API 공격 표면
API가 표적이 되는 이유
API 공격 표면은(는) CoddyKit의 무료 Cyber Security Academy 강의입니다. 이것은 4개 중 1번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 Cyber Security Academy 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.
API란 무엇인가
API(애플리케이션 프로그래밍 인터페이스)는 프로그램이 네트워크를 통해 서로 통신하도록 합니다.
웹 앱과 모바일 앱은 API를 사용하여 데이터를 주고받으며, 주로 HTTP를 통해 JSON 형식으로 통신합니다.
공격 표면이란 무엇인가
공격 표면은 공격자가 침입을 시도할 수 있는 모든 방법을 합한 것입니다.
API에서는 모든 엔드포인트, 매개변수, 헤더가 공격 표면의 일부입니다.
API가 표적이 되는 이유
API는 가치 있는 데이터와 핵심 비즈니스 로직에 직접 연결되어 있습니다.
API는 기계를 위해 설계되므로 구조가 정해지고 예측할 수 있는 진입점을 노출하며, 공격자는 이러한 진입점을 탐색하기를 좋아합니다.
많은 엔드포인트
현대적인 앱은 수백 개의 엔드포인트를 노출할 수 있습니다.
GET /api/users/123
POST /api/orders
DELETE /api/posts/45각 엔드포인트는 공격자가 테스트해 볼 수 있는 잠재적인 문입니다.
숨겨지고 잊힌 API
오래된 버전과 문서화되지 않은 엔드포인트가 온라인 상태로 남아 있는 경우가 많습니다.
이러한 섀도 API에는 최신 보안 수정 사항이 적용되지 않았을 수 있어, 쉽게 간과되는 표적이 됩니다.
예측 가능한 식별자
API는 순차적인 ID를 자주 사용합니다.
GET /api/invoices/1001
GET /api/invoices/1002공격자는 숫자를 단순히 증가시켜 자신에게 속하지 않은 데이터에 접근하려고 시도할 수 있습니다.
공개된 문서
공개된 OpenAPI 또는 Swagger 파일과 같은 API 문서는 개발자에게 유용합니다.
하지만 공개된 상태로 방치하면 공격자에게 모든 엔드포인트와 매개변수의 전체 지도를 제공하게 됩니다.
반환되는 데이터가 너무 많은 경우
일부 API는 전체 레코드를 반환하고 클라이언트가 필터링하도록 합니다.
이러한 과도한 데이터 노출로 인해 사용자가 보아서는 안 되는 이메일이나 토큰 같은 필드가 유출될 수 있습니다.
취약한 인증
엔드포인트가 요청자를 제대로 확인하지 않으면 누구나 이를 사용할 수 있습니다.
인증이 없거나 제대로 작동하지 않는 인증은 가장 흔하고 피해가 큰 API 취약점 중 하나입니다.
OWASP API Top 10
OWASP는 API Top 10이라고 하는 가장 심각한 API 위험 목록을 발표합니다.
이 목록은 권한 부여 오류부터 보안 설정 오류까지 팀이 무엇을 먼저 방어해야 하는지 안내합니다.
공격 표면 파악
알지 못하는 대상은 보호할 수 없습니다.
첫 번째 방어 단계는 목록 작성입니다. 모든 API, 버전, 엔드포인트를 나열하여 빠뜨리는 항목이 없도록 하십시오.
간단 확인
잊혔거나 문서화되지 않은 엔드포인트가 특히 위험한 이유는 무엇입니까?
복습
API 공격 표면에는 모든 엔드포인트, 매개변수, 버전이 포함됩니다.
API는 예측 가능한 진입점을 통해 가치 있는 데이터를 노출하기 때문에 표적이 됩니다. 완전한 목록 작성으로 방어를 시작하고 OWASP API Top 10을 따르십시오.
자주 묻는 질문
“API 공격 표면” 강의는 무료인가요?
네 — “API 공격 표면” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 Cyber Security Academy 강의 전체를 잠금 해제할 수 있습니다. Cyber Security Academy 강의에는 총 4개의 강의가 포함되어 있습니다.
“API 공격 표면”에서 뭘 배우나요?
API가 표적이 되는 이유 브라우저에서 직접 실행하는 실습 코드로 Cyber Security Academy을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.
Cyber Security Academy을(를) 시작하는 데 경험이 필요한가요?
사전 경험은 필요하지 않습니다. CoddyKit의 Cyber Security Academy은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 1번째 강의입니다.
“API 공격 표면” 강의는 얼마나 걸리나요?
대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.
이 Cyber Security Academy 강의에서 코드를 작성하고 실행할 수 있나요?
네. 모든 Cyber Security Academy 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.