인정보

정보보안

Cequence UAP 통합 API 보안솔루션

API 라이프사이클 완벽 지원 보안 솔루션

  • 탐색, 공격표면취약점탐색
  • 실시간 공격 탐지 및 차단
  • 배포전 테스트 시큐어코딩
  • API 거버넌스/ 컴플라이언스준수 API 태세관리
  • 모든 API 엔드포인트 관리대상 통합관리

주요 기능

Cequence UAP 구성

API Spyder

디스커버리 및 인벤토리

지속적인 API 공격 표면 디스커버리 및 인벤토리 관리
  • 모든 외부 및 내부 API 검색 디스커버리
    • • 모든 외부 및 내부 API에 대한 가시성 확보
    • • 조직 API의 단일 인벤토리 구성 및 체계적 관리
    • • 신규, 변경된 API에 대한 현행화 디스커버리
  • 모든 API 서버 식별
    • • 지능적이고 예측 가능한 크롤링 기술은 애플리케이션에
        대한 사전 지식없이 공개적으로 노출된 모든 API 서버와
        엔드포인트를 디스커버리
  • API Spyder의 API 공격 표면 디스커버리
    • • API Spyder는 Google의 검색 알고리즘 업데이트 기술과
        유사한, 공개 도메인에서 예측 크롤링 기술을 사용하여 노출된
        리소스 검색
    • • API 공격표면 디스커버리를 위해 제공하는 정보는 최상위 도메인
        (예: exampledomain.com) 정보만 필요
    • • API Spyder는 해당 도메인 아래의 API 서버를 디스커버리
  • API Spyder의 디스커버리 결과
    • • API Spyder는 공개적으로 표시되는 API 서버와 다음을 포함한
        관련 리소스 표시-퍼블릭 클라우드 호스팅 및 미배포 API 서버
        (예: api.exampledomain.com)
    • • API 서버가 호스팅되는 호스팅 공급자
        (예: CDN, IaaS 또는WAF 공급자)
    • • REST 및 GraphQL 유형의 API엔드포인트
    • • 상태/모니터링 엔드포인트 및 Swagger/OpenAPI 스팩과 같은
        내부 API 엔드포인트가 공개적으로 표시
  • API Spyder의 작동 방식
    • • API Spyder 작동을 위한 사내 소프트웨어 설치 배포 및
        네트워크 변경 작업 없음
    • • API Spyder로 크롤링하려는 최상위 도메인을 입력하기만
        하면 해당 도메인에서 API 서버와 엔드포인트 디스커버리
  • API Spyder의 기대 효과
    • • API Spyder는 노출된 리소스에 대한 외부 관점을 제공하여
        공격자가 기업 환경 외부에서 볼 수 있는 내용을 효과적 표시
    • • 공격 표면 디스커버리 및 관리와, 알고 있을 수 있는 API 서버
        및 호스팅 제공업체와 알지 못하는 서비스 제공 업체 표시
    • • API Spyder는서버에 코드를 추가하지 않고도 API 서버의 Log4j
        및 LoNg4j 취약점 발견

API Sentinel

지속적 가시성, 테스트 및 컴플라이언스

자동화된 API 테스트 기능
  • 1
    API 명세 없이
    모든 API 자동 검색
  • 2
    OpenAPI 명세
    자동 생성
  • 3
    취약, 위험 및
    민감한 데이터
    노출 자동 분류
  • 4
    Open API Spec/
    Postman Collection에서
    즉각테스트계획생성
  • • 문서화되지 않은 API부터 새로운 API 표준까지의 광범위한 적용

    - 네트워크 트래픽에서 모든 API를 탐색

    - 문서화되지 않은 API의 테스트용 OpenAPI 규격 자동 생성

    - GraphQL 지원과 신규 API 표준에 대한 정기적인 업데이트

  • • API 사양에 적합한 테스트 자동 생성

    - OWASP API Security Top 10 테스트 적용

    - 고객 실제 사례를 분석해 적합한 동적 테스트 업데이트

    - 표준 규격에 적합한 테스트 계획을 즉시 생성 (Postman, OpenAPI)

  • • 개발 프레임웍과 통합 자동화

    - 개발프레임웍의 의존성 없이 어디서나 실행

    - 내장된 SIEM, SOAR 및 ITSM 통합

지속적인 API 가시성, 테스트 및 컴플라이언스
API 보안 태세 관리, 가시성 및 위험 범주화를 지속적으로 관리할 수 있는 시스템
API Sentinel은 API 보안 태세 관리를
제공하여 위험 발견, 모니터링 및 개선
  • Open API 적합성, 중요한 API 취약점 및
    민감한 데이터 노출과 같은 API 위험에 대한
    완전한 가시성 제공
  • 사용자 정의 및 기계 학습 기반 민감 데이터
    분석은 데이터 디스커버리를 통하여 데이터
    유출관련보안규정위반방지
  • 지속적인 위험 평가는 개선을 위한 코딩오류를
    발견하고 보다 강력한 보안 태세 완성

