검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'SW 공급망'통합검색 결과 입니다. (6건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

스패로우, SBOM도구에 AI 입혔다…코드 자동 생성

애플리케이션 보안 기업 스패로우(대표 장일수)가 소프트웨어(SW) 공급망 보안에 필요한 소프트웨어 자재 명세서(SBOM·Software Bill of Materials)에 인공지능(AI) 기능을 더했다고 밝혔다. 장일수 스패로우 대표는 22일 서울 여의도 페어몬트앰버서더호텔에서 열린 고객 초청 사업 설명회 '파수 디지털 인텔리전스 심포지움(FDI)'에서 이같이 발표했다. 스패로우는 파수 자회사다. 장 대표는 “AI 기능을 가진 제품을 곧 출시하겠다”며 “코드를 자동으로 만들고, 정탐율을 최고로 끌어올리고, 어떤 취약점부터 우선 조치할지 우선순위 매기고, 취약점을 설명하는 보고서를 자동으로 쓰는 기능을 갖췄다”고 말했다. 장 대표는 “SBOM을 '생성-보강-검증-공유-검토'하는 단계로 관리해야 한다”며 “사람이 하나하나 손보려면 비효율적이라 도구가 필요하다”고 설명했다. 그러면서 '스패로우 엔터프라이즈'를 소개했다. 장 대표는 “SBOM을 만들어 등록하고 공유하면서 관리해야 한다”며 “스패로우는 한 번 만들고 끝나는 게 아니라 지속적으로 상호 검토해 새로운 취약점이 나오면 운영자와 개발자에게 알려 빠르게 조치하도록 돕는다”고 강조했다. 그는 “침해 사고가 아예 안 일어날 수는 없다”며 “어제 취약점이 아니었던 게 오늘은 취약점이 될 수 있으니 계속 관리해야 한다”고 주장했다. 또 “스패로우는 데이터에 기반해 알맞은 수정 방안을 제시한다”며 “문제 유형을 자동으로 나누고, 사람 실수와 반복 작업을 최소화하도록 지원한다”고 했다. 장 대표는 효율적으로 투자하는 법도 귀띔했다. 그는 “생성하려면 대량언어모델(LLM)을 써야 한다”면서도 “분류하는 데에는 기존 머신러닝과 딥러닝으로 충분해 보안과 비용 문제를 해결할 수 있다”고 언급했다. 이어 “모든 이해관계자가 참여해 능동적이고 적극적으로 대응하는 게 공급망 보안”이라며 “한 개인이나 기업 문제가 아니다”라고 덧붙였다.

2025.04.23 11:55유혜진

잇따른 글로벌 IT '먹통'에 SW 공급망 보안 중요성 ↑…내년에 주목할 솔루션은?

