API 보안: 불가능한 임무일까?

사이버 공격은 의심할 여지 없이 증가하고 있습니다. Verizon의 2021년 데이터 침해 조사 보고서에 따르면, 위협 환경은 그 어느 때보다 위험해졌습니다. 모든 규모의 조직이 더 많은 공격을 경험하고 있으며, 공격자들은 더욱 정교한 방식으로 조직을 표적으로 삼고 있습니다. 공격자의 성공률 또한 치솟고 있습니다.

Analyzing the most recent attacks helps to reveal some of the most common vulnerabilities and techniques being used by hackers during this unprecedented blitz against cyber defenses. Some of the most popular attacks, such as those that made the Open Web Application Security Project’s (OWASP) Top 10 Security Risks and Vulnerabilities for 2021, involved stealing or otherwise compromising credentials. And according to security research conducted by Akamai, the overwhelming majority, almost 75%, directly targeted the credentials held by APIs. 

API의 부상과 잠재적 위기

API(애플리케이션 프로그래밍 인터페이스)가 거의 모든 조직의 네트워크 내에서 급증하는 것은 놀라운 일이 아닙니다. API는 대부분의 기업, 조직 및 정부 기관에서 온프레미스 자산의 기능을 빠르게 대체하고 있는 클라우드 기반 서비스의 핵심 구성 요소입니다. 오늘날 클라우드, 특히 대외 서비스를 운영하지 않고는 비즈니스나 업무를 수행하기가 거의 불가능합니다. 이는 곧 API가 모든 네트워크에서 수많은 서비스를 하나로 묶는 접착제 역할을 하게 될 것임을 의미합니다.

API의 놀라운 점은 네트워크 리소스 할당 측면에서 대부분 작고 눈에 띄지 않는다는 것입니다. 또한 완전히 유연하여 거의 모든 작업을 수행하도록 설정할 수 있습니다. API의 핵심은 특정 프로그램을 제어하거나 관리하기 위해 맞춤화된 개별 소프트웨어 조각입니다. API는 호스트 운영 체제, 애플리케이션 또는 서비스의 데이터에 액세스하는 것과 같은 매우 구체적인 기능을 수행하는 데 활용될 수 있습니다.

안타깝게도 바로 이러한 유연성과 보안 팀이 종종 작고 눈에 띄지 않는다는 이유로 간과한다는 점이 API를 매력적인 공격 대상으로 만듭니다. 대부분의 API는 개발자가 완전한 유연성을 염두에 두고 설계하므로, 예를 들어 관리 중인 핵심 프로그램이 수정되거나 변경되어도 계속 작동할 수 있습니다. 또한 표준이 거의 없습니다. 마치 눈송이처럼 많은 API가 특정 네트워크의 단일 프로그램에서 특정 기능을 수행하도록 만들어졌기 때문에 고유합니다. 보안 인식이 부족하거나 보안에 집중하지 않는 개발자가 코딩한 경우, 공격자가 찾아내어 악용할 수 있는 수많은 취약점이 존재할 가능성이 높습니다.

안타깝게도 이 문제는 빠르게 통제 불능 상태가 되고 있습니다. Gartner에 따르면 2022년까지 API 관련 취약점은 모든 사이버 보안 범주에서 가장 빈번한 공격 벡터가 될 것입니다.

공격자가 API를 손상시키려는 주된 이유는 API가 수행하는 특정 기능을 장악하기 위해서가 아니라, 그와 관련된 자격 증명을 훔치기 위해서입니다. API의 가장 큰 문제 중 하나는 취약점이 많다는 점 외에도 핵심 기능에 비해 권한이 과도하게 부여되어 있다는 점입니다. 단순성을 위해 대부분의 API는 네트워크에서 관리자 수준에 가까운 액세스 권한을 가집니다. 공격자가 API를 장악하면 종종 해당 권한을 사용하여 네트워크 내부로 더 깊고 실질적인 침투를 시도할 수 있습니다. 또한 API는 공격자가 유도하는 작업을 수행할 권한이 있기 때문에, API가 '모든 영역에 접근 가능한 VIP 패스'를 통해 규칙을 위반하지 않는 것으로 간주되어 기존의 사이버 보안 모니터링을 우회하는 경우가 많습니다.

조직이 주의를 기울이지 않으면 네트워크와 클라우드 내에서 API가 증가하는 현상은 공격자의 표적이 되었을 때 큰 화근이 될 수 있습니다.

API 방어하기

API와 관련된 상황이 위험해지고 있지만, 절망적인 것은 아닙니다. DevSecOps와 같은 움직임을 통해 개발자의 보안 인식을 높이고, 개발부터 테스트, 배포에 이르는 소프트웨어 제작의 모든 측면에 보안과 모범 사례를 도입하려는 노력이 활발합니다. 2022년 이후에도 API 악용 추세를 막으려는 조직이라면 교육 과정에 API 보안을 포함하는 것이 필수적입니다.

그렇긴 하지만, 지금 바로 API 보안 측면에서 구현할 수 있는 몇 가지 훌륭한 모범 사례가 있습니다.

첫 번째는 모든 API에 대해 엄격한 ID 제어를 포함하는 것입니다. 권한을 할당할 때 API를 사람 사용자처럼 고려해야 합니다. API가 특정 기능만 수행하도록 설계되었다고 해서 공격자가 이를 손상시킬 경우 발생할 수 있는 상황을 간과해서는 안 됩니다. 역할 기반 액세스 제어(RBAC) 사용을 고려하십시오. 이상적으로는 API와 사용자에게 제로 트러스트 원칙을 적용해야 하지만, 이는 종종 긴 여정이 될 수 있습니다. 좋은 ID 관리는 시작하기에 좋은 지점입니다. 해당 프로그램에 API를 반드시 포함하십시오.

또한 API가 수행하는 다양한 호출을 가능한 한 엄격하게 제어해야 합니다. 이러한 호출을 매우 상황 중심적인 요청으로 제한하면 공격자가 악의적인 목적으로 이를 수정하기가 훨씬 더 어려워집니다. API를 계층화하여 초기 API가 무엇을 찾고 무엇을 무시해야 하는지 정확히 알고 있는 다른 API에 매우 상황적인 호출을 하도록 만들 수도 있습니다. 이는 공격자가 체인 내의 API를 악용하고 손상시키더라도 위협 행위자가 사용할 수 있는 기능을 제한하는 효과적인 방법이 될 수 있습니다.

API에 가해지는 위협은 압도적으로 보일 수 있습니다. 하지만 모범 사례를 구현하고 보안 챔피언이 된 개발자를 지원하고 보상함으로써 상황은 훨씬 덜 절망적으로 보일 수 있습니다. 적절한 교육과 실습을 통해 공격자가 작지만 필수적인 API를 손상시키더라도 움직일 공간을 거의 주지 않는 강력한 보안 프로그램을 구축할 수 있습니다.