2024년 API 보안: Imperva 보고서, 증가하는 위협과 시급한 조치 필요성 재확인

2024년 API 보안: Imperva 보고서, 증가하는 위협과 시급한 조치 필요성 재확인

​

API(Application Programming Interfaces)는 현대 디지털 혁신의 핵심입니다. 이들은 네트워크간 또는 애플리케이션간의 원활한 연결을 주도하고, 빠른 개발을 가능하게 하며, 무수한 비즈니스 크리티컬 애플리케이션에 동력을 공급합니다. 하지만 API의 적용이 가속화되는 가운데 위협 환경에 중대한 변화가 오고 있습니다. 2024년 API 보안 현황을 보여주는 최근 보고서는 극명한 현실을 드러냅니다. 지난 1년 동안 API 표적 공격이 급증하여 산업 전반에 걸쳐 비즈니스 디지털 자산과 기업운영이 위협받고 있습니다.

​

탈레스(Thales) 회사인 임퍼바(Imperva)가 작성한 이 보고서는 API의 확산으로 인해 생성된 확장된 공격 표면을 강조합니다. 공격자들은 점점 더 취약성을 악용하여 API 비즈니스 로직을 자주 공격하여 전통적인 보안 조치를 우회합니다. 또한 보고서는 회사 경영진과 보안 전문가들에게 중요한 경종을 울리며, 전반적인 사이버 보안 전략의 핵심 구성 요소로 API 보안을 우선시해야 한다는 긴급한 필요성을 강조합니다.

​

주요 사항 : API가 주요 목표가 되는 이유

​

이 보고서는 API가 모든 회사의 사이버 보안 레이더에 있어야 하는 이유를 설명하는 귀중한 통찰력을 제공합니다.

​

API 트래픽의 급속한 증가

​

보고서에 따르면 지난해 API 트래픽은 웹 트래픽의 71% 이상을 차지했습니다. API 트래픽의 엄청난 양은 공격자에게 더 크고 매력적인 타겟을 제공합니다. 보고서에 따르면 모든 계정 인수(ATO) 공격의 거의 절반이 API 엔드포인트를 목표로 합니다. API에 대한 모든 DDoS 공격의 거의 3분의 1(28%)은 이러한 유형의 공격에 가장 표적이 되는 산업인 금융 서비스 조직에 초점을 맞추고 있습니다.

​

자동화된 공격 및 비즈니스 로직 남용

​

기업 사이트에 대한 평균 API 호출 수는 천문학적인 15억 건으로 증가했으며, 이는 API에 대한 자동화된 공격의 양이 증가하는 것과 관련이 있습니다. 불량 봇 형태의 자동화된 공격은 API에 대한 상당한 위협이 됩니다. 일반 API 트래픽을 모방하여 공격을 탐지하지 못하고 불량 행위자가 비즈니스 로직에 대해 악의적인 활동을 수행할 수 있도록 합니다. 2023년 주요 행위자 벡터는 비즈니스 로직으로 전체 API 공격의 27%에 달했습니다.

​

API의 비즈니스 로직 남용은 불량 행위자가 자동화된 공격 에이전트를 사용하여 중요한 데이터를 유출하거나 미션 크리티컬 애플리케이션을 방해하는 등 악의적인 목적으로 API의 의도된 기능을 악용할 때 발생합니다.

​

Shadow API로 인한 데이터 유출

​

발견되지 않았거나 제대로 문서화되지 않은 API는 공격 표면을 증가시킵니다. 조직당 평균 613개의 API를 사용하는 더 이상 사용되지 않는 엔드포인트 또는 BOLA(Broken Object Level Authorization)는 비즈니스가 직면한 잠재적 위험을 높입니다. Shadow API는 민감한 데이터 노출을 초래할 수 있으며, 이는 조직에 재앙적인 결과를 초래할 수 있습니다.

