Coders Conquer Security OWASP Top 10 API 시리즈 - 부적절한 자산 관리

OWASP API 상위 10대 취약점 중 대부분과 달리, 부적절한 자산 관리는 특정 코딩 결함에 국한되지 않습니다. 오히려 이 취약점은 더 안전한 최신 버전으로 교체되어야 할 구형 API가 오랫동안 방치되는 인적 또는 관리적 문제에 가깝습니다. 또한 개발 중인 API가 위협에 대비한 보안 조치가 완료되기 전에 운영 환경에 노출될 때 발생할 수 있습니다.

이 취약점은 마이크로서비스와 클라우드 컴퓨팅의 등장으로 인해 관리하기가 특히 어렵습니다. 이러한 환경에서는 일시적인 필요에 따라 새로운 서비스를 빠르게 생성했다가, 나중에 잊어버리고 폐기하지 않는 경우가 많습니다. 구형 API가 운영 환경에 계속 연결되어 있으면 전체 네트워크가 위험에 처할 수 있습니다.

이 보안 버그를 게임 형식의 챌린지로 체험해 보시겠습니까? 아레나에 입장하세요: [여기서 시작]

부적절한 자산 관리 결함은 API에 어떤 영향을 미칠까요?

부적절한 자산 관리 결함은 현대적인 환경의 산물입니다. 비즈니스 속도에 맞춰 움직이는 조직은 매일 수백, 수천 개의 서비스와 마이크로서비스를 생성할 수 있습니다. 이는 종종 관련 문서화 없이, 또는 해당 API의 용도, 필요 기간, 중요도에 대한 설명 없이 빠르게 진행됩니다. 이로 인해 API가 무분별하게 늘어나 관리 불가능한 상태가 될 수 있으며, 특히 API의 수명을 정의하는 포괄적인 정책이 없을 경우 더욱 그렇습니다.

이러한 환경에서는 일부 API가 유실되거나 잊혀지거나 폐기되지 않은 채 방치될 가능성이 매우 높습니다.

정상적인 프로세스 외부에서 새로운 서비스를 생성할 권한이 있는 사용자도 원인이 될 수 있습니다. 예를 들어, 마케팅 팀이 제품 출시와 같은 이벤트를 지원하기 위해 서비스를 만들었다가 이벤트가 끝난 후에도 이를 삭제하지 않는 경우입니다. 나중에 해당 서비스와 API를 확인하는 사람은 왜 존재하는지 알 수 없으며, 문서가 없다면 미스터리로 남게 됩니다. 이들은 해당 API의 중요도나 기능을 알 수 없기 때문에 운영 환경에서 제거하거나 최신 버전으로 업그레이드하는 것을 꺼릴 수 있습니다.

프레임워크 내 API 보안은 시간이 지남에 따라 개선되기 때문에 이 취약점은 위험합니다. 연구원이 취약점을 발견하거나, 점점 더 대중화되는 공격 유형을 막기 위해 추가적인 보안 조치가 적용될 수 있습니다. 구형 API는 업그레이드하지 않으면 이러한 공격에 취약한 상태로 남게 되며, 해커들은 종종 자동화 도구를 사용하여 이러한 API를 찾아냅니다.

OWASP에서 제공한 실제 사례를 보면, 한 기업이 중요한 결함을 패치하기 위해 사용자 데이터베이스 검색용 API를 업그레이드했지만, 실수로 구형 API를 그대로 남겨두었습니다.

공격자는 새 API의 위치가 (api.criticalservice.com/v2)와 같다는 점을 알아챘습니다. URL을 (api.criticalservice.com/v1)로 변경함으로써 알려진 취약점이 있는 구형 API를 사용할 수 있었고, 결과적으로 1억 명 이상의 개인 정보가 노출되었습니다.

부적절한 자산 관리 결함 제거하기

환경에서 부적절한 자산 관리 결함을 제거하는 유일한 방법은 모든 API와 그 용도 및 버전에 대한 철저한 인벤토리를 유지하는 것입니다. 기존 API 인벤토리를 작성하는 것부터 시작해야 하며, 운영 또는 개발 환경 등 배포되어야 할 환경, 네트워크 접근 권한을 가진 사람, 그리고 물론 버전과 같은 요소에 집중해야 합니다.

인벤토리가 완료되면, 새로 생성되는 모든 API나 서비스에 문서가 자동으로 추가되는 프로세스를 구현해야 합니다. 여기에는 속도 제한, 요청 및 응답 처리 방식, 리소스 공유, 연결 가능한 엔드포인트, 관련 정책 등 나중에 감사에 필요한 모든 API 측면이 포함되어야 합니다. 또한 운영 환경에서 비운영 API나 개발 환경의 API를 사용하지 마십시오. API에 시간 제한을 두어 소유자가 지속적인 사용을 정당화하지 않으면 자동으로 폐기되도록 하는 방안도 고려하십시오.

활성 API의 새 버전이 출시될 때마다 위험 평가를 수행하여 업그레이드 여부와 운영 환경 중단을 방지하기 위한 업그레이드 방식을 결정하십시오. 새 API로 마이그레이션한 후에는 구형 API를 환경에서 완전히 제거하십시오.

이 모든 과정을 수행하면 부적절한 자산 관리 취약점이 조직, 사용자 또는 네트워크에 피해를 주는 것을 방지할 수 있습니다. Secure Code Warrior 블로그 페이지에서 이 취약점에 대한 더 많은 통찰력과 다른 보안 결함으로부터 조직과 고객을 보호하는 방법을 확인하세요. 또한 데모를 체험하여 사이버 보안 기술을 최신 상태로 유지할 수 있습니다.

‍