최근 공개 API가 급증하면서 공격자는 ‘API 엔드포인트 탐색 → 인증 우회 → 권한 상승’ 순서로 공격 흐름을 구성하고 있습니다. MITRE ATT&CK T1078(Valid Accounts)와 T1190(Exploit Public‑Facing Application)이 결합된 형태가 눈에 띕니다. 실제 로그에서는 비정상적인 User‑Agent와 짧은 간격의 동일 IP 요청이 반복되는 패턴이 IoC로 포착됩니다. 특히 CORS 오버로드와 SSRF를 이용한 토큰 탈취 시도는 기존 WAF 규칙을 회피하는 경향이 강합니다. 현장에서 즉시 점검해야 할 항목은 (1) API Gateway 로그에 Origin 헤더와 Referer 변조 시도 여부, (2) 토큰 발급 엔드포인트에 대한 Rate‑Limit 적용 여부, (3) 민감 데이터가 포함된 응답에 대한 Content‑Security‑Policy 설정 여부입니다. 이러한 지표를 SIEM에 연동해 알림을 설정하면 오탐을 최소화하면서 초기 침해 징후를 빠르게 포착할 수 있습니다. 궁극적으로는 ‘최소 권한 원칙’과 ‘동적 토큰 회전’ 정책을 API 설계 단계부터 적용하는 것이 장기적인 공격 표면 축소에 가장 효과적이라 할 수 있습니다.
💬 댓글 4