​

포괄적인 API 보안의 필요성

​

조사 결과 외에도 Imperva는 API 취약성 위험을 완화하고 비즈니스 보안을 강화하기 위한 포괄적인 모범 사례를 제공합니다.

​

기초 초석으로서의 API 발견

​

보이지 않는 것을 보호할 수는 없습니다. 지속적인 API 검색 솔루션을 구현하여 조직 내 모든 API의 완전한 최신 인벤토리를 유지해야 합니다. 모든 API, 엔드포인트, 매개변수 및 페이로드를 검색, 분류 및 인벤토리화하십시오. 지속적인 검색을 사용하여 API 인벤토리를 지속적으로 최신 상태로 유지하고 민감한 데이터의 노출을 공개하세요. 민감하고 위험성이 높은 API를 식별하고 보호합니다. 특히 손상된 권한 부여 및 인증은 물론 과도한 데이터 노출에 취약한 API 엔드포인트를 대상으로 위험 평가를 수행합니다.

​

기존 WAF를 넘어서는 보안

​

WAF(웹 애플리케이션 방화벽)가 역할을 수행하지만 API 관련 공격을 효과적으로 방어할 수 있는 컨텍스트와 가시성이 부족한 경우가 많습니다. API 위협의 고유한 특성에 맞서기 위해 기업은 다음에 투자해야 합니다.

​

• 합법적인 자동화 트래픽과 악의적인 자동화 트래픽을 구별하여 종종 API를 표적으로 삼는 불량 봇을 차단하는 고급 봇 보호입니다.

• 부적절한 검증이나 잘못 구성된 인증 등 기존 WAF가 놓칠 수 있는 API 취약점을 찾아내기 위해 정기적인 평가를 수행합니다.

• 행동 분석과 기계 학습을 활용하여 공격의 신호를 보내는 비정상적인 API 활동을 찾아내는 솔루션을 찾아보세요.

​

API 보안은 일회성 솔루션이 아니라는 점을 기억하세요. 진화하는 위협에 앞서기 위해 정기적인 재평가, 적응 및 사전 모니터링이 필요한 지속적인 프로세스입니다.

​

내용을 공유하세요!

​

API 보안 문제와 이것이 비즈니스에 미치는 영향을 이해하는 것이 보다 안전한 API 환경을 향한 첫 번째 단계입니다. 보고서를 다운로드하고 동료 및 파트너와 공유하여 우리가 직면한 위협에 대한 지식을 전달하는 데 도움을 받으세요. 사이버 보안은 항상 팀 게임이었습니다.

​

보고서 다운로드

​

---

Thales DIS CPL소개

​

오늘날의 기업은 클라우드, 데이터, 소프트웨어를 활용하여 비즈니스의 중대한 결정을 내립니다. 전 세계 유수의 브랜드와 기업들이 클라우드와 데이터 센터에서 디바이스, 네트워크에 이르는 모든 곳에서 생성, 공유 및 저장되는 민감정보와 소프트웨어에 안전하게 접근하기 위해 탈레스의 솔루션을 활용합니다. 탈레스의 솔루션을 도입한 기업은 안정적으로 클라우드로 이전하면서도 확실하게 데이터 보안 규제를 준수할 수 있습니다. 현재, 매일 수백만 명의 소비자가 사용하는 서비스와 디바이스를 통해 탈레스의 고객들은 보다 큰비즈니스 가치를 창출하고 있습니다.

https://cpl.thalesgroup.com/ko

​

탈레스 소개

​

귀하의 데이터를 보호하는 기업들은 탈레스를 통해 자신들의 데이터를 보호합니다. 데이터 보안에 대해 중요한 결정을 내려야 하는 순간이 증가하고 있습니다. 암호화 전략을 수립하거나, 클라우드로 데이터를 이전하거나, 규제 준수 요구사항을 충족시켜야 하는 모든 순간에 탈레스를 믿고 찾아주십시오. 탈레스는 귀하의 안전한 디지털 트랜스포메이션을 지원합니다.