올해 크고 작은 개인정보보호 이슈가 우후죽순 쏟아진 가운데 미국 크라우드스트라이크의 전산 마비 등 대형 사건들로 인해 소프트웨어(SW) 공급망 보안 중요성이 더 주목 받게 된 것으로 나타났다. 내년에는 악성코드 및 보안 취약점을 선제적으로 차단하고 대응할 수 있는 솔루션이 주된 관심사로 떠오를 것이란 전망도 나온다. 4일 소만사가 발표한 '2024년 발생한 주요 개인정보보호 7대 이슈'로는 ▲크라우드스트라이크 발(發) 전산마비 사태 ▲금융권 망분리 규제 개선안 발표 ▲공공기관 다층보안체계(MLS) 전환 발표 ▲페이스북(메타) 216억원 과징금 처벌 ▲개인정보유출 과징금 전체매출 3% 부과 처분 ▲개인정보의 안전성 확보조치 기준 안내서 발간 ▲SBOM(소프트웨어 자재명세서)과 오픈소스 취약점 점검 투자 강화 등이 꼽혔다. 이 중 올 한 해 가장 크게 이슈가 된 것은 미국 보안기업 크라우드스트라이크에서 시작된 전 세계 전산마비 사태다. 이는 올해 소프트웨어 공급망 전산 사고의 대표적인 사례로, 크라우드스트라이크의 '팰컨 센서' 업데이트 버전이 MS 클라우드 서비스 '애저(Azure)'와 충돌하면서 발생했다. 이로 인해 전 세계 항공, 금융, 행정, 의료 방송 등 2만9천 곳의 업무가 마비됐으며 피해 규모는 최소 10억 달러(한화 약 1조4천억원)로 추산됐다. 이후 크라우드스트라이크는 지난 9월 미국 의회 청문회에 소환돼 공식 사과했다. 델타항공은 크라우드스트라이크를 상대로 올해 10월 5억 달러(한화 약 6천500억원) 규모의 손해배상 소송을 제기했다. 금융권 망분리 개선안 발표도 많은 이들의 관심을 끌었다. 금융당국은 최근 금융기관의 생성형 인공지능(AI) 활용과 서비스형 소프트웨어(SaaS) 이용 범위 확대를 발표한 상태다. 이에 따라 금융기관은 안전한 활용을 실현할 수 있도록 접속 단말의 보안을 강화해야 한다. 업무상 허용된 단말로만 해당 서비스를 활용할 수 있도록 통제해야 하며 단말과 생성형 AI, SaaS 서비스 간 감사로그를 확보해야 한다. 또 단말과 SaaS 서비스 간 개인정보 및 신용정보 전송 등 이상행위를 통제해 조직 생산성 향상과 IT 신기술 부작용을 최소화 할 수 있어야 한다. 공공기관 대상 다층보안체계(MLS) 망분리 개선 로드맵도 주요 이슈로 급부상했다. 정부는 최근 사이버 안보정책방향을 공개했는데, 중요도에 따라 개인정보를 차등적으로 통제하는 다층보안체계 로드맵과 인터넷 단말에 생성형 AI, 업무용 소프트웨어, 인터넷 사용을 점진적으로 확대하는 계획을 발표했다. 해당 계획은 2025년 초까지 시범사업 수행 후 확대 적용될 예정이다. 페이스북을 운영하는 메타가 개인정보보호위원회로부터 216억원의 과징금을 부과 받은 것도 업계의 이목을 끌었다. 개인정보위는 페이스북이 국내 98만 명 이용자를 대상으로 종교, 정치, 동성과의 결혼여부 등 민감정보를 수집한 데다, 수집된 정보를 4천여 광고주를 통해 동성애, 트랜스젠더, 북한이탈주민 등 민감한 주제로 타깃광고에 이용했다는 점을 이유로 이 같이 조치했다. 이번 과징금 부과는 2020년 67억원 과징금 부과 이후 다섯 번째 제재로, 개인정보보호법 위반으로 누적 합산된 페이스북의 과징금은 현재 약 729억원이다. 개인정보 유출 과징금을 전체 매출에서 3% 부과하는 처분이 시작되면서 많은 기업들이 긴장감을 드러내기도 했다. 특히 220만 명 개인정보 유출사고가 발생한 골프 관련 기업인 G사에 과징금 75억원이 부과돼 크게 주목 받기도 했다. 지난 2023년 9월 개인정보보호법에서 개정된 '전체매출 3% 과징금 부과' 규정 첫 적용 사례였기 때문이다. 기존법령에 따라 개인정보가 유출됐어도 안전성 확보에 필요한 조치를 다 한 경우에는 처벌을 면할 수 있다. 그러나 G사는 개인정보 유출통제 기술적 보호조치 미흡, 주민등록번호처리 및 파기의무를 위반해 이 같은 과징금을 처벌 받았다. 지난 2023년 9월 개정 이후 변경 내용을 반영한 '개인정보의 안전성 확보조치 기준 안내서'도 올해 발간돼 기업들에게 많은 도움이 됐다. 이번 안내서에서는 FTP, 백업서버 등 공용 파일처리시스템을 개인정보 처리시스템으로 분류했다. 또 클라우드 컴퓨팅 서비스 기반의 개인정보 처리시스템도 기술적 보호조치 대상임을 명시했다. 크리덴셜 스터핑 공격을 이용한 홈페이지 해킹사고를 개인정보 유출사고 범위에 포함해 개인정보보호법의 적용을 받는 기업과 기관은 해당 규정을 준수할 수 있도록 기술적 보호조치를 취하도록 안내한 것도 특징이다. 소프트웨어 자재명세서(SBOM)와 오픈소스 취약점 점검을 위해 투자 활동이 강화된 것도 올해 주요 이슈였다. 이는 지난 2월 리눅스(Linux) XZ 유틸(Utils) 백도어를 시작으로 7월 크라우드스트라이크, 11월 세일즈포스 전산마비 등 소프트웨어 공급망 관련 전산사고가 지속적으로 발생한 것이 큰 영향을 줬다. 이에 과기정통부는 'SW 공급망 보안 가이드라인'을, 금융보안원은 '금융회사대상 SW공급망 자율점검 체크리스트'를 공개하며 공급망 보안에 집중하고 있다. 소만사 관계자는 "바이든 정부에 이어 트럼프 정부도 공급망 보안 위험관리 대표방안인 SBOM을 강화할 것으로 전망된다"며 "국내 정부도 SW 수출 활성화를 위해 SBOM 의무화를 가속화할 것으로 예상한다"고 말했다. 그러면서 "올해는 개인정보보호법 개정에 따른 수십~수백억원대 과징금 부과 처분 시작, 공공·금융기관 망분리 환경개선 로드맵을 통한 IT 신기술 적용 등 보안규제의 변화가 다방면에서 시작된 해"라며 "달라진 업무환경과 변화된 컴플라이언스에 부합하는 솔루션을 지속적으로 개발, 안정화시켜 보안위협으로부터 정보자산을 안전하게 지킬 수 있도록 노력하겠다"고 덧붙였다.

