블로그

Jan 28, 2024

FireTail 보고서에서는 API 보안 침해가 적지만 치명적이라는 사실을 발견했습니다.

홈 » Security Boulevard (원본) » FireTail 보고서에서 API 보안 발견

홈 » Security Boulevard (원본) » FireTail 보고서는 API 보안 침해가 적지만 치명적이라는 사실을 발견했습니다

API(애플리케이션 프로그래밍 인터페이스) 보안 플랫폼 제공업체인 FireTail이 2022년 사이버 보안 위반을 분석한 결과, API와 관련된 공개적으로 기록된 위반은 12건에 불과했으며, 2023년에는 지금까지 6건이 더 공개되었습니다.

그러나 API 데이터 침해 노출의 평균 평균 크기는 사건당 1,000만 개가 넘는 레코드입니다. 단일 침해 기록의 총 비용이 180달러인 경우, API 보안 침해의 총 비용은 쉽게 850억 달러에 이를 수 있다고 보고서는 밝혔습니다.

API 보안과 관련된 데이터 위반의 상위 2개 범주는 1억 3,500만 개 기록(모든 위반 기록의 28%)에 대한 승인과 1억 500만 개 기록(모든 위반 기록의 22%)에 대한 인증입니다.

FireTail CEO Jeremy Snyder는 인터넷 트래픽의 85% 이상이 API를 통해 이동하므로 이제 API 보안 위반 건수와 총 비용이 증가하는 것은 시간 문제일 뿐이라고 말했습니다. 불행하게도 API 보안에 대한 초점 수준은 비즈니스에 대한 잠재적 위험에 비례하지 않는다고 그는 덧붙였습니다.

또한 사용 가능한 API 보안 전문 지식 수준도 여전히 제한되어 있습니다. 예를 들어, 인증 프로세스에서 자주 간과되는 고려 사항 중 하나는 인증 자격 증명을 반복적으로 확인하고 자격 증명을 활성 세션에 바인딩해야 한다는 것입니다. 정적 API 키와 같이 수명이 긴 자격 증명은 비밀이 무분별하게 확산될 수 있습니다. 일부 일반적인 인증 메커니즘으로 인해 API에 취약점이 발생할 수도 있습니다.

따라서 토큰이 예상 형식을 준수하는지 여부만 확인하는 것이 아니라 정기적으로 인증을 강제하도록 API를 설계하는 것이 중요합니다.

API 보안을 담당하는 사람이 누구인지 항상 명확하지는 않습니다. 그러나 사이버 범죄자들은 ​​API를 통해 얼마나 많은 데이터가 추출될 수 있는지를 높이 평가하므로 해당 API를 보호하는 임무를 맡은 사이버 보안 팀과 API를 생성하는 개발자 사이에 더 많은 협력이 필요하다는 것은 분명합니다.

더욱 어려운 점은 API를 광범위하게 사용하는 마이크로서비스 기반 애플리케이션의 증가로 인해 프로덕션 환경에 배포되는 API의 수가 크게 늘어났다는 것입니다. 더 이상 지원되지 않지만 외부 위협 행위자가 여전히 액세스하고 조작할 수 있는 소위 좀비 API를 개발자가 배포하는 경우도 드물지 않습니다. 또한 IT 담당자가 이를 알지 못한 채 설정된 악성 API가 있는 경우도 많습니다. Snyder는 사이버 보안 팀이 API와 관련하여 직면하게 될 가장 큰 문제는 그들이 알지 못하는 것을 보호하는 것이 불가능하다는 것이라고 말했습니다.

이론적으로는 적어도 애플리케이션 구축 및 배포를 위해 DevSecOps 관행을 수용하는 애플리케이션 개발 팀은 API 보안에 대해 더 많은 책임을 맡게 되지만 모든 위반에 대한 책임은 항상 사이버 보안 팀이 지게 될 것입니다. 그러나 역사적으로 사이버 보안 팀은 경계와 엔드포인트 보안에 더 중점을 두었기 때문에 사이버 보안에 할당된 예산의 대부분은 API에 적용되지 않습니다.

API 침해가 더욱 일반화됨에 따라 앞으로 몇 달 안에 상황이 바뀔 수도 있습니다. 그 동안 사이버 보안 팀은 최소한 API를 만든 사람에 관계없이 자신이 알고 있고 보호할 책임이 있는 API의 인벤토리를 만들어야 합니다.