Best Practices for Secure API Design

보안 API 설계의 중요성

API 보안 모범 사례는 기존 웹 애플리케이션의 보안 모범 사례와 다릅니다. API 설계는 API로 인해 고유한 과제를 안고 있습니다:

• 대중이 자주 액세스할 수 있는 고도로 노출된 엔드포인트인 경우
• 이는 상태 비저장(REST API)일 수 있으며 요청할 때마다 인증 및 권한 부여가 필요합니다.
• 내부 네트워크에 대한 직접적인 게이트웨이 역할을 하므로 단일 취약점으로 인해 여러 시스템이 손상될 수 있습니다.
• 자주 업데이트되어 보안 API 설계 원칙에서 벗어나는 드리프트 및 예기치 않은 동작이 발생할 수 있습니다.

안전한 API 설계를 위한 모범 사례는 악용될 수 있는 취약성을 최소화하는 동시에 진화하는 위협에 대한 사전 예방적 보호 장치를 제공합니다. 이는 API 공격의 성공률을 제한하는 동시에 사이버 범죄자가 자신의 이익을 위해 API 기능을 조작할 수 있는 경우 그 영향을 최소화합니다.

Best Practices for Secure API Design

다음은 모든 조직이 개발 프로세스에 통합해야 하는 안전한 API 설계를 위한 9가지 모범 사례입니다.

이러한 모범 사례는 안전한 API 설계에 필수적이지만, 설계는 광범위한 API 태세 관리의 일부라는 점을 기억하는 것이 중요합니다. 일반적인 API 보안 모범 사례는 디자인을 넘어 API를 식별하고 모니터링하는 방법, 의심스러운 행동을 감지하고 위협에 대응하는 방법까지 포함합니다.

아래에서 설명하는 보안 API 설계 모범 사례는 다음과 같은 범주로 나눌 수 있습니다:

• 액세스 및 신원 보안: API를 사용할 수 있는 사람과 액세스할 수 있는 항목 제어하기

• • 데이터 유출 방지: 저장 및 전송 중 민감한 정보 보호
  • 입력 및 출력 유효성 검사: API 호출 및 응답이 의도한 대로 작동하는지 확인

• 트래픽 관리: 과부하 또는 악용 방지를 위한 API 사용 관리

• 개발 관행: 민감한 비즈니스 데이터와 시스템을 보호하기 위한 API 보안 제어 테스트

#1. 강력한 인증 메커니즘을 통한 안전한 API 액세스

인증은 API를 호출하는 사용자의 신원을 확인하여 API에 액세스할 수 있는 적절한 자격 증명을 가지고 있는지 확인합니다. API를 개발할 때는 신뢰할 수 있는 클라이언트만 연결할 수 있도록 OAuth 2.0, OpenID Connect 또는 서명된 JWT와 같은 검증된 인증 표준을 사용해야 합니다.

또한 하드코딩된 자격 증명을 피하고 API 키를 정기적으로 교체하세요. 예를 들어, 강력한 인증 메커니즘은 토큰 오용을 줄이고 더 엄격한 액세스 제어를 가능하게 하기 위해 수명이 짧은 JWT를 사용할 수 있습니다. 또한 중요한 작업을 위해 IP 허용 목록 또는 디바이스 지문과 같은 추가 신원 확인과 인증을 페어링할 수도 있습니다.

#2. API 최소 권한 권한 부여로 공격 표면 줄이기

인증은 API를 호출하는 사용자를 확인하지만 권한 부여는 해당 사용자가 API로 수행할 수 있는 작업을 제어합니다. 보안 관점에서 API 최소 권한 제어를 구현하고 액세스 경로를 최소화하면 공격 표면이 줄어듭니다. 또한 권한이 있는 계정이 유출되더라도 액세스할 수 있는 항목이 여전히 제한됩니다.

그러나 API 최소 권한 액세스 제어가 합법적인 사용자를 방해하지 않도록 하려면 정기적으로 역할과 권한을 검토하여 사용자가 필요한 항목에 액세스할 수 있는지 확인해야 합니다.

#3. 암호화를 사용하여 중요한 데이터 보호

암호화는 API가 처리하는 데이터의 기밀성과 무결성을 보호합니다. 데이터 보호를 유지하려면 모든 요청과 응답에 TLS가 포함된 HTTPS API 보안을 사용해야 합니다. 안전한 데이터 처리 API 전략을 사용하면 공격자가 API 트래픽을 가로채거나 변경할 수 없습니다.

