API와 봇 공격으로 인한 기업의 연간 손실액 최대 1,860억 달러
트래픽 71%는 API...전체 API 공격 중 19%가 아태지역에서 발생
모든 API 단일 플랫폼으로 통합해 이상징후 탐지 및 분석해 공격 차단해야

[보안뉴스 김경애 기자] 글로벌 보안기업 탈레스와 임퍼바가 올해 초 인수합병한 가운데, 임퍼바가 앱·API 보안, 데이터 보안 솔루션으로 최근 전세계 시장 공략에 나섰다.


▲임퍼바 다니엘 토(Daniel Toh) 아태 및 일본지역 수석 솔루션 아키텍트/CTO[사진=보안뉴스]

임퍼바 탈레스, 아시아태평양 및 일본 지역 총괄 솔루션 아키텍트인 다니엘 토(Daniel Toh)가 “올해 초 탈레스가 임퍼바를 인수하면서 앱·API 보안, 데이터 보안 영역이 한층 강화돼 시너지를 극대화할 수 있게 됐다”며 “전 세계 방문을 통해 보안 기술을 선보이고, 컨퍼런스 개최를 통해 제품과 서비스를 소개함으로써 임퍼바의 비전을 제시하겠다”며 한국 방문 이유를 밝혔다.

특히 임퍼바와 탈레스 제품만으로도 보안의 혁신을 이룰 것으로 확신하며, 양사가 한 팀으로 일하면서 최고 수준의 보안 솔루션을 제공할 것이라고 강조했다.

그가 최근 강조하는 보안 이슈는 바로 API 보안이다. API 없이는 앱을 개발할 수 없는 만큼 API 보안은 매우 중요하기 때문이다. 다니엘 토 아키텍트는 “API는 앱 개발에 있어 주춧돌 역할로 API 보안은 매우 중요하다”며 “앱 보호를 위해 API가 작동하는 매커니즘 소개을 소개하고 주요 보안 취약점, API 데이터화, 엔드유저 및 인프라 사용자 정보 등에 대해 한국 시장에 자세하게 설명할 것”이라고 말했다.

특히 어떤 클라우드를 사용해도 방화벽과 API 등이 연동될 수 있도록 개발 중이라는 설명이다. 그만큼 많은 기업에서 API 보안이 취약하다며 API 보안의 중요성을 강조했다.

다니엘 토 아키텍트는 “마시 맥레넌 사이버 리스크 인텔리전스 센터의 연구에 따르면 API와 봇 공격으로 인한 기업의 연간 손실액이 최대 1,860억 달러에 달한다”고 밝혔다

이어 “기업 사이트는 연간 15억 건의 API 호출을 처리하는데, 이러한 막대한 양으로 인해 취약점이 발견될 확률이 기하급수적으로 증가한다”며, “전체 트래픽의 71%가 API에서 발생하는 것은 당연한 결과”라고 설명했다.

해당 연구는 지난해 정부, 기관, 은행 등에서 발생한 16만 1천여 건의 사이버 사고를 분석한 결과로, 이 중 19~20%가 API 관련 문제로 발생했다. 특히 전체 API 공격의 17%가 아시아태평양 지역에서 발생했다.

주요 API 보안 취약점은 △API 권한이 있는지 없는지 모르는 점 △봇인지, 사람인지 식별하지 못해 API 권한을 그냥 넘겨주는 점 △봇이 API 권한 요청을 해도 그냥 넘기는 점이 꼽혔다. 즉, 기업에서 API를 테스트하거나 보안 취약점을 점검하지 않아 해킹에 취약하다는 의미다.

이와 관련 그는 “많은 기업이 API 운영 현황을 제대로 파악하지 못해 공격자에게 취약한 경우가 많다”며 “대기업은 중소기업보다 봇에 의한 자동화 API 악용을 경험할 확률이 2~3배 더 높다”고 우려했다.

API 보안 강화를 위해 그는 “기업에서 운영되고 있는 모든 API를 하나의 플랫폼으로 모아 솔루션으로 대응해야 한다”며 “이상징후를 탐지하고 어디가 취약한지 분석해 API 공격을 차단해야 한다”고 당부했다.

온프레미스와 클라우드에서의 애플리케이션 보호 방안으로 그는 △웹 애플리케이션 방화벽(WAF) △DDoS 보호 △Advanced Bot Protection △API Security △런타임 애플리케이션 자체 보호(RASP) △클라이언트 보호 △능동형 보안 인사이트 △보안을 내재한 애플리케이션 배포 등을 제시했다.

다니엘 토 아키텍트는 “원거리에 있는 처리 센터를 거칠 필요 없이 모든 리스크를 엣지에서 즉각 탐지하고 완화할 수있도록 실시간으로 보호해야 한다”며 “다계층 탐지 기법을 통해 오탐지율을 낮추고, 정확한 탐지로 캡챠(CAPTCHA)의 필요성을 낮춰 사용자의 불편을 최소화해야 한다”고 강조했다.

이와 함께 그는 “가시성을 높인 직관적인 대시보드를 통해 보안팀과 사기 방지팀에 공격 시도, 사용자 크리덴셜 유출, 침해된 사기 행위 등에 대한 조사 지원을 강화해야 한다”며 “행위 탐지로 사기 연루 위험이 있는 계정을 찾아내야 한다”고 말했다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>