API(애플리케이션 프로그래밍 인터페이스)는 오늘날 경쟁력을 유지하기 위해 노력하는 기업의 생명선이 되었습니다. 그러나 이러한 혁신과 함께 더 어두운 측면, 즉 API와 관련된 보안 문제가 발생합니다. 이러한 문제로 인해 애플리케이션 개발을 포함한 정상적인 비즈니스 운영이 중단되기도 했습니다. 의 데이터에 따르면 2022년 웹 애플리케이션 및 API 보호 현황 CDNetworks의 보고서에 따르면 API에 대한 공격이 크게 증가하여 2022년에는 58.4%에 도달했습니다.
섀도우 API와 좀비 API는 API와 관련된 두 가지 문제로, 디지털 인프라에서 감지되지 않을 수 있습니다. 적절한 감독 없이 생성되는 경우가 많은 Shadow API는 보안 및 규정 준수 위험을 초래하여 잠재적으로 민감한 데이터를 손상시키고 조직을 사이버 위협에 취약하게 만듭니다. 반면에 좀비 API는 선택하지 않으면 사이버 공격의 게이트웨이가 될 수 있는 오래되고 버려진 API입니다.
섀도우 API와 좀비 API란 무엇입니까?
섀도우 API는 승인되지 않았거나 문서화되지 않았으며 해당 API를 운영하는 조직에서 관리하거나 보호하지 않은 API입니다. 애플리케이션 개발이나 기타 비즈니스 기능 구현 중에 개발자나 팀이 생성하는 경우가 많습니다. 이러한 API는 IT 또는 보안 부서의 적절한 감독이나 승인 없이 작동하므로 공식 모니터링 및 관리로부터 숨겨진 그림자 속에 남아 있습니다. 따라서 악의적인 목적으로 사용되지 않더라도 Shadow API는 조직의 데이터 보안 및 무결성에 심각한 위험을 초래할 수 있습니다.
반면에 좀비 API는 조직의 디지털 환경에 남아 있는 오래되거나 버려지거나 더 이상 사용되지 않는 API입니다. 이미 식별 및 관리되고 있을 수도 있지만 더 이상 적극적으로 사용하거나 유지 관리하지 않기 때문에 시간이 지남에 따라 보안 책임이 될 수 있습니다. 좀비 API에는 눈에 띄지 않고 패치되지 않은 취약점이 있을 수도 있으며, 공격자가 이를 악용하여 무단 액세스를 얻거나 사이버 공격을 시작할 수 있습니다. 좀비 API를 악의적인 행위자가 조직의 시스템에 백도어를 열 수 있는 잊혀진 게이트웨이로 생각하십시오.
섀도우 API와 좀비 API가 비즈니스에 어떤 해를 끼칠 수 있나요?
Shadow API가 존재하면 데이터 위반, 규정 준수 위반 및 운영 중단이 발생할 수 있습니다. 이러한 API는 공식 IT 프레임워크 외부에서 작동하기 때문에 적절한 인증, 권한 부여 및 암호화 메커니즘이 부족한 경우가 많습니다. 이로 인해 사이버 공격, 데이터 유출 및 무단 액세스에 취약해집니다. 예를 들어 2022년 6월에는 지속적인 통합 개발 도구인 Travis CI가 API 위반을 겪었습니다. 누구나 회사의 일반 텍스트 기록 로그에 액세스할 수 있게 되었습니다. 이로 인해 해당 기업은 73,000개의 토큰, 액세스 키 및 기타 클라우드 서비스 자격 증명이 포함된 7억 7천만 개 이상의 사용자 로그 데이터가 유출되는 피해를 입었습니다. 비슷한 API 위반 사례가 보고되었습니다. 2022년 3월 허브스팟, 이는 160만 명의 사용자와 다음과 같은 다른 회사의 민감한 데이터를 노출했습니다. 펠로톤 및 엑스페리안.
또한 Shadow API가 조직 네트워크 내의 더 민감한 다른 시스템 및 계정에 액세스하기 위한 진입점 역할을 하게 되는 측면 이동 문제도 있습니다. 마지막으로, 규제 기관은 규정을 준수하지 않는 조직에 처벌을 가할 수도 있으며, 이로 인해 막대한 벌금이 부과되고 회사의 평판이 손상될 수 있습니다.
좀비 API는 더 이상 적극적으로 사용되지 않으므로 무해해 보일 수 있지만 시한폭탄이 작동하고 있습니다. 공격자는 잊힌 API의 취약점을 식별하고 악용하여 데이터 침해, 시스템 손상 및 재정적 손실을 초래할 수 있습니다. 에 따르면 Postman API 2023 현황 설문조사, 전체 응답자 중 거의 60%가 좀비 API에 대해 우려했습니다. 좀비 API가 있으면 IT 환경이 복잡해지며 비즈니스 운영에 중요한 활성 API를 관리하고 보호하기가 더 어려워집니다.
섀도우 API와 좀비 API를 식별하는 방법은 무엇입니까?
섀도우 API를 식별하려면 네트워크 트래픽, 특히 API 호출을 추적해야 합니다. 다음은 섀도우 API를 검색하는 데 도움이 되는 몇 가지 기본 단계입니다.
- 네트워크를 모니터링하세요. 비정상적인 트래픽 패턴과 승인되지 않은 API 호출을 감지하는 네트워크 모니터링 도구를 구현합니다. 공식 문서에 포함되지 않은 API 엔드포인트를 찾으세요.
- 로그 분석 수행: 로그 및 액세스 기록을 분석하여 문서화되지 않은 API에서 발생한 요청을 식별합니다. 비정상적이거나 인증되지 않은 액세스는 섀도우 API가 있음을 나타낼 수 있습니다.