다차원 정밀 대시보드는 민감한 데이터와 보안규정을 위협하는 API를 상세히 표시

  • 360도 가시성으로 API Footprint 통제
    • • API 보안태세 360도 다차원 관리시스템 확보
    • • 포괄적 API 보안 관리 통합 가시성 확보
    • • 위험도 수준 관리를 통한 우선순위별 관리 통제
  • 데이터 유출 및 규정 준수 위반 탐지
    • • API 거버넌스 및 통제력 확보
    • • 사전정의 및 사용자정의 정책을 통한 위반 탐지
    • • 모든 API 관련 응답코드, 패턴, 세부 정보 등 확인·알림
  • 코딩의 일관성 향상 및 유지
    • • API 테스트 슬라이드 참조
  • 광범위한 API 기반 에코시스템 통합
    • • API 라이프 사이클 관리 및 런타임 보안
    • • CI/CD 프레임워크 도구연동, API스팩 관리 및 업데이트
    • • API 프로액티브 배포 푸쉬 및 Export 추출 분석
  • 쉽고 빠른 배포 및 적용
    • • Saas, 퍼블릭클라우드, On-premise, 하이브리드 배포
    • • 모든 외부/내부 API에 대한 완전한 인벤토리 생성
    • • 몇 분 이내에 빠른 배포 및 적용

생성형AI(GenAI) - 기반 API 보안 테스트

  • 실질적인 API 보안 테스트 목록
    • • OWASP API 보안 Top 10 취약점 및 기타 모든 테스트 범위 포함
    • • 동적인 테스트 업데이트로 환경 및 고유한 테스트 케이스에 맞게 맞춤화
    • • 개발자와 정보보안 전문가가 각 테스트 케이스의 상황을 이해하도록 협업
  • 포괄적이고 유연한 테스트 계획
    • • Postman 컬렉션이나 OpenAPI 사양에서 테스트 계획을 생성하고 CI/CD 파이프라인,
        클라우드 또는 컨테이너에서 즉시 실행
    • • 생성형 AI가 테스트 계획을 빠르게 생성하고 효율성을 향상
    • • SDLC(Software Development Life Cycle, 소프트웨어 개발 수명 주기) 전체에 걸쳐
        트렌드 분석을 통한 산업 최고 수준의 통찰력과 통제력 제공
  • 기존 툴과의 통합
    • • CI/CD 파이프라인, IDE(Integrated Development Environment, 통합개발환경) 내에서
        통합되거나 독립적인 테스트를 수행
    • • SIEM, SOAR 및 ITSM과 빌트인 통합은 조치를 용이하게 하고, 테스트가 통과 될때까지
        API가 배포되지 못하도록 합니다.
    • • 테스트 실행 상태, 경고 및 결과를 이메일, 웹훅(Webhooks) 등을 통해 배포
  • 인공지능을 활용한 API 보안 테스트 강화
    • • API 애플리케이션에 특화된 맞춤형 API 보안
        테스트 계획 수립
    • • 지능형 모드는 보안 테스트 계획을 개발하지
        않은 사용자들이 대화형 질문에 답변할 수
        있는 쉬운 채팅 인터페이스를 제공
    • • 생성형AI 기술을 활용하는 지능형 모드는
        테스트 계획에 최적화된 보안 요구 사항 통합
      계획을 생성하여 API 애플리케이션의 중요한
        취약점을 평가
    • • 보안 테스트팀의 수동적 오류 및 프로세스
        시간 절감
    • • 지능형 모드 사용을 통한 공격자가 악용할 수
        있는 취약점 테스트 및 맞춤형 보안 테스트
        계획 자동 작성
  • • 각 테스트 실행 후 자동으로 테스트 보고서가 제공되며, 이 보고서에는
      요청을 트리거한 테스트에 대한 성공 또는 실패와 함께 예상 결과 대
      실제 결과 및 발견된 문제를 해결하는 데 대한 권고 사항 포함
  • • 수행된 테스트 수, 성공 또는 실패 비율, 예외 및 재발견된 결함에 대한
       요약 보고서를 즉석 또는 예약된 기준으로 생성
  • 결과의 시각화 및 테스트 관리
    • • 풍부한 관리 인터페이스를 통해 보안 및
        개발팀이 테스트에 액세스하고 관리하고
        결과를 시각화하며 세부 정보를 신속하게 이해
    • • 배포용과 내부용 테스트 결과를 비교하여
        연속적인 출시 주기에 걸쳐 기능을
        비교하고 일관성을 보장
    • • 역할 기반 관리를 통해 테스트 목표를
        달성하기 위해 필요한 자율성을 유지하고,
        어떤 팀원이 테스트를 생성, 관리하고
        그룹화 및 제어 통제

