이 단계에서는 설계 및 테스트, 배포 옵션, API 릴리스 전략 등을 고려하여 전체 API 수명 주기를 살펴보았습니다. 참석자 API는 외부 시스템에 노출될 준비가 된 것처럼 보일 수 있습니다. API는 구축이 빠르고 향후 호환성을 위해 설계하기가 까다로우며 보안은 더욱 어렵습니다. 사실 개발자와 아키텍트는 기능 제공에 집중하고 보안은 프로젝트가 끝날 때까지 고려하지 않는 경우가 많습니다.
이 장에서는 보안이 중요한 이유와 적절한 보안을 갖추지 않으면 평판이 손상되고 비용이 많이 드는 이유를 살펴봅니다. 시스템 아키텍처의 보안 취약점을 검사하고 프로덕션 환경에서 발생할 수 있는 위협을 파악하는 방법을 알아봅니다. 물론 공격자는 교활하고 위협 환경은 계속 진화하기 때문에 모든 위협을 식별할 수는 없지만, 아키텍트에게 중요한 기술은 자신과 더 넓은 개발 팀 모두를 위해 보안 문제를 설계 및 구현하는 데 '왼쪽으로 전환'할 수 있어야 한다는 것입니다.1
소프트웨어 개발 수명 주기 내에서 보안을 더 일찍 고려할수록(즉, 더 왼쪽으로 이동할수록) 일반적으로 진화하는 위협 환경에 더 쉽고 비용 효율적으로 적응할 수 있습니다. 이렇게 하면 API의 보안 설계에 참여할 때 정보에 입각한 결정을 내리는 데 도움이 됩니다.
"보안 적용: 전송 보안, 인증및 권한 부여"에서는 제어 영역 또는 시스템 내의 통신을 mTLS를 사용하여 보호하는 방법을 검토했습니다. 하지만 제어 영역의 범위를 벗어난 '외부' 시스템이 도입되면 새로운 접근 방식이 필요합니다.
사례 연구: 참석자 API에 OWASP 적용하기
위협 모델링에 대한 소개로 보안 시스템 설계를 위한 여정을 시작합니다. 그런 다음 그림 6-1과 같이 Attendee 서비스 및 API를 예로 들어 위협 모델 연습을 수행하는 방법을 살펴봅니다.
그림 6-1. 위협 모델링 연습에 사용되는 참석자 API
위협 모델링의 핵심 구성 요소는 잠재적인 보안 취약점을 찾는 것이므로, 문제를 찾을 때 영감의 원천으로, 발견된 위협을 해결하려고 할 때 완화 방법으로 모두 사용할 수 있는 OWASP API 보안 톱 10을 살펴봅니다. 이 장이 끝나면 위협 모델링이 무엇이고 이를 자신의 프로젝트에 적용하는 방법을 이해하게 됩니다.2
오픈 웹 애플리케이션 보안 프로젝트(OWASP)는 소프트웨어의 보안을 개선하기 위해 노력하는 비영리 재단( )입니다. OWASP의 가장 잘 알려진 프로젝트는 웹 애플리케이션이 직면한 가장 중요한 보안 위험의 목록인 OWASP Top 10입니다. 2019년에 OWASP는 새로운 상위 10개 목록을 만들었는데, 이것이 바로 API 보안 상위 ...
Become an O’Reilly member and get unlimited access to this title plus top books and audiobooks from O’Reilly and nearly 200 top publishers, thousands of courses curated by job role, 150+ live events each month, and much more.
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.
Julian F.
Head of Cybersecurity
I wanted to learn C and C++, but it didn't click for me until I picked up an O'Reilly book. When I went on the O’Reilly platform, I was astonished to find all the books there, plus live events and sandboxes so you could play around with the technology.
Addison B.
Field Engineer
I’ve been on the O’Reilly platform for more than eight years. I use a couple of learning platforms, but I'm on O'Reilly more than anybody else. When you're there, you start learning. I'm never disappointed.
Amir M.
Data Platform Tech Lead
I'm always learning. So when I got on to O'Reilly, I was like a kid in a candy store. There are playlists. There are answers. There's on-demand training. It's worth its weight in gold, in terms of what it allows me to do.
O’Reilly covers everything we've got, with content to help us build a world-class technology community, upgrade the capabilities and competencies of our teams, and improve overall team performance as well as their engagement.