- 플랫폼 및 문서 검토: 협업 플랫폼, 개발 리포지토리 및 문서를 정기적으로 검토하여 적절한 승인이나 문서 없이 생성된 API를 찾아냅니다.
- 보안 감사 수행: 정기적인 보안 감사 및 침투 테스트를 통해 악용에 취약할 수 있는 숨겨진 API를 찾아낼 수 있습니다.
좀비 API는 본질적으로 조직에서 "잊혀진" API이므로 이를 식별하는 핵심은 사용 중인 모든 API의 인벤토리를 철저하게 보관하고 유지하는 것입니다. 다음과 같은 필수 위생 단계부터 시작하세요.
- API 카탈로그를 유지 관리합니다. 조직의 모든 API에 대한 포괄적인 인벤토리를 유지관리하세요. 이 목록을 활성 사용량 데이터와 비교하여 더 이상 사용되지 않는 API를 식별하세요.
- 사용량 측정항목 추적: API 사용량 측정항목과 트래픽 패턴을 모니터링합니다. API가 장기간 동안 활동이 거의 또는 전혀 표시되지 않으면 좀비 상태의 후보일 수 있습니다.
- API 문서 및 기록을 검토하세요. API 문서와 개발 기록을 검토하여 더 이상 사용되지 않거나 폐기된 API를 식별하세요. API가 더 이상 사용되지 않음을 나타내는 메모나 설명을 찾아보세요.
- 종속성 분석을 수행합니다. API와 애플리케이션 간의 종속성을 분석합니다. 활성 애플리케이션이 특정 API에 의존하지 않는다면 좀비일 수 있습니다.
Shadow API 및 Zombie API의 위험을 완화하는 방법은 무엇입니까?
API를 많이 사용하는 경우 섀도우 API의 영향을 최소화하기 위한 강력한 보호 절차와 도구가 필요합니다. 이를 수행할 수 있는 몇 가지 방법은 다음과 같습니다.
- API 거버넌스: 명확한 API 거버넌스 정책 및 절차를 수립합니다. 개발자는 새 API를 만들기 전에 승인을 얻어 모든 API가 문서화되고 승인되었는지 확인해야 합니다.
- 정기 감사 실시: API를 정기적으로 감사하고 테스트하여 예상 결과에 부합하는지 확인하는 것이 중요합니다. 릴리스 전과 기능 테스트 사이를 포함하여 개발 주기의 일부로 오디오를 만듭니다. 자동화된 도구는 사전 정의된 기준에 따라 섀도우 API에 플래그를 지정하는 데도 도움이 될 수 있습니다.
- 인증 및 승인: 모든 API에 대해 강력한 인증 및 권한 부여 메커니즘을 시행합니다. 무단 액세스를 방지하려면 API 키, OAuth 또는 기타 액세스 제어 방법을 구현하세요.
- 교육 및 인식: Shadow API와 관련된 위험과 회사 정책 및 보안 표준 준수의 중요성에 대해 개발 팀에 교육하십시오.
좀비 API의 영향을 완화하기 위해 취할 수 있는 몇 가지 조치는 다음과 같습니다.
- 좀비 API 지원 중단: 인벤토리를 작성하고 좀비 API를 찾으면 향후 위험을 초래하지 않도록 해당 API를 더 이상 사용하지 않도록 하십시오.
- 정시에 사용자에게 경고합니다. 또한 현재 API 사용자에게 중단을 최소화하면서 전환할 수 있도록 명확한 경고를 제공하는 것도 중요합니다. 지원 중단 기한을 정하고 모든 고객과 API 소비자에게 알립니다.
- 필요한 경우 대체 API를 만듭니다. 여전히 API를 사용하는 사용자가 있는 경우 지원 중단 기한 이전에 대체 API를 출시하는 것이 중요합니다. 새 API가 향후 잠재적인 보안 위험을 초래하지 않는지 확인하세요.
- 문서 업데이트: API 문서를 정확하고 최신 상태로 유지하세요. 우발적인 사용을 방지하기 위해 더 이상 사용되지 않거나 폐기된 API를 명확하게 표시하세요.
- 정기 정리: 좀비 API를 제거하거나 보관하기 위한 정기적인 정리 및 유지 관리 활동을 예약하세요. 이러한 활동이 조직의 API 수명주기 관리 프로세스의 일부인지 확인하세요.
CDNetworks가 Shadow API 및 Zombie API를 보호하는 데 어떻게 도움이 됩니까?
CDNetworks는 최첨단 빅데이터 분석과 AI 기술을 활용하여 디지털 생태계에 숨어 있는 섀도우 API와 좀비 API를 자동으로 발견합니다. 그만큼 API Shield CDNetworks의 솔루션은 API 인벤토리 관리, API 검색을 포함한 다양한 기능을 통합하여 API 개인 정보 보호를 정의 및 관리하고 알려지지 않은 API 리소스를 검색합니다. 이러한 사전 예방적 접근 방식은 숨겨진 위협이 간과되지 않도록 보장하여 API 환경에 대한 포괄적인 보기를 제공합니다.
API Shield는 CDNetworks의 전 세계적으로 분산된 PoP에 배포되어 의심스러운 API 요청을 차단하거나 다른 사전 조치를 취하기 전에 실시간으로 감지할 수 있습니다. 또한 클라우드 기반 빅 데이터 분석 플랫폼과 고성능 분석 클러스터를 사용하여 로그 파일을 조사하고 추세와 패턴을 찾아 보안을 강화합니다.
