 데이터를 보호할 수 있습니다.
API 발견은 이러한 방어 전략의 기본 단계가 됩니다. API를 식별하고 분류하는 프로세스인 API 검색은 조직이 각 API와 관련된 보안 위험을 평가할 수 있도록 합니다. 사용 중인 다양한 API를 이해하는 것은 후속 보안 조치의 기초가 되기 때문에 매우 중요합니다. 생태계의 API에 대한 명확한 이해가 없다면 조직은 잠재적인 취약점을 간과하여 보안 태세에 격차를 가할 수 있습니다.
다음으로, API 라이프사이클의 모든 단계에서 지속적이고 전체적인 보안 접근 방식을 채택하고 강력한 인증, 포괄적인 모니터링, 속도 제한, 정기적인 보안 감사 등의 조치를 취하는 것은 API의 무결성, 가용성 및 기밀성을 보장하는 데 필수적입니다. 위협 환경이 진화함에 따라 보안 전략을 지속적으로 업데이트하고 경계하는 것은 API 악용에 대한 강력한 방어를 유지하는 데 매우 중요합니다.
Edgio는 ML 및 통합 기능을 활용하여 API 남용 및 새로운 위협에 대한 강력한 보호 기능을 제공하는 고급 API 보안 솔루션을 제공합니다. Edgio가 전체 디지털 생태계를 보호하고 고객의 신뢰를 유지하는 데 어떤 도움을 줄 수 있는지 지금 보안 전문가와 상담하십시오.
