eNsecure

알림

mobile background

eNAPIT는 조직 내 모든 API 자산을 자동으로 식별하고, API를 통해 오가는 민감 데이터의 흐름과 상호작용을 추적하는 API 보안 모니터링 솔루션입니다. API 게이트웨이와 웹 방화벽이 인식하기 어려운 섀도(Shadow) API와 좀비(Zombie) API까지 가시화하여 관리 사각지대를 줄이고, 비즈니스 로직 및 사용자 행위 기반의 이상 징후를 탐지해 API 침해 위협에 선제적으로 대응할 수 있도록 지원합니다.

| API 게이트웨이 및 웹 방화벽의 한계

범용 애플리케이션 보안 솔루션만으로는 웹 API를 충분히 보호하기 어려운 구조
게이트웨이와 WAF는 라우팅되지 않는 내부 호출이나 마이크로서비스 간 트래픽을 인식하기 어려운 한계 존재
이에 따라 섀도(Shadow) API와 좀비(Zombie) API가 보안 관리 범위 밖에 남는 문제 발생
API를 통과하는 민감 데이터의 흐름과 유형에 대한 가시성 부족이 주요 보안 리스크로 작용

| OWASP API Security Top 10 (2023)

OWASP는 객체 권한 제어 실패, 인증 오류, 보안 구성 미비 등 10대 핵심 API 보안 위협 항목을 정의
대표적인 공격 유형에는 다음과 같은 사례가 포함
- 권한 오남용 및 데이터 탈취 (A1~A3, A5)
- 무제한 요청으로 인한 서비스 거부(DoS) (A4)
- 민감한 비즈니스 플로우 접근 (A6)
- 서버 측 요청 위조 및 보안 설정 오류 (A7~A8)
- 부적절한 자산 관리 및 안전하지 않은 API 사용 (A9~A10)
이외에도 비즈니스 로직을 악용한 다양한 변종 위협이 지속적으로 등장하는 추세

| 금융권 오픈API 보안 점검 가이드

위험 ① - 서비스 애플리케이션 취약점을 통한 악의적 행위 발생 가능성
- 이용자 데이터 침해, 부정거래, 서비스 중단 등의 피해 발생 우려
- 개발 단계 보안 요구사항 정의 및 배포 전후 취약점 검증·이상거래 모니터링 필요
위험 ② - 오픈API 이용 애플리케이션의 침해 또는 오류로 인한 비정상 API 요청 발생 가능성
- 침해된 앱을 통한 비정상 트래픽이 운영 기관 시스템에 영향을 미칠 위험
- 위변조 방지, 접근통제, 변경관리, 이상행위 모니터링 체계 수립의 필요성 대두

① 비침습적(Non-intrusive) 구성

네트워크에 직접 연결하지 않고 SPAN(미러링) 방식으로 트래픽을 복제·분석하는 비침습적 구조
- 실제 서비스 경로에 영향을 주지 않아 성능 저하와 장애 위험을 최소화하는 안정적인 동작 방식

② 컨테이너 기반 배포

Docker 환경을 이용해 손쉽게 설치하고, 필요에 따라 서버를 추가하거나 확장할 수 있는 구조
- 특정 운영체제나 환경에 종속되지 않아 배포와 확장이 빠르고 유연한 시스템 운영 가능

③ 마이크로서비스 아키텍처(MSA)

탐지, 분석, 관리 기능이 서로 독립된 서비스로 구성한 구조
- 일부 기능에 문제가 발생해도 전체 서비스에 미치는 영향을 줄이고, 필요한 기능만 독립적으로 업데이트 가능

④ 데이터 주권(Data Sovereignty) 확보

민감 데이터를 내부 시스템 내에서 저장 및 분석하는 데이터 로컬화 방식
- 외부 전송 없이 내부에서 처리하여 개인정보 보호와 규제 준수 요구사항 대응 지원