애플리케이션 프로그래밍 인터페이스(Application Programming Interfaces)를 의미하는 API는 지금까지 대부분의 최신 디지털 솔루션을 지원해 왔습니다. 소셜 네트워크 통신에서 금융 거래, 일기 예보 및 교통 체증 확인에 이르기까지 API는 보이지 않는 곳에서 작동하여 귀중한 통찰력을 제공하고 중요한 거래를 실행합니다.
API는 또한 점점 더 유비쿼터스화되고 있습니다. 보고서 지난 12개월 동안 전체 API 트래픽이 321%로 크게 증가한 것으로 나타났습니다. 그러나 이러한 사용량 증가로 인해 사이버 위협도 증가했으며 API 공격은 같은 기간에 681% 증가했습니다.
API란 무엇입니까?
API는 서로 다른 두 응용 프로그램이 서로 통신할 수 있도록 하는 소프트웨어입니다. 한 응용 프로그램이 다른 응용 프로그램에 요청을 전달하고 응답을 받아 특정 작업을 수행합니다. API에는 구현과 독립적인 정의된 기능이 있으며 소프트웨어 개발의 빌딩 블록을 형성합니다.
간단히 말해서 API는 두 소프트웨어 시스템이 서로 상호 작용하는 방법입니다.
예를 들어 항공편을 검색할 수 있는 앱을 생각해 보세요. 옵션을 입력하고 "예약" 버튼을 클릭한 후에도 앱은 여전히 좌석 가용성 및 비용에 대한 항공사 데이터베이스를 확인해야 합니다. 애플리케이션은 항공사의 API에서 이 데이터를 가져와 예약을 계속할 수 있도록 반환할 수 있습니다.
주류 API 프로토콜은 무엇입니까?
API가 시스템 간의 상호 작용을 가능하게 하려면 데이터와 특정 명령을 교환해야 합니다. 이 교환은 개별 사용 사례에 따라 달라질 수 있는 설정된 프로토콜 및 아키텍처에 의해 관리됩니다. 주류 API 프로토콜 중 일부는 다음과 같습니다.
- REST(Representational State Transfer) 아키텍처: 가장 널리 사용되는 프로토콜 중 하나인 REST는 API의 프런트 엔드와 백 엔드를 분리하여 작동합니다. 또한 "무상태"이므로 요청 사이에 데이터나 상태가 저장되지 않습니다. REST에 구축된 API를 "RESTful API"라고 합니다.
- SOAP(단순 개체 액세스 프로토콜): 웹 API를 생성하는 데 일반적으로 사용되는 표준으로 HTTP, SMTP, TCP와 같은 다양한 인터넷 프로토콜을 지원합니다. RESTful API보다 더 구조화되고 제어되고 정의됩니다.
- gRPC(Google 원격 절차 호출): 대부분의 환경에서 실행할 수 있는 Google에서 개발한 오픈 소스 프레임워크입니다. 고유성은 개발자가 자신의 사용자 지정 기능을 정의할 수 있는 기능에 있습니다.
- GRAPHQL(그래프 쿼리 언어): 페이스북에서 개발했습니다. GRAPHQL은 데이터베이스 쿼리 언어와 같이 서버에서 데이터를 쿼리합니다. 쿼리 요청에 따라 명시적으로 요청된 데이터만 가져오기 때문에 전체 패키지를 가져오는 대신 시간과 리소스를 절약할 수 있습니다.
API 보안이란 무엇입니까?
API 보안에는 API의 무결성을 보호하고 악의적인 공격을 방지하는 조치 및 솔루션이 포함됩니다. 여기에는 API의 보안 위험과 취약성을 조사하고 완화하는 프로세스가 포함됩니다.
API를 보안하지 않은 상태로 두면 해커가 이를 악용하여 민감한 데이터를 훔칠 수 있고 조직에 금전적 피해를 입히고 평판을 손상시킬 수 있습니다. 속도 제한, 인증 및 권한 부여를 비롯한 다양한 기술이 API 보안에 사용됩니다. 그러나 이러한 기술 외에도 기업은 전체 소프트웨어 개발 및 API 워크플로를 포괄하는 보안 문화를 채택해야 합니다.
API 보안이 중요한 이유는 무엇입니까?
API 보안은 주로 웹 및 모바일 애플리케이션과 SaaS 제품에서 광범위하게 사용되기 때문에 오늘날 사이버 보안의 중요한 부분이 되었습니다. 이러한 애플리케이션은 뱅킹에서 소매, 엔터테인먼트, 의료 및 운송까지 가장 기본적인 사용 사례에서 찾을 수 있습니다. API에 의존하는 애플리케이션에는 개인 식별 정보(PII)를 비롯한 많은 고객 대면 포털 및 민감한 데이터 수집이 포함됩니다.
설상가상으로 대부분의 기업은 이러한 애플리케이션을 위해 클라우드 기반 스토리지 및 컴퓨팅으로 전환하고 있습니다. 이렇게 하면 어디에서나 모든 장치에서 애플리케이션에 액세스할 수 있지만 클라우드 컴퓨팅 보안 과제, API는 해커가 인증을 악용하고 네트워크를 위반하는 방법이 될 수 있기 때문입니다. 이로 인해 API 보안은 기업의 필수 요구 사항이 되었습니다.
API 인증의 다른 방법은 무엇입니까?
