[컴퓨터월드] 사용자가 앱을 실행하고, 결제하고, 데이터를 주고받는 모든 순간, 겉으로 드러나지 않지만 서비스의 핵심을 연결하는 존재인 API가 있다.

API(Application Programming Interface)는 애플리케이션과 애플리케이션 사이에 정보를 주고받고 기능을 사용할 수 있도록 도와주는 인터페이스다. 예를 들어 모바일 앱에서 로그인하거나 지도를 띄우는 기능, 인터넷 뱅킹을 통한 계좌이체, 간편결제 PAY 서비스 등은 모두 API 로 연결되며, 사용자에게 필요한 정보를 전달한다.

이처럼 API는 오늘날 디지털 서비스의 ‘핵심 연결 인프라’로 자리잡았다. 애플리케이션 간 데이터 전달, 기능 호출 및 연동, 사용자 경험까지 모든 비즈니스 프로세스의 흐름은 API를 통해 완성된다. 그러나 이 막강한 API를 활용한 연결 구조는 동시에 새로운 보안 위협의 표적이 되고 있다.

실제로 위의 조사 결과와 같이 인터넷 트래픽의 70% 이상이 API로 구성돼 있으며, 모든 웹 공격의 40% 이상이 API를 표적으로 하고 있다. 최근에 각종 보고서를 종합하면 API 관련 보안 사고가 매년 증가하고, API 보안 취약점이 증가하고 있음을 알 수 있다.

인증 우회, 민감정보 노출, 비인가 접근, 데이터 탈취 등 API 보안 취약점 및 공격을 통해서 고객의 신뢰와 비즈니스 운영 전반에 치명적인 영향을 미칠 수 있다.

API 보안 취약점 사례 및 국내/해외 현황

우리가 인식하지 못하지만 API를 통한 보안 침해사고는 지속적으로 증가하고 있다. 2022년 발생한 호주 통신회사인 옵터스(Optus) 사의 사례를 예로 들면, 호주 인구의 3분의 1을 차지하는 최대 1,000만 명의 고객 개인정보가 노출되는 API 침해사고가 발생했다. 해당 API 침해사고는 Broken Object Level Authorization (BOLA)/Broken Object Property Level Authorization/Unrestricted Resource Consumption 등의 API 보안 취약점 노출을 통해서 발생한 사례다.

이 외에도 델, 우버, 페이스북, 티모바일(Dell/Uber/Facebook/T-Mobile) 등을 비롯해 국내의 널리 알려진 대형 업체에서도 API 침해사고가 발생한 사례가 있으며, 언제 또 발생할지는 아무도 예측하기 어려운 상황이다.

국내에서 API 보안에 대한 인식은 점차 높아지고 있지만, 여전히 보안 대응 체계와 실질적인 투자 측면에서는 부족한 부분이 있다.
대부분 기업이 API를 도입해 운영 중이나, API 보안솔루션이 없는 비중이 매우 높은 상태다. API 보안솔루션에 대한 도입 의지가 있는 기업도 아직까지는 매우 적은 상태이며, 이는 위협에 대한 인식이 부족하다는 것을 보여준다.

위와 같이 다양한 API 침해사고를 예방하기 위해서는 운영 중인 API에 대한 체계적인 보안 전략과 구성 방안이 필요하다.

대표적으로 API 보안을 위해 널리 활용되는 항목으로는 OWASP API Top10이 있다. 해당 항목은 API 보안을 위협하는 주요 취약점이 정리된 10가지 리스트로, API가 광범위하게 사용되는 오늘날의 웹 및 애플리케이션 보안에 있어서 매우 중요한 보안 기준 가운데 하나다. 많은 기업에서 해당 항목을 기준으로 API 보안에 대한 강화에 나서고 있다.

기업들은 API 보안을 강화하려고 노력하고 있지만 실제 대응 방식은 아직 특정 취약점에 집중되는 경향이 있어 문제로 지적된다.

예를 들어 아시아·태평양(APAC) 지역 기업들을 대상으로 한 설문조사에 따르면, 운영 중인 API 보안 위협 중 가장 큰 우려 요소로 ‘인증 우회(Broken Authentication)’ 15%, ‘서버사이드 요청 위조(SSRF)’ 14%, ‘보안 설정 오류(Security Misconfiguration)’ 13%로 나타났다.

이러한 응답 결과는 API 보안에 대한 인식이 API 전반의 구조적 리스크보다는 최근 발생한 사고나 잘 알려진 위협에 기반해 형성돼 있음을 알 수 있다. 다시 말해, 체계적인 API 보안 전략보다는 단편적인 위협 대응에 집중되고 있다는 것이다.

