Thales와 Red Hat이 API 공격으로부터 통신업체를 보호하는 방법

Thales와 Red Hat이 API 공격으로부터 통신업체를 보호하는 방법

API(Application Programming Interface)는 현대 애플리케이션의 거의 모든 측면에 강력한 기능을 제공하며 오늘날 경제적 중추가 되었습니다. 모바일 결제를 하거나, 항공사 항공권 가격을 검색하거나 레스토랑을 예약할 때마다 API를 사용하는 것입니다. 안타깝게도 API 공격은 보안 사고의 주요 요인으로 증가하고 있습니다. 특히 통신 산업은 세간의 이목을 끄는 여러 API 공격의 희생양이 되었습니다. 본 포스팅에서 우리는 텔레스와 레드햇이 어떻게 미래의 API 공격으로부터 통신사를 보호할 수 있는지, 세 가지 방법을 설명할 것입니다.

​

API란 무엇일까요?

​

API는 두 소프트웨어 구성 요소가 서로 통신할 수 있도록 해주는 소프트웨어 중개자입니다. 교환되는 정보는 보통 일련의 정의와 프로토콜을 따릅니다. 예를 들어, 온라인으로 레스토랑을 예약하면 일정 시간대와 테이블이 있는지 알 수 있는 충분한 정보가 노출됩니다. 그러나 레스토랑의 재무, 직원 또는 세금 기록과 같은 더 민감한 데이터에는 액세스할 수 없습니다. 이는 고객이 API를 통해 알기 원하 레스토랑 비즈니스 정보 중 일부분만 액세스할 수 있도록 허용하는 방법을 보여줍니다.

​

API가 대중적인 공격 벡터가 된 이유는 무엇일까요?

​

API는 조직의 무질서한 확장과 끊임없이 변화하는 공격 표면을 포함하여 여러 가지 이유로 점점 더 인기 있는 공격 벡터가 되었습니다. 대부분의 API 공격은 자격 증명 도용의 결과입니다.

​

조직의 API가 공격을 받으면 몇 주 또는 몇 달 동안 탐지하기가 어려운 경우가 많습니다. 그 시점까지 위협 요인들은 대개 데이터를 유출하고 시스템을 통제하며 중요한 운영을 중단하는 데 성공하고 종종 수백만 달러의 수익 손실을 입습니다. 또한 기업은 종종 평판 손상, 급격한 재정 벌금 및 규제 처벌과 함께 추가적인 차질을 빚습니다.

​

통신사들이 특히 API 공격에 취약한 부분은 무엇일까요?

​

지난 1년 동안 텔레콤 산업은 보호되지 않은 API를 이용하여 발생한 광범위하고 세간의 이목을 끄는 데이터 침해를 겪었습니다. 이러한 침해에는 T-Mobile과 같은 주요 사업자에 대한 침해도 포함됩니다.

​

통신사들은 여러 가지 이유로 API 공격에 특히 취약합니다.

​

대규모 IT 풋프린트 : 대부분의 통신사는 가입자 기반을 지원하기 위해 보통 수만 명에서 수백만 명에 이르는 대규모의 IT 환경을 보유하고 있습니다. 이러한 대규모 가입자 기반은 엄청난 데이터 볼륨을 생성합니다. 이러한 볼륨은 수많은 애플리케이션과 기타 IT 솔루션에 의해 차례로 관리됩니다. 따라서 이러한 거대한 IT 인프라는 관리 및 보안이 매우 어렵습니다.

​

복잡한 환경: 통신사는 핵심, 모바일 및 액세스 네트워크를 운영하기 위해 지원하는 레거시 장비와 서비스를 보유하고 있는 경우가 많습니다. 이는 또한 지원해야 하는 다양한 공급업체, 표준 및 서비스 수준 계약(SLA)으로 인해 더욱 복잡해집니다. 환경의 변화가 많을수록 관리가 더욱 복잡해집니다.