API Spartan

탐지 및 차단

ML 기반 API 공격 탐지 및 차단
  • 지속적인 행동 기반 API 위협 탐지
    • • ML 기반 분석 엔진이 생성한 행동 지문을 활용하여
        고도로 정교한 공격을 지속적으로 추적
    • • 공격은 탐지를 피하기 위해 재조정될 수 있지만,
        세계최대의 API 위협 데이터베이스에 의해 지원되는
        분석 결과는 즉시 높은 효능의 보호 정책으로
        변환 업데이트
  • 사용자 정의 및 자동화 정책을 통한 선제적 공격 차단
    • • 모든 규칙과 정책은 트래픽과 탐지 요구사항에 맞게
        사용자 정의 가능
    • • 요청 헤더, 바디 및 쿼리 매개변수와 같은 트랜잭션
        요소에 대한 정밀한 필터링을 통해 API 트래픽을
        선택적으로 분석하고 다른 모든 트래픽에 미치는
        영향을 최소화
    • • API 공격 및 OWASP 관련 API 취약성 악용에 대한
        탁월한 탐지
    • • 공격이 확대 및 전술 변경에 대응하는, ML 자동
        파일럿을 사용하여, 실시간 결과 자동 분석 및 정책
        조정을 통한 예방 효과 유지 및 극대화
  • 사기 방지(Fraud Prevention) 서비스
    • • 온라인 사기로 부터 사용자보호
    • • 정확한 불법 행위를 감지하고 차단하는 세부적인
        사기 정책 개발
    • • 정확한 순간에 사기 거래가 발생하는 것을 알고, 이를
        차단하여 사용자나 비즈니스에 방해가 되지 않도록 조치

Cequence 실시간 Bot 관리

  • 지속적인 다차원 API 위협 탐지
    • • 다차원 기계 학습 기술은 악성 트래픽에 대한 공격 지문을 생성하고 공격자의 기술이 발전함에 따라 대응
    • • 클라이언트 설치가 없으며, 애플리케이션 통합 및 JavaScript 또는 모바일 SDK와 같은 부수적인 작업이
        없고, 저속의 페이지 로드와 같은 다운스트림 취약점등을 제거
    • • 실제 익명화된 고객트래픽으로 추출 생성된 세계 최대의 API 위협 인텔리전스 데이타베이스 제공
  • 정책 사용자 정의 및 자동화
    • • 기계 학습 모델을 사용하여 통계적 이상현상을 식별하는 데 사용되는 200개 이상의 사전 정의된 규칙이
        포함된 규칙 기반 트래픽 분석 제공
    • • 유연한 콘텐츠 검사와 정보수집기를 기반으로 한 사용자 정의 규칙 제공
    • • 웹 애플리케이션과 API 모두에 일관된 보호 제공
  • 네이티브 실시간 완화 및 차단
    • • WAF와 같은 추가 인프라 없이 네이티브 검출 및 차단 제공
    • • 초정밀 위협 탐지를 통한 최고 신뢰의 차단 구현
    • • 악성 트래픽에 대응하기 위한 사용자 정의 정책에는 로깅, 차단, 속도 제한, 지리적 차단, 속임수 등 포함
  • 실시간으로 공격 원천 차단
    • • 발견된 공격은 WAF나 다른 제3자 솔루션에 신호를
        보내지않고도 원천적으로 완화
    • • API 공격 탐지 및 완화에 대한 최종적인 통제 보장,
        유연한 응답 옵션에는 로깅, 차단, 속도 제한, 지역 제한
        및 공격자 속임수 포함
    • • 속임수는 공격자가 공격이 성공적으로 이루어졌다고
        잘못 믿게끔 하는 기법
  • 기존 인프라와 통합 및 보완
    • • 풍부한 그래픽 사용자 인터페이스를 갖춘 개방적이고
        확장 가능한 솔루션
    • • 공격을 신속하게 분석하고 정책 결정을 내리며
        보고서를 생성
    • • 세분화된 역할 기반 관리를 통해 서로 다른 사용자 또는
        그룹에 대해 특정 기능에 대한 액세스 제공
    • • REST 기반 API를 사용하여 제3자 데이터를 가져와
        분석 강화
    • • 결과를 기존IT 인프라로 내보내어 사후 분석, 상관 관계
        또는 방화벽이나 기타 보안 장치에서의 적용 구현
  • 빠른 적용
    • • SaaS를 활성화하여 API 및 웹 응용 프로그램을 보호
    • • 15분 이내, 빠른 적용을 통한 운영 부담 해소, 사기,
        데이터 유출 및 비즈니스 중단으로 이어질 수 있는
         공격으로 부터 빠른 방어
    • • 모듈식 아키텍처를 통해 데이터 센터, 클라우드 환경
        또는 하이브리드 인프라에 배포