전송 중인 데이터를 암호화하는 것뿐만 아니라 AES와 같은 검증된 표준을 사용하여 미사용 데이터를 보호해야 합니다. 예를 들어, API가 액세스할 수 있는 데이터베이스에 저장된 API 액세스 토큰 또는 개인 식별 정보(PII)를 암호화합니다. 또한 암호화 키를 보호하는 데이터와 별도로 저장하고 주기적으로 교체하는 등 암호화 키 관리를 위한 안전한 절차를 구현하세요.

#4. 요청이 요청하는 것만 반환

API 요청을 보완하기 위해 추가 정보를 쉽게 반환할 수 있습니다. 그러나 API가 노출하는 각 정보는 조작의 위험을 증가시킵니다. API 응답에서 불필요한 데이터는 마스킹하거나 생략해야 하며, 여기에는 PII가 포함됩니다. 예를 들어 앱에 사용자의 표시 이름만 필요한 경우 이메일 주소나 내부 식별자도 포함하지 마세요.

#5. 엄격한 입력 제어 시행

공격자는 호출에 예기치 않은 코드를 추가하여 API를 테스트합니다. API를 보호하려면 처리하기 전에 모든 입력의 유효성을 검사하여 예상되는 것과 일치하는지 확인해야 합니다. 예를 들어 유형, 형식 또는 길이를 기준으로 합니다.

부적절하게 검증된 입력은 보안 취약성의 가장 흔한 원인 중 하나입니다. 입력 유효성 검사 API 규칙은 SQL 인젝션을 포함하여 이를 악용하는 많은 API 위협과 관련된 위험을 최소화하는 데 필수적입니다.

#6. 일관되고 안전한 오류 메시지 반환

제대로 처리되지 않은 오류는 공격자가 악용할 수 있는 중요한 시스템 세부 정보를 노출할 수 있습니다. API 오류 메시지는 시스템 세부 정보나 내부 로직을 드러내지 않고 클라이언트에게 알려야 합니다. 문제 해결을 위해 내부적으로 세부 정보를 기록하면서 일반적인 표준화된 메시지를 사용하는 일관된 접근 방식과 안전한 오류 처리 전략을 채택하세요. 이렇게 하면 공격자가 시행착오를 통해 수집할 수 있는 정보를 줄이면서도 합법적인 디버깅이 가능합니다.

#7. API 속도 제한으로 클라이언트 요청 관리하기

API 속도 제한은 DDoS 공격으로부터 보호하기 위해 클라이언트가 정해진 기간 내에 요청할 수 있는 요청 수를 제어합니다. 하드 캡을 설정하거나 이전 클라이언트 행동과 같은 상황별 정보를 기반으로 보다 정교한 접근 방식을 취하는 동적 API 속도 제한을 구현하세요. 동적 API 속도 제한은 합법적인 사용자가 액세스를 유지하면서 남용을 방지할 수 있도록 도와줍니다. API 속도 제한을 적용하는 일반적인 도구는 API 게이트웨이입니다.

#8. API 게이트웨이를 사용하여 트래픽 중앙 집중화 및 보안 정책 적용

API 게이트웨이는 API 트래픽을 중앙 집중화하여 요청에 대한 단일 진입점을 제공합니다. 이를 통해 인증, 속도 제한, 입력 유효성 검사, API 로그 모니터링과 같은 API 보안 모범 사례 및 제어를 일관성 있게 구현하기가 더 쉬워집니다. API 게이트웨이는 합법적인 요청만 통과하여 처리되도록 도와줍니다. 요청을 필터링하고 보안 제어를 적용함으로써 공격자가 API 엔드포인트를 악용하는 방법을 제한합니다.

API 게이트웨이는 보안 API 설계에 있어 중요한 모범 사례이지만 완전한 보안 솔루션은 아닙니다. 예를 들어, 안전하지 않은 백엔드 취약성, 논리 결함 또는 열악한 인증 및 권한 부여 메커니즘으로부터 보호할 수 없습니다.

#9. API 보안 테스트로 취약점 파악하기

API 개발 수명 주기 전반에 걸친 보안 테스트를 통해 취약점을 최대한 빨리 발견할 수 있습니다. 공격을 시뮬레이션하는 정기적인 모의 침투 테스트와 새로운 취약점을 확인하기 위한 자동화된 취약성 또는 코드 리뷰를 수행해야 합니다. 여기에는 내부 및 타사 코드의 잠재적 취약성이 포함됩니다. 또한 정기적인 보안 테스트와 감사를 통해 관련 규정 준수 표준을 준수할 수 있습니다.