​

레거시 기술 충돌: 대부분의 통신사는 매우 큰 레거시 IT 기술을 보유하고 있습니다. 안타깝게도 이는 컨테이너형 또는 Kubernetes 기반 클라우드 네이티브 애플리케이션과 같은 최신 기술과 항상 잘 통합되지는 않습니다.

​

매우 매력적인 중요한 데이터 : 통신사들은 많은 가치 있는 자료들을 관리합니다. 이것은 그들의 가입자들의 개인식별정보 (PII)나 심지어 그들의 지불 정보도 포함할 수 있습니다. 게다가, 몇몇 지역에서 통신사들은 중요한 정부의 사회 기반 시설 운영과 밀접하게 관련되어 있습니다. 여기에서 통신사들은 사이버 범죄자들과 테러리스트 조직들이 갈망하는 매우 민감하고 위험한 자료들을 관리합니다.

​

보안 전문성 부족: IT 보안은 여전히 통신사 부문 전반에 걸쳐 매우 중요한 학습 곡선이며, 이로 인해 통신사들은 현재의 위협 환경에서 앞서 나가기가 어렵습니다.

​

수익 인센티브: 통신사들은 새로운 서비스를 노출하기 위해 API 개발을 조직의 새로운 수익원으로 빠르게 받아들이고 있습니다. 하지만 이러한 가치를 고객에게 제공하는 것은 양날의 칼입니다. 이는 수익 창출 기회를 창출할 뿐만 아니라 네트워크 기능(NF)과 데이터를 새로운 방식으로 노출시킴으로써 내재된 보안 위험도 함께 수반하기 때문입니다.

​

통신사가 데이터 보안을 강화하는 3가지 방법

​

통신사가 중요한 데이터를 보호하는 데 있어 가장 큰 장벽은 필요한 보안 지식이 부족하고 애플리케이션 코드를 자주 다시 작성해야 한다는 점입니다. Thales와 Red Hat은 함께 이러한 데이터 보호 및 관리 문제를 해결할 수 있는 솔루션을 제공합니다.

​

1 – 휴지중인 데이터 암호화

​

데이터 유출을 방지하기 위해 무단 액세스 및 물리적 도난 방지 조직은 사용 중인 데이터를 안전하게 보호하려고 점점 더 노력하고 있습니다. 이 데이터를 Thales CipherTrust Transparent Encryption(CTE)으로 암호화하면 파일과 문서가 안전하게 보호되므로 암호화 키가 승인된 사람만 데이터에 액세스할 수 있습니다. CTE는 중앙 집중식 키 관리, 권한 있는 사용자 액세스 제어 및 자세한 데이터 액세스 감사 기록 기능을 갖춘 미사용 데이터 암호화를 제공하여 사내, 여러 클라우드 및 컨테이너화된 환경에서 데이터를 보호합니다. Thales CTE는 대규모 애플리케이션을 구축, 현대화 및 배포하는 통합 플랫폼인 Red Hat OpenShift에서 실행되는 영구 볼륨의 데이터를 보호합니다. 이 통합을 통해 Red Hat과 Thales는 통신 및 클라우드 서비스 제공업체가 클라우드, 엣지 및 레거시 환경에서 5G의 강력한 성능을 신속하게 활용하면서 민감한 데이터를 지속적으로 보호할 수 있습니다.

​

2 - REST API를 사용하여 RESTful 웹 서비스 또는 마이크로 서비스에 데이터 보호

​

탈레스 데이터 보호 게이트웨이(DPG)는 데이터 자체를 암호화하여 A 지점에서 B 지점까지 TLS 채널을 통과하는 데이터를 보호합니다. 암호화는 "중간자" 공격 중에 가로채더라도 데이터 자체에 액세스할 수 없도록 보장합니다. DPG는 애플리케이션을 대신하여 투명하게 데이터 보안 작업을 수행하지만 애플리케이션을 변경하거나 코드를 변경할 필요는 없습니다. DPG는 기존 애플리케이션을 위한 독립 실행형 게이트웨이 또는 Red Hat OpenShift에 의해 관리되는 새로운 클라우드 네이티브 애플리케이션을 위해 Kubernetes에서 실행되는 컨테이너 "사이드카"로서 REST API 서비스 또는 마이크로 서비스를 사용하여 기존 Telco 환경에 쉽게 적용할 수 있습니다.

