클라우드플레어, AI 기반 API 보안 스캐너로 안전한 API 환경 구축
클라우드플레어(Cloudflare)가 API 보안 강화를 위해 웹 및 API 취약점 스캐너(Vulnerability Scanner)의 베타 버전을 출시함
BOLA(Broken Object Level Authorization) 취약점 탐지를 시작으로, AI 기반의 자동화된 스캔(Automated Scan)을 통해 로직 오류(Logic Flaw)를 찾아냄
기존 DAST(Dynamic Application Security Testing) 도구의 단점을 보완, API 스키마(API Schema) 자동 분석 및 상태 기반 스캔(Stateful Scanning) 지원
해시코프 볼트(HashiCorp Vault)를 활용하여 고객 API 자격 증명(Credentials)을 안전하게 관리하며, 러스트(Rust) 기반 백엔드(Backend)로 개발됨
AI 기반 API 취약점 스캔의 핵심 원리
클라우드플레어(Cloudflare)의 API 취약점 스캐너는 OpenAPI 스키마(OpenAPI Schema)를 기반으로 API 호출 그래프(Call Graph)를 생성하여 작동한다.
Workers AI 플랫폼(Workers AI Platform): OpenAI의 gpt-oss-120b 모델을 활용하여 API 스키마 내 데이터 종속성(Data Dependency)을 파악하고, 자동 스캔 계획(Scan Plan)을 수립
상태 기반 스캔(Stateful Scanning): 개별 요청(Request)이 아닌, 요청 간의 관계를 파악하여 BOLA(Broken Object Level Authorization)와 같은 로직 취약점(Logic Vulnerability)을 효과적으로 탐지
자동화된 스캔 계획(Automated Scan Plan): 수동 설정 없이 API 자격 증명(Credentials)만 제공하면, 자동으로 스캔 계획을 생성하여 DAST(Dynamic Application Security Testing)의 진입 장벽(Entry Barrier) 완화
기존 DAST 도구와의 차별점
클라우드플레어(Cloudflare)의 API 스캐너는 기존 DAST(Dynamic Application Security Testing) 도구의 한계를 극복하기 위해 다음과 같은 차별점을 가진다.
통합된 보안 환경(Integrated Security Environment): 기존 Cloudflare 보안 솔루션과 연동하여 단일 대시보드(Single Dashboard)에서 모든 보안 정보를 확인 가능
API 스키마 자동 학습(API Schema Auto-Learning): API Shield 고객의 경우, API Discovery 및 Schema Learning 기능을 통해 별도의 설정 없이 API 구조를 자동 분석
엣지 기반(Edge-Based) 스캔: 수동 트래픽 검사(Passive Traffic Inspection)를 통해 BOLA 취약점(BOLA Vulnerabilities) 위험을 쉽게 검증
결과적으로, 설정의 복잡성을 줄이고 API 보안(API Security)의 효율성을 극대화한다.
API 자격 증명(Credentials) 보안 강화 방안
클라우드플레어(Cloudflare)는 API 스캐너에서 고객의 API 자격 증명(Credentials)을 안전하게 관리하기 위해 다음과 같은 기술을 적용했다.
해시코프 볼트(HashiCorp Vault) 활용: Vault Transit Secret Engine(TSE)을 사용하여 API 자격 증명 암호화(Credentials Encryption)를 수행하며, 암호화된 데이터는 Cloudflare 인프라에 저장
최소 권한 원칙(Principle of Least Privilege): API는 암호화된 데이터를 해독할 수 없으며, 테스트 플랜(TestPlan) 실행 시에만 복호화(Decryption) 권한 부여
정기적인 로테이션(Rotation) 및 재래핑(Rewrapping): TSE를 통해 API 자격 증명(Credentials)을 주기적으로 변경하여 보안 위험(Security Risk) 최소화
이러한 조치를 통해 API 보안 스캔(API Security Scan) 과정에서 발생할 수 있는 보안 사고를 예방한다.
API 스캐너의 기술적 기반
클라우드플레어(Cloudflare) API 스캐너는 안정적인 운영을 위해 검증된 기술을 기반으로 구축되었다.
스캔 오케스트레이션(Scan Orchestration): Temporal(Temporal)을 사용하여 다수의 테스트 플랜(Test Plan) 실행을 관리하고, 복잡한 스캔 과정을 효율적으로 처리
백엔드(Backend) 개발: 러스트(Rust)를 사용하여 Cloudflare 내부 라이브러리(Internal Library)를 재사용하고, 다른 팀과의 협업 및 향후 통합(Integration)을 용이하게 함
잠재적 확장성(Potential Scalability): FL2 또는 테스트 프레임워크(Test Framework)와의 통합을 통해 엣지(Edge) 환경에서의 스캔(Scan) 및 테스트(Test) 자동화를 구현할 수 있는 기반 마련
이러한 기술적 기반을 통해 API 스캐너의 안정성(Stability)과 확장성(Scalability)을 확보했다.