하지만 API는 사용자 인증, 권한 제어, 데이터 노출, 리소스 제어, 로깅과 모니터링 등 다양한 보안 요소가 유기적으로 얽혀 있기 때문에, 특정 위협에만 대응하는 방식으로는 복잡하고 빠르게 진화하는 보안 환경에 충분히 대응할 수 없다.

OWASP API Top 10은 이처럼 다양한 측면에서 발생할 수 있는 취약점을 포괄적으로 제시하고 있으며, 이에 기반한 전체적인 보안 체계 수립이 무엇보다 중요하다는 사실을 보여주고 있다. 이번 조사 결과는 많은 조직들이 여전히 API 보안의 성숙도 면에서 초기 단계에 머물러 있음을 보여준다. 단편적인 기술 대응을 넘어서 전사 차원의 정책, 설계, 운영에 걸친 통합 보안 전략이 요구되는 시점이다.

API는 단순한 연결 수단이 아니라, 기업과 고객의 신뢰를 지탱하는 핵심 요소다. 따라서 API 보안은 선택이 아닌 필수이며, 서비스의 모든 연결 지점을 보호하는 것이 곧 조직의 비즈니스 연속성을 지키는 길이다.

API 보안의 주요 위협 요소

2023년에 발표된 OWASP API 10은 10가지 항목으로 분류돼 있는 것을 확인할 수 있다. 해당 취약점을 크게 3개의 카테고리로 분류하면 아래 그림과 같이 표현될 수 있다.

1. 액세스 제어 취약점

API 보안 취약점 중 절반에 해당하는 5개 항목은 취약한 액세스 제어에서 비롯된다. 그중에서도 가장 대표적인 사례가 바로 BOLA(Broken Object Level Authorization)이다.

BOLA는 사용자가 자신의 리소스가 아닌 타인의 리소스에 접근할 수 있도록 허용하는 취약점으로, 글 상단의 침해사고 사례처럼 약 1,000만 명의 개인정보가 유출된 API 침해사고에서도 핵심 원인으로 작용한 바 있다.

많은 기업들이 다양한 보안 솔루션을 도입하고 있지만, 노출된 토큰을 통해 권한이 없는 자가 API에 접근하거나, 권한 상승(Privilege Escalation)을 시도하는 경우 이를 효과적으로 차단하지 못한다면 API 보안은 여전히 큰 위협에 직면할 수도 있다.

예를 들어 보안 정책이 블랙리스트 기반으로만 설정돼 있을 경우, 일부 우회 가능한 화이트리스트 항목 하나만으로도 기존에 구축된 전체 보안 체계를 무력화시킬 수 있다. 이러한 구성은 공격자에게 API 우회 경로를 열어주는 결과로 이어질 수 있으며, 결국 액세스 제어의 허술함이 API 보안의 가장 큰 취약점으로 연결될 수 있음을 의미한다.

2. 애플리케이션 보안 취약점

API 보안 취약점 중 4개 항목은 애플리케이션 자체의 논리적 취약점이나 잘못된 구현 방식에서 발생한다. API를 통한 요청과 응답이 정상적으로 처리되는지, 응답에 부적절하거나 과도한 정보가 포함되어 있지 않은지 지속적으로 점검하는 것이 중요하다.

공격자는 애플리케이션이 비정상적인 응답을 반환하는 순간을 노려 이를 악용할 수 있기 때문에, 모든 요청과 응답을 확인하는 과정 및 모니터링 및 보안도 필요하다. 단순히 API 요청이 성공적으로 처리됐다고 해서 정상적이라고 판단해서는 안 되며, API 요청에 따른 응답 결과가 정해진 보안 정책을 벗어나지 않는지 항상 확인해야 한다.

3. 네트워크 보안 취약점

API 보안 취약점 중 하나는 네트워크 보안과 밀접한 관련이 있다. 아무리 API를 견고하게 설계했더라도, 리소스 사용 제한(Rate Limiting, Quota, Timeout 등)이 누락될 경우 API 요청에 따른 서비스 과부하나 자원 고갈(Deniel-of-Service)을 유발할 수 있다. 이와 같은 문제는 개발자의 설정 실수나 보안담당자의 설정 누락으로도 쉽게 발생할 수 있는 취약점이다.