​

3 – 애플리케이션에 대한 신뢰의 뿌리인 암호화 키를 안전하게 보호합니다

​

HSM(Hardware Security Module)은 API 또는 API 엔드포인트를 보호하는 데 있어 막후에서 작동하는 경향이 있습니다. 무엇보다도 HSM은 엔드포인트의 TLS 인증서를 보호함으로써 API 엔드포인트의 합법성을 확인합니다. 이를 통해 호출 응용 프로그램이 API 엔드포인트를 신뢰할 수 있고 악성 API와 대화하지 않도록 보장합니다. 둘째로 HSM은 코드 서명 키를 보호하여 배포된 소프트웨어 또는 컨테이너가 합법적이고 신뢰할 수 있는 소스에서 가져온다는 확신을 제공할 수도 있습니다.

​

Red Hat OpenShift에서 실행되는 레거시 및 컨테이너 기반 응용 프로그램은 모두 Thales Luna HSM으로 암호화 키를 보호함으로써 데이터 침해로부터 보호될 수 있습니다. Luna HSM을 사용하면 FIP가 검증되고 강화되고 변조 방지 장치 내부에 암호화 키를 안전하게 관리, 처리 및 저장함으로써 세계에서 가장 보안에 민감한 일부 조직에 안전한 신뢰의 기반을 제공할 수 있습니다. Luna HSM을 사용하여 5G VNF를 보호하고 PKI 기반 인프라, 가입자 인증, 신원 및 개인 정보 보호를 수행하면 통신 사업자가 데이터 개인 정보 보호 및 소비자 보호에 대한 업계 규정 준수 및 정부 규제 의무를 충족하는 데 도움이 될 수 있습니다.

​

탈레스와 레드햇의 통합 개요

​

결론

​

API는 통신사에게 가장 크고 취약한 공격 표면이지만, 침입으로부터 보호하고 중요한 데이터를 보호하기 위한 조치를 취할 수 있습니다. Thales와 Red Hat은 함께 통신사가 IT 부서가 직면한 보안 및 관리 장애를 극복하도록 도울 수 있습니다. Tales가 어떻게 통신사 환경을 보호하는지에 대한 자세한 내용이 궁금하시면 탈레스에 연락주십시오.

​

탈레스에 문의하기

---

Thales DIS CPL소개

​

오늘날의 기업은 클라우드, 데이터, 소프트웨어를 활용하여 비즈니스의 중대한 결정을 내립니다. 전 세계 유수의 브랜드와 기업들이 클라우드와 데이터 센터에서 디바이스, 네트워크에 이르는 모든 곳에서 생성, 공유 및 저장되는 민감정보와 소프트웨어에 안전하게 접근하기 위해 탈레스의 솔루션을 활용합니다. 탈레스의 솔루션을 도입한 기업은 안정적으로 클라우드로 이전하면서도 확실하게 데이터 보안 규제를 준수할 수 있습니다. 현재, 매일 수백만 명의 소비자가 사용하는 서비스와 디바이스를 통해 탈레스의 고객들은 보다 큰비즈니스 가치를 창출하고 있습니다.

https://cpl.thalesgroup.com/ko

​

탈레스 소개

​

귀하의 데이터를 보호하는 기업들은 탈레스를 통해 자신들의 데이터를 보호합니다. 데이터 보안에 대해 중요한 결정을 내려야 하는 순간이 증가하고 있습니다. 암호화 전략을 수립하거나, 클라우드로 데이터를 이전하거나, 규제 준수 요구사항을 충족시켜야 하는 모든 순간에 탈레스를 믿고 찾아주십시오. 탈레스는 귀하의 안전한 디지털 트랜스포메이션을 지원합니다