2024.12.04 17:00장유미

염흥열 교수 "안전한 SW 공급망 필수…망 내부 훤히 보여야"

"최근 개별 소프트웨어(SW)뿐 아니라 SW 공급망 보안 중요성이 커졌습니다. 국내 정부도 공급망에 소프트웨어 자재 명세서(SBOM)를 의무화해야 합니다. SBOM이 SW 개발부터 유지·운영 환경 안전성을 획기적으로 높일 것입니다." 순천향대 염흥열 명예교수는 6일 서울 강남 섬유센터에서 열린 '제14회 SW 개발보안 컨퍼런스'에서 "SW 공급망 보안에 SBOM은 필수"라고 강조했다. SBOM은 SW에 포함된 모든 구성 요소 목록을 나타내는 문서다. SW 제품 투명성을 높이고 보안 취약점을 효과적으로 관리하기 위해 사용된다. SBOM에는 라이선스 정보와 버전 번호, 구성 요소, 세부 정보, 공급업체 등에 대한 정보가 있다. 염흥열 교수는 "기업·개발자는 SBOM의 제품 구성 요소 가시성을 통해 SW 취약점을 스캔하거나 위협 대처를 원활히 할 수 있다"고 강조했다. "SBOM, SW 개발자·운영자·구매자 모두 도와" 염흥열 교수는 SBOM이 SW 개발자와 운영자, 구매자에게 기술적 이점을 제공한다고 주장했다. 염 교수는 "개발자는 SBOM을 통해 사용 중인 SW 구성 요소가 최신 버전인지 확인할 수 있다"며 "SW가 어떻게 이뤄져 있는지 미리 파악함으로써 보안 취약점에 신속하게 대응할 수 있다"고 설명했다. 이를 통해 개발자는 개발 과정에서 효율성을 높이고 제품 안정성을 올릴 수 있는 셈이다. 또 구매자는 SBOM을 통해 구입한 SW 제품이 어떻게 구성됐는지 투명하게 확인할 수 있다. 이에 잠재적인 취약점을 미리 파악할 수 있다. 염 교수는 "제품 라이선스 정보를 명확하게 이해할 수 있다"며 "라이선스 위반 등 법적 위험까지 줄일 수 있다"고 설명했다. 이어 "운영자도 SBOM으로 운영 중인 SW 특정 모듈에서 보안 취약점을 사전에 파악할 수 있다"며 "안정적인 시스템 운영과 보안 관리를 원활히 할 수 있을 것"이라고 덧붙였다. 또 그는 "결과적으로 SBOM은 SW의 투명성, 책임성, 신뢰성을 높임으로써 제품 개발부터 운영까지 전 과정에 다양한 이점을 제공한다"고 강조했다. "美·EU, SBOM 적용 활발…韓도 의무화해야" 염 교수는 미국과 유럽연합(EU)처럼 국내 정부도 SBOM을 공급망 위험 관리 핵심 요소로 다뤄야 한다고 주장했다. 실제 조 바이든 미국 대통령은 2021년 사이버 보안 역량 강화를 위한 행정명령을 발표했다. 바이든 대통령은 연방 정부에 납품되는 모든 SW에 SBOM 적용을 의무화했다. 미국 국립표준기술연구소(NIST)도 안전한 SW 개발 환경에 대한 표준 절차와 기준을 산업계에 요청한 바 있다. 이에 미국 SW 공급자들은 해당 표준을 준수하고 있음을 증명해야 한다. EU도 사이버 회복력 법(Cyber Resilience Act)을 통해 SBOM 도입을 추진하고 있다. 이 법안은 최근 EU 의회를 통과했다. 이에 모든 디지털 기기에 포함된 SW에 SBOM을 의무화할 예정이다. 염 교수는 "미국과 EU는 SOBM을 통해 SW 구성 요소 취약점을 신속하게 식별·대응함으로써 전체적인 사이버 보안을 강화하고 있다"고 말했다. 이와 관련해 국내 정부도 올해 5월 SW 공급망 보안 가이드라인을 발표하긴 했다. 다만 이를 의무화하진 않은 상태다. 염 교수는 "글로벌 사회는 SW 공급망 보안을 중요하게 본다"며 "이에 발맞춰 국내 정부도 SBOM 의무화를 적극 추진해야 한다"고 강조했다.