기업은 몇 가지 API 인증 방법을 사용하여 보안을 강화할 수 있습니다. 여기에는 다음이 포함됩니다.
공개 승인(0Auth)
OAuth는 Facebook 또는 Twitter와 같은 타사 서비스가 암호와 같은 민감한 필드를 노출하지 않고 최종 사용자의 계정 세부 정보를 가져올 수 있도록 하는 개방형 표준입니다. 기본적으로 사용자가 계정 정보 공유를 승인했음을 확인하는 액세스 토큰을 서비스에 제공하여 최종 사용자에게 중개 서비스를 제공합니다.
다단계 인증(MFA)
MFA는 사용자의 자격 증명을 확인하는 두 가지 이상의 방법이 필요한 인증 형식입니다. 예를 들어, 비밀번호 외에 이메일이나 문자 메시지로 사용자에게 전송된 비밀번호를 요청하여 인증을 진행하기 전에 이를 확인해야 합니다.
TLS(전송 계층 보안)
TLS는 서로 통신하는 두 응용 프로그램 간에 인증, 개인 정보 보호 및 데이터 무결성을 제공하는 널리 사용되는 보안 프로토콜입니다. 브라우징 세션, 파일 전송, VoIO(Voice over IP) 통신 등과 같이 네트워크를 통해 데이터를 안전하게 교환하는 웹 브라우저 및 애플리케이션에 사용됩니다.
SAML(보안 주장 마크업 언어)
SAML은 사용자 ID, 인증 및 승인과 관련된 데이터의 안전한 공유에 사용되는 또 다른 개방형 표준입니다. XML(Extensible Markup Language) 표준으로 구현되며 SSO(Single Sign-On) 구현을 위한 프레임워크를 제공합니다.
상위 API 보안 위협은 무엇입니까?
API 사용이 증가하고 사이버 공격이 정교해짐에 따라 기업은 다양한 API 보안 위협에 주의해야 합니다. OWASP(Open Web Application Security Project)는 사이버 보안 실무자에게 정보와 리소스를 제공하는 온라인 커뮤니티입니다. 2019년 상위 10가지 API 보안 위협, 여기에는 다음이 포함됩니다.
손상된 사용자 인증
이러한 위협은 인증 메커니즘이 잘못 구현될 때 발생합니다. 이를 통해 공격자는 인증 토큰을 손상시키거나 구현 결함을 악용하여 다른 사용자의 ID를 가정하여 API 보안을 손상시킬 수 있습니다.
주입
삽입 결함은 신뢰할 수 없는 데이터가 쿼리의 인터프리터로 전송되는 경우에 발생합니다. 여기에는 인터프리터를 속여 명령을 실행하거나 적절한 권한 없이 데이터에 액세스하도록 하는 SQL, NoSQL, 명령 주입과 같은 공격이 포함될 수 있습니다.
손상된 개체 수준 권한 부여
API를 사용하여 데이터 소스에 액세스하기 위해 사용자 입력을 받는 기능이 있는 경우 엔드포인트가 공격에 노출될 수 있습니다. 이러한 기능은 엔드포인트가 대상이 되는 것을 방지하기 위해 이러한 개체 수준에서 권한 부여를 통합해야 합니다.
API 보안은 어떻게 작동합니까?
API 보안은 인증 및 권한 부여의 핵심 요소를 적용하여 작동합니다. 먼저 클라이언트 애플리케이션의 ID가 안전한지, API를 사용할 수 있는 권한이 있는지 확인하기 위해 인증을 요청합니다. 그런 다음 애플리케이션은 API와 상호 작용하는 동안 액세스할 수 있는 데이터 및 작업을 결정하는 권한 부여를 통과해야 합니다.
API 보안 모범 사례
API는 민감한 데이터를 검색하기 위해 종종 사용자 입력을 받는 애플리케이션 간의 통신을 포함하므로 다양한 유형의 중간자 공격의 대상이 될 수 있습니다. 이를 방지하려면 다음 필수 API 보안 모범 사례를 따라야 합니다.
취약점 찾기
API 수명 주기의 약점을 식별하고 SQL 주입과 같은 서명 기반 공격에 의해 악용될 수 있는 특정 취약성을 찾으십시오. 다음 표준 취약점 스캔 기술은 이러한 약점을 발견하는 데 도움이 될 수 있습니다.
액세스 제어에 토큰 사용
보안 토큰은 API를 보호하는 또 다른 방법이 될 수 있습니다. 액세스 권한을 부여하기 전에 토큰 인증을 요구하는 방식으로 작동하며 인증에 실패한 프로그램이나 사용자는 거부됩니다.
API 통신에서 암호화 사용
암호화는 올바른 키를 가진 프로그램이나 사용자만이 통신을 해독할 수 있도록 보장하는 검증된 보안 방식입니다. 키를 소유하지 않은 권한 없는 사용자가 데이터를 읽을 수 없도록 하여 API를 보호합니다.
할당량 설정 및 조절
제한 및 할당량은 대량의 데이터를 전송하여 시스템을 압도하려는 DDoS(분산 서비스 거부) 공격과 같은 공격에 효과적입니다. 이러한 할당량은 데이터 전송 속도를 제한하고 DDoS 공격을 저지하며 시스템이 정상적으로 작동하도록 유지합니다.
