Black Hat과 DEF CON 2023의 골목에서: 조용한 API 보안 위기

홈 » 보안 블로거 네트워크 » Black Hat과 DEF CON 2023의 골목에서: 조용한 API 보안 위기

Black Hat과 DEF CON의 네온 불빛은 번쩍이는 데모와 획기적인 프레젠테이션을 통해 종종 참석자와 사이버 애호가 모두를 현혹시킵니다. AI 기반 해킹 도구부터 양자 암호화까지 다루는 주제는 매우 광범위합니다. 그러나 여느 활기 넘치는 도시와 마찬가지로 여기에는 위험과 우려가 있는 영역이 포함됩니다. Black Hat 2023 이벤트의 경우 API는 이러한 영역의 핵심입니다.

Black Hat에서 전용 API 보안 논의가 눈에 띄게 부재함

역사적으로 API는 보다 가시적인 보안 위협에 의해 가려져 왔으며 종종 사이버 보안 논의의 배경으로 밀려났습니다. 이러한 안일함은 API가 강력한 보안 장벽 뒤에 숨어 있는 2차 목표로 인식되던 시대에 기인합니다. 그러나 디지털 환경의 변화와 함께 API 사용이 폭발적으로 증가하여 서비스의 상호 연결성이 증폭되어 API가 더욱 취약해지고 결과적으로 매력적인 대상이 되었습니다.

오늘날의 디지털 인프라에 API가 편재함에도 불구하고 Black Hat에는 이상하게도 API 보안 전용 세션이 부족했습니다. 그러나 웹 애플리케이션 공격에 대한 논의의 상당 부분은 API가 제기하는 다가오는 위협을 강조했으며 일부에서는 이를 가장 빠르게 성장하고 가장 실질적인 공격 벡터로 강조하기도 했습니다. 간접적이기는 하지만 이러한 논의는 API 취약점의 중요성이 점점 커지고 있음을 조명합니다. API가 항상 세션의 헤드라인을 장식할 수는 없지만 보안에 미치는 영향을 무시할 수는 없다는 사실을 상기시켜 줍니다.

‍API: 소리 없는 위협

API는 우리의 앱, 서비스, 플랫폼이 디지털 우선 경제에서 소통하고 조화를 이룰 수 있도록 지원하는 무대 뒤의 거장인 커넥터입니다. 그러나 이들의 전략적 중요성은 사이버 보안 대화에서 과소 대표되는 것과는 극명한 대조를 이룹니다.

Black Hat 전시업체 공간에서는 상당한 발전이 이루어졌습니다. 공급업체는 ASPM(API 보안 상태 관리) 솔루션과 포괄적인 API 보안 테스트 제품군을 홍보하는 플랫폼을 적극적으로 선보였습니다.

‍ASPM이란 무엇입니까?

ASPM(애플리케이션 보안 상태 관리)은 특히 프로덕션 환경에서 애플리케이션이 위협에 대해 보안과 복원력을 유지하도록 보장하기 위한 새로운 개념입니다. ASPM은 서비스, 라이브러리, API, 공격 표면 및 데이터 흐름을 포함하여 애플리케이션 아키텍처의 위험 환경에 대한 지속적이고 포괄적인 스냅샷을 제공합니다. 기업이 운영을 추진하기 위해 애플리케이션에 점점 더 의존함에 따라 보안을 보장하고 비즈니스 위험을 줄이기 위해서는 이러한 애플리케이션에 대한 지속적인 평가가 중요해졌습니다.

‍ASPM이 왜 중요한가요?

애플리케이션이 비즈니스 운영과 고객 경험의 중심에 있는 오늘날의 디지털 시대에 애플리케이션 취약성은 치명적인 영향을 미칠 수 있습니다. 이는 기업을 잠재적인 침해에 노출시킬 뿐만 아니라 심각한 재정적, 평판적 위험을 초래합니다. ASPM은 다음 과제를 해결합니다.

‍ASPM은 조직이 추구할 가치가 있는 일인가요?

대답은 미묘합니다. 이는 조직의 특정 복잡성과 보안 여정의 현재 위치에 따라 다릅니다. 응용 프로그램의 보안 상태에 대한 전체적인 관점을 갖는 것은 부인할 수 없는 가치가 있지만, 응용 프로그램에 대한 의존도가 높아지고 현대 아키텍처의 진화하는 특성을 고려할 때 ASPM의 통합은 조직의 기존 보안 프로그램 및 전문 지식 수준에 맞게 조정되어야 합니다. 어떤 사람들에게는 ASPM이 위협에 대한 회복력을 향상시켜 게임 체인저가 될 것입니다. 다른 사람들에게는 신중한 통합과 이해가 필요한 추가 레이어일 수도 있습니다. 핵심은 특정 상황에 대한 관련성과 적용 가능성을 평가하는 것입니다.

그러나 ASPM은 현대 보안 전략의 중요한 구성 요소일 수 있지만 통찰력 있는 눈으로 접근하는 것이 중요합니다. 그 가치를 이해하고 잠재적인 위험을 인식함으로써 조직은 단순히 확인란을 선택하는 것이 아니라 애플리케이션 보안을 실제로 강화할 수 있습니다. 특히 조직은 다음을 수행해야 합니다.