2024.11.06 16:23김미정

센트릭 소프트웨어, 푸드체인 아이디와 식품·화장품 산업 공급망 혁신 주도

센트릭 소프트웨어가 푸드체인 아이디와 손잡고 식품·화장품 산업 공급망 혁신에 나선다. 센트릭 소프트웨어는 푸드체인 아이디와 전략적 파트너십을 체결했다고 6일 밝혔다. 센트릭 소프트웨어는 패션, 아웃도어, 럭셔리, 식음료, 화장품 및 퍼스널 케어, 가전제품 등 소비재·리테일 분야의 기업들이 디지털 전환 목표를 달성할 수 있도록 엔터프라이즈 솔루션을 제공하고 있다. 푸드체인 아이디는 식품 안전 및 규정 준수와 관련해 다양한 기술 솔루션을 선보이고 있다. 이번 파트너십을 통해 양사는 각자의 전문 역량을 통합함으로써 제품 개발 프로세스를 간소화하는 동시에 지속가능성 표준 및 식품 안전 규정을 준수할 수 있도록 기업들을 지원한다는 방침이다. 이번 파트너십의 중요한 구성 요소는 센트릭 PLM과 푸드체인 아이디의 규정 준수 분석 커넥터다. 강력한 기능의 커넥터를 통해 식음료 및 화장품 브랜드는 푸드체인 아이디의 광범위한 글로벌 규정 준수 데이터베이스와 분석 엔진을 바탕으로 센트릭 PLM에서 규정 준수 분석 평가를 간편하게 수행할 수 있다. 이 커넥터를 활용해 기업은 제품이 전 세계 규제 요건과 품질 및 투명성에 대한 소비자의 기대치를 충족하도록 보장할 수 있다. 또 센트릭 PLM과 푸드체인 아이디 커넥터의 결합은 기업이 원재료의 원산지부터 매장에 진열되기까지 제품을 추적할 수 있도록 지원한다. 센트릭 소프트웨어의 기능을 활용하면 브랜드는 제품 개발 프로세스에 대한 가시성을 강화하고 지속가능성 목표에 부합하는 정보에 입각한 의사 결정을 내릴 수 있다. 클린턴 채드윅 푸드체인 아이디 전략 파트너십 담당 부사장은 "함께 혁신을 주도하고 기업이 소비자와 기업 모두에게 이익이 되는 정보에 기반한 결정을 내릴 수 있도록 지원하는 것을 목표로 하고 있다"고 말했다. 이번 파트너십에는 공급망 관리 및 지속가능성의 모범 사례에 대한 정보를 제공하는 공동 프로젝트는 물론, 진화하는 규정 준수를 간소화하는 기술 솔루션의 통합을 포함하고 있다. 센트릭 소프트웨어와 푸드체인 아이디는 파트너십을 통해 공급망 관리의 투명성 및 안전성을 최우선으로 해 업계의 혁신을 주도해 나간다는 방침이다. 센트릭 소프트웨어 관계자는 "푸드체인 아이디와의 파트너십은 공급망의 가시성과 책임 강화를 추구하는 식품·화장품 제조업체를 지원하고자 하는 우리의 약속을 향한 중요한 단계"라며 "이번 일로 앞으로 고객에게 투명성에 대한 소비자의 요구를 충족하는 동시에 지속 가능한 경영을 촉진하는 데 필요한 툴을 제공할 수 있게 됐다"고 밝혔다.

