API visibility and protection, from development to runtime
개발부터 운영까지, API 가시성 확보와 보안을 하나로
Akamai API Security는 API 검색 및 식별, 보안 태세 관리, 보안 테스트, 런타임 위협 분석을 통해 API 라이프사이클 전반의 보안을 지원하는 플랫폼입니다. 트래픽, 소스코드, API 명세 및 연동 인프라의 정보를 활용하여 API 자산을 파악하고, 취약점과 민감한 데이터 노출, 비정상적인 사용 행위를 식별합니다.
온프레미스, 멀티클라우드, 하이브리드 환경에서 API 보안 현황을 통합적으로 확인하고, 위험도에 따른 조치 우선순위를 제공합니다. 기존 보안 시스템 및 업무 도구와 연계하여 보안팀과 개발팀의 분석·대응을 지원하며, 생성형 AI 애플리케이션과 LLM 서비스, MCP 서버에 연결된 API까지 가시성을 확장합니다.
한국인터넷진흥원(KISA)은 2026년 10월 3일 「최근 사이버공격 대비 기업 보안강화 권고」를 발표했습니다.
국내 금융권과 민간기업의 침해사고에 대응하여
외부 노출 자산 점검, 웹·API 취약점 보완, 계정·인증정보 보호, 내부 시스템으로의 침해 확산 방지, 정보 유출 모니터링 등 단계별 보안 강화를 권고했습니다.
KISA 권고에 따르면, 기업·기관은 외부 노출 자산과 취약점을 점검하여 초기 침입 가능성을 줄이고, 계정 권한과 시스템 간 통신을 제한하여 침입 이후 내부 확산을 방지해야 합니다. 또한 중요정보 접근을 통제하고 이상 행위를 모니터링하여 정보 유출에 대비하는 등, 공격 단계별 보호조치를 함께 적용해야 합니다.
이 중 웹·API 취약점은 초기 침입에 자주 악용되는 만큼, 우선 점검과 요청별 접근 권한 검증이 필요합니다. 로그인에 성공한 사용자라도 모든 데이터와 기능에 접근할 권한이 있는 것은 아니므로, 요청마다 이용 권한을 서버에서 검증해야 합니다. 특히 요청값을 바꿔 다른 사용자의 정보를 조회·수정할 수 있는지 점검하고, 접근이 거부된 뒤 다른 경로로 조회하는 행위를 모니터링해야 합니다.
따라서 외부에 노출된 자산을 파악하고, 웹·API의 접근 권한과 입력값 처리 방식을 점검해야 합니다. 외부 URL 호출은 허용된 목적지·프로토콜로 제한하고, 계정·인증토큰별 호출 횟수와 데이터 조회·반환 범위에도 업무에 맞는 제한을 적용해야 합니다. 운영 중에는 비정상적인 요청과 반복 조회를 모니터링하고, 대량 요청뿐 아니라 소량의 조회가 장시간 누적되는 양상까지 분석하여 정보 유출 징후를 확인해야 합니다.
출처: https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133&menuNo=205020&nttId=72207, KISA, 「최근 사이버공격 대비 기업 보안강화 권고」, 2026.10.03
문서와 실제 운영 환경이 달라지거나 API 담당자가 불분명하면 보호 대상에서 누락되는 자산이 발생할 수 있습니다.
⮕ 섀도 API와 좀비 API를 포함한 자산 현황을 지속적으로 파악해야 합니다.
유효한 인증정보와 정상적인 요청 형식을 사용하는 공격은 단순한 규칙만으로 구분하기 어렵습니다.
⮕ API의 사용 맥락과 동작을 분석하여 비즈니스 로직 악용과 비정상 행위를 식별해야 합니다.
충분한 테스트 없이 배포된 API는 권한 검증 오류와 보안 취약점을 운영 환경에 노출할 수 있습니다.
⮕ 개발 과정에 반복 가능한 보안 테스트를 통합해야 합니다.
문제를 발견하더라도 담당자와 수정 대상이 명확하지 않으면 대응이 지연됩니다.
⮕ 위험도와 관련 근거를 바탕으로 우선순위를 정하고, 개발·운영 업무와 연결해야 합니다.
Akamai API Security는 다양한 환경의 API 정보를 통합 분석하고, 개발부터 운영까지 일관된 보안 관리를 지원합니다.
| 다양한 환경을 아우르는 API 가시성트래픽, 소스코드, API 명세, 연동 인프라 정보를 활용한 자산 및 데이터 흐름 파악
| 사용 맥락을 고려한 보안 분석
| 개발부터 운영까지 이어지는 보안 관리
| 기존 보안 및 업무 시스템과 유연한 연계
API Discovery
다양한 데이터 소스에서 API를 식별하고 인벤토리를 지속적으로 갱신합니다.
API의 사용 현황과 민감한 데이터 처리 정보를 함께 확인하여 관리 대상과 보안 위험을 파악합니다.
API Posture Management
API와 관련 인프라의 구성 및 동작을 분석하여 보안 취약점과 잠재적인 위험을 식별합니다.
API의 특성과 데이터 민감도를 고려한 우선순위와 개선 방향을 제공하여 지속적인 보안 상태 관리를 지원합니다.
API Runtime Protection
운영 중인 API 트래픽과 사용 행위를 분석하여 의심스러운 활동을 탐지합니다.
정상 행위를 기준으로 이상 징후를 식별하고, 기존 보안 시스템 및 업무 도구와 연계하여 대응을 지원합니다.
API Active Testing
개발 및 배포 전 단계에서 실제 공격 상황을 모사하여 API 취약점을 점검합니다.
반복 가능한 테스트를 개발 과정에 통합하고, 발견된 문제를 재현·수정하는 데 필요한 정보를 제공합니다.
API Recon
외부에서 접근 가능한 API와 관련 도메인을 탐색하고, 공격자가 악용할 수 있는 노출 정보를 확인합니다.
외부 관점의 점검을 통해 내부 자산 관리에서 놓칠 수 있는 보안 사각지대를 보완합니다.
