eNsecure

알림

mobile background

| API 게이트웨이 및 웹 방화벽의 한계

범용 애플리케이션 보안 솔루션만으로는 웹 API를 완전히 보호하기 어려운 구조
게이트웨이와 WAF는 라우팅되지 않는 내부 호출이나 마이크로서비스 간 트래픽을 인식하지 못하는 한계 존재
이에 따라 섀도(Shadow) API와 좀비(Zombie) API가 보안 관리 범위 밖에 남는 문제 발생
API를 통과하는 민감 데이터의 흐름과 유형에 대한 가시성 부족이 주요 보안 리스크로 작용하는 상황

| OWASP API Security Top 10 (2023)

OWASP는 객체 권한 제어 실패, 인증 오류, 보안 구성 미비 등 10대 핵심 API 보안 위협 항목을 정의
대표적인 공격 유형에는 다음과 같은 사례가 포함
- 권한 오남용 및 데이터 탈취 (A1~A3, A5)
- 무제한 요청으로 인한 서비스 거부(DoS) (A4)
- 민감한 비즈니스 플로우 접근 (A6)
- 서버 측 요청 위조 및 보안 설정 오류 (A7~A8)
- 부적절한 자산 관리 및 안전하지 않은 API 사용 (A9~A10)
이외에도 비즈니스 로직을 악용한 다양한 변종 위협이 지속적으로 등장하는 추세

| 금융권 오픈API 보안 점검 가이드

위험 ① - 서비스 애플리케이션 취약점을 통한 악의적 행위 발생 가능성
- 이용자 데이터 침해, 부정거래, 서비스 중단 등의 피해 발생 우려
- 개발 단계에서 보안 요구사항을 명확히 정의하고, 배포 전후 취약점 검증 및 이상거래 모니터링 수행 필요
위험 ② - 오픈API 이용 애플리케이션의 침해 또는 오류로 인한 비정상 API 요청 발생 가능성
- 침해된 앱을 통한 비정상 트래픽이 운영 기관 시스템에 영향을 미칠 위험
- 위변조 방지, 접근통제, 변경관리, 이상행위 모니터링 체계 수립의 필요성 대두

① 비침습적(Non-intrusive) 구성

네트워크에 직접 연결하지 않고 SPAN(미러링) 방식으로 트래픽을 복제·분석하는 비침습적 구조
- 실제 서비스 경로에는 영향을 주지 않아 속도 저하나 장애 위험이 없는 안정적인 동작 방식

② 컨테이너 기반 배포

Docker 환경을 이용해 손쉽게 설치하고, 필요에 따라 서버를 추가하거나 확장할 수 있는 구조
- 특정 운영체제나 환경에 묶이지 않아 배포와 확장이 빠르고 유연한 시스템 운영 가능

③ 마이크로서비스 아키텍처(MSA)

탐지, 분석, 관리 기능을 서로 독립된 서비스로 나눈 구조
- 한 부분에 문제가 생겨도 전체 서비스에 영향을 주지 않고, 필요한 기능만 따로 업데이트 가능

④ 데이터 주권(Data Sovereignty) 확보

모든 민감 데이터를 내부 시스템 내에서만 저장 및 분석하는 데이터 로컬화 방식
- 외부 전송 없이 내부에서만 처리되어 개인정보 보호와 규제 준수를 동시에 충족