2024.11.06 14:25장유미

[유미's 픽] 글로벌 '먹통' 유발 크라우드스트라이크·MS '위기'…SW 공급망 허점 도마 위

마이크로소프트(MS) 클라우드 서비스 장애를 유발해 세계를 마비시킨 사이버 보안 기업 크라우드스트라이크가 위기에 빠졌다. 피해나 규모면에서 '역대 최악의 IT 대란'이라는 평가와 더불어 복구가 몇 주 걸릴 것이란 예측 속에 보안·소프트웨어(SW) 기업들의 공급망 관리에 대한 문제점도 제기됐다. 20일 뉴욕증권거래소(NYSE)에 따르면 크라우드스트라이크 주가는 지난 19일(현지시간) 전일 대비 11.10% 하락한 304.96달러에 거래를 마쳤다. 장중 한 때 낙폭을 15% 이상까지 늘렸다가 소폭 만회했다. 이날 MS 주가 역시 전일 대비 0.74% 떨어졌다. 반면 경쟁사 팔로알토 네트웍스 주가는 2.16% 올랐다. 동종업체 센티넬원 주가도 7.85% 급상승했다. 두 업체의 주가가 하락세를 보인 것은 크라우드스트라이크가 보안 소프트웨어를 업데이트하는 과정에서 MS 운영체제인 '윈도'와의 충돌로 MS 클라우드 서비스에 차질이 빚어졌기 때문이다. 이 일로 항공·통신·방송·금융 등 인프라에서 전산망 장애가 발생해 업무가 마비되며 곳곳에서 혼란을 겪게 됐다. 또 리눅스 등 다른 OS도 있지만 상당수 기업들이 MS '윈도'를 서버나 PC OS로 채택하고 있다는 점에서 이번에 피해가 컸다는 분석이다. 이에 사티아 나델라 MS 최고경영자(CEO)와 조지 커츠 크라우드스트라이크 CEO는 이번 사태를 해결하기 위해 서로 협력하면서 문제를 해결해나가겠다는 입장을 밝혔지만, 해결까지 수일 혹은 몇 주가 걸릴 것이란 분석에 위기를 맞게 됐다. 나델라 CEO는 자신의 엑스(X·옛 트위터) 계정을 통해 "크라우드스트라이크가 어제 업데이트를 발표했는데, 우리는 이것이 세계 IT 시스템에 영향을 미친 문제를 인지하고 있다"며 "(MS는) 크라우드스트라이크 및 업계 전반과 긴밀히 협력해 고객 시스템을 안전하게 시스템을 복구할 수 있도록 기술 지침 및 지원을 제공하고 있다"고 전했다. 이 같은 글에 일론 머스크 테슬라 CEO는 "이로 인해 자동차 공급망에 발작이 일어났다"고 댓글로 답해 눈길을 끌기도 했다. 미국 전기차업체 테슬라 역시 이번 IT 대란 사태 여파로 일부 생산 라인이 중단됐기 때문이다. 이번 사태의 원인이 된 크라우드스트라이크 측은 사과의 뜻을 전하면서도 맥과 리눅스 등에는 영향을 받지 않았다고 설명했다. 또 이번 사건은 보안사고나 사이버 공격이 아니라는 점도 분명히 했다. 조지 컬츠 CEO는 "이번 사태로 영향을 받은 모두에게 깊이 사과드린다"며 "고객에게 지속적으로 최신 업데이트를 제공할 것"이라고 밝혔다. 이번 일로 크라우드스트라이크의 주가는 당분간 하락세를 면치 못할 것이란 전망이 나왔다. IT 대란을 유발한 만큼 향후 MS 클라우드를 쓴 고객들이 손해배상을 청구할 시 막대한 비용이 발생할 것이란 점도 우려되는 대목이다. 시가총액이 116조 원에 달하는 크라우드스트라이크의 지난 1분기 매출은 전년 동기보다 33% 늘어난 9억2천100만 달러(약 1조2천억 원), 순이익은 86배가 늘어난 428만 달러(약 59억5천만 원)를 기록한 바 있다. 투자은행 웨드부시 분석가 댄 아이브스는 "이번 사태는 크라우드스트라이크에 분명한 수치를 안겼다"며 "주가에 하방 압력이 작용할 것"이라고 관측했다. 오펜하이머 분석가 이타이 키드론은 "크라우드스트라이크 명성에 타격을 안겼다"며 "투자심리뿐 아니라 앞으로의 경영 실적에 영향을 미칠 가능성이 높다"고 전망했다. 이번 사태를 두고 업계에선 SW 공급망 관리 체계의 허점이 그대로 노출됐다고 평가했다. SW 공급망이란 소프트웨어가 개발, 배포, 설치되는 전체 과정과 일련의 활동을 뜻한다. 