특히 기존의 네트워크 보안 장비(WAF, IPS 등)는 일반적인 트래픽 기반 공격에는 효과적일 수 있지만, API 특유의 동작 방식과 세밀한 자원 제어까지 대응하기에는 한계가 있다. 이는 결국 API 보안을 위해서는 네트워크 계층을 넘어선, API 전용 보안 설계와 정책 적용이 필요함을 의미한다.

API 보안을 강화하는 방안

1. WAAP 솔루션 도입

현재 다양한 보안 솔루션(WAF, FW, IPS, Sandbox 등)을 활용해 애플리케이션을 보호하고 있지만, 기존 보안 장비만으로는 API를 완벽하게 보호할 수 없다. 이를 보완하기 위해 인공지능(AI)과 머신러싱(ML)이 결합된 WAAP(Web Application and API Protection) 솔루션을 도입해야 한다.

WAAP 솔루션을 활용하면 AI 및 ML을 활용해 운영 중인 API 트래픽의 가시성을 높이고, 운영자가 파악하지 못한 섀도우(Shadow) API를 조기에 발견할 수 있다. 또한 이미 배포된 API 엔드포인트(Endpoint)에서의 보안 취약점을 분석하고 완화하는 기능을 활용할 수 있으며, 대시보드를 통해 보안 상태를 실시간으로 모니터링할 수 있다. 이는 기존 운영 환경에서 가시성이 부족해 확인이 불가능했던 다양한 API 엔드포인트(Endpoint) 및 API 보안 취약점을 완화할 수 있는 방법 중 중요한 부분이다.

2. 주기적인 보안 테스트 및 취약점 점검

운영 중인 애플리케이션이라 하더라도 지속적인 보안 테스트는 필수적이다. API 보안 취약점은 시간이 지남에 따라 새로운 위협 요소가 등장하거나 기존 보안 설정이 무력화될 수 있다.

따라서 스캐닝을 통한 주기적인 API 보안 취약점 점검이 필요하며, 이와 함께 발견된 취약점에 대한 신속한 완화 및 대응 프로세스를 갖추는 것 또한 필요하다. 특히 변화 속도가 빠른 모던 애플리케이션 환경에서는, 배포 이후에도 끊임없이 취약점을 모니터링하고 대응할 수 있는 체계적인 보안 운영이 핵심이다.

3. 다양한 환경에 배포된 애플리케이션 보안 일원화

애플리케이션은 이제 전통적인 온프레미스(IDC) 환경을 넘어, 퍼블릭 클라우드 및 멀티 클라우드 환경에서도 활발히 운영되고 있다. 하지만 이러한 분산된 인프라 환경에서는 각기 다른 플랫폼과 구성에 따라 API 보안 정책을 일관되게 적용하는 데 어려움이 있다.

이러한 문제를 해결하기 위해서는 API 보안 솔루션을 활용해 다양한 환경에서 운영되는 애플리케이션에 대해 통합적인 가시성을 확보하고, 일관된 보안 정책을 적용할 수 있는 기반을 마련하는 것이 중요하다. 이를 통해 분산된 환경에서도 API 보안 수준을 균일하게 유지하고, 운영 복잡성을 줄이며, 위협에 대한 대응 속도도 높일 수 있다.

API 보안을 위한 F5 솔루션

F5는 다양한 솔루션을 통해 기업이 API 보안을 체계적으로 강화할 수 있도록 지원한다. 클라우드 기반의 F5 Distributed Cloud는 SaaS 형태로 제공되며, AI 및 ML을 활용해 API에 대한 가시성 확보, 보안 위협 탐지 및 실시간 완화 기능, 주기적인 취약점 점검을 제공한다.

또한 온프레미스 환경에서는 F5 BIG-IP 솔루션을 통해 정교한 트래픽 제어와 정책 기반의 API 보안 관리 및 전용 대시보드를 통한 섀도우(Shadow) API에 대한 가시성을 얻을 수 있다.

이처럼 F5의 다양한 보안 플랫폼은 클라우드와 온프레미스를 아우르는 하이브리드 환경에서도 API를 안전하게 보호할 수 있는 통합적인 보안 프레임워크를 제공한다.

API는 현대 IT 인프라에서 서비스 연결의 핵심 요소이며, 그 보안은 단순한 기술적 옵션이 아니라 기업과 사용자 보호를 위한 필수적인 요소다. 따라서 기업과 개발자는 API 보안을 부가 기능이 아닌 서비스의 핵심 요소로 인식하고, 이를 기반으로 지속적인 점검과 개선을 이어 나가야 한다.