온라인·클라우드로 제품을 설치하고 주기적으로 제품 업데이트를 진행한다는 점에서 패키지 SW를 팔 던 예전 방식과 다소 차이가 있다. 컴퓨터를 사용할 때 프로그램들이 자동 업데이트 되는 것이 흔히 볼 수 있는 방식이다. 이 탓에 기술적 오류가 발생하거나 제3자가 해킹해 SW 업데이트를 악용할 경우 이번 사고처럼 세계 곳곳에 대혼란을 야기하며 상당한 경제적 손실을 초래할 수 있다. 또 SW 공급망 공격으로 인한 비용이 갈수록 증가하고 있는 만큼 각 기업들이 대책 마련에도 적극 나서야 할 필요가 있다는 지적도 있다. 실제 가트너가 발간한 보고서에 따르면 SW 공급망 공격으로 인한 비용은 지난해 460억 달러(약 64조 원)에서 오는 2031년 1천380억 달러(약 192조 원)로 증가할 전망이다. 가트너는 "기업·기관이 사용하는 소프트웨어 90% 이상이 오픈소스에 종속돼 있는데 이 중 74%가 고위험군"이라며 "부적절한 보안 개발 관행으로 인해 취약점이 코드에 삽입될 확률이 높다"고 지적했다. 이어 "공격자가 개발 환경에 직접 침투해 멀웨어가 삽입된 SW가 배포되도록 하는 방법도 흔한 SW 공급망 공격"이라며 "특히 오픈소스 패키지에 멀웨어를 삽입하는 공격 빈도가 최근 들어 급증했다"고 덧붙였다. 가트너는 내년까지 전 세계 조직의 45%가 SW 공급망 공격을 경험할 것으로 내다봤다. 과학기술정보통신부와 한국인터넷진흥원(KISA) 역시 '2023년 사이버 보안 위협 분석과 2024년 사이버 보안 위협 전망'을 통해 올해 주요 사이버 위협 중 첫 번째로 SW 공급망 공격을 꼽았다. 블룸버그통신은 "이번 사태와 같은 치명적인 장애는 글로벌 공급망에 대한 위협이 점점 더 심각해지고 있음을 보여준 것"이라며 "전 세계에서 가장 크고 중요한 일부 산업의 IT 시스템이 상태적으로 잘 알려지지 않은 소수의 SW 공급업체에게 크게 의존해왔다는 점이 문제"라고 지적했다. 업계 관계자는 "SW 공급망 문제를 해결하기 위해 개별 기업·기관의 보안 노력은 물론 정부와 업계에서도 대안 마련에 적극 나설 필요가 있다"며 "일시적이거나 단편적인 취약점 제거로는 공급망 전반의 위험을 낮출 수 없기 때문에 공급망에 관계되는 모든 조직이 함께 문제를 해결해야 한다"고 밝혔다. 가트너는 SW 공급망 전반의 리스크를 낮추기 위해 ▲큐레이트 ▲생성 ▲소비를 주축으로 한 SSCS 전략을 제시했다. 큐레이트는 보안, 라이선스, 지적재산, 공급망 위험과 관련한 종속성과 구성요소를 사전에 평가하고, 위험하거나 의심스러운 요소를 개발 과정에서 선택하지 않도록 한다. 또 오픈소스 위험을 자동으로 찾아주는 도구와 SBOM·VEX 등을 사용하는 것을 권고한다. 생성은 소프트웨어 아티팩트 보안 요구사항과 알려진 취약점 악용 가능성의 사용 시점에 소프트웨어 취약성을 평가한다. 최근 공격자들은 악성코드를 종속성에 은밀하게 삽입하고 있기 때문에 개발 파이프라인 전체에서 악의적인 코드 식별과 수정이 필요하다. 가트너는 "NIST SSDF와 같은 검증된 보안 개발사례를 채택하고 코드 개발 시 보안 내재화 접근방법에 따라야 한다"며 "SOC 혹은 제품 보안 사고 대응(PSIRT) 팀에 의한 취약점 검증을 통해 개발자 기기와 개발도구 체인 전반에서 무결성을 검증해야 한다"고 조언했다. 소비는 도입·구축 및 운영하는 전체 과정에서 위협을 식별하고 완화하는 것을 말한다. 공급업체의 보안수준을 평가하는 한편, 도입되는 소프트웨어의 구성요소와 종속성을 파악하고 목록화 해 취약성을 관리해야 한다는 의미다. 가트너는 "패키지 소프트웨어에도 악성코드가 포함돼 있어 전문적인 테스트와 평가가 필요하다"며 "공급망 프레임워크의 큐레이션, 생성, 사용 전반에서 모든 위험 요소를 고려해야 할 것"이라고 밝혔다.

2024.07.20 11:28장유미

美·EU 등 SW 공급망 보안 강화…스패로우가 제시한 대응 방안은?

스패로우가 국내외 최대 보안 이슈 중 하나인 SW 공급망 보안 동향과 이에 대응하기 위한 실제 적용 사례를 공유하는 자리를 가졌다. 스패로우는 지난 13일 오후 서울 양재 엘타워에서 연례 고객 초청 행사인 'PUC 2024(Power User Conference)'를 개최했다고 14일 밝혔다. 스패로우의 PUC는 다양한 산업군의 IT 및 보안 담당자들에게 최신 애플리케이션 보안 현황 및 대응책을 공유하고자 마련되는 연례 콘퍼런스로, 올해는 '차세대 애플리케이션 보안(Next Generation application Security)'을 주제로 개최됐다. 스패로우는 이날 SW 공급망 보안 방안과 SW 공급망 참여자들의 역할을 제시하고, 신기술 기반의 취약점 통합 관리 플랫폼을 제공하기 위한 스패로우의 전략을 소개했다. 키노트로 행사를 연 장일수 스패로우 대표는 "소프트웨어 자재명세서(SBOM) 제출을 의무화하는 EU의 사이버 복원력 법안 발의와 미국의 안전한 SW 개발 체계(SSDF) 준수 요구 등 각국에서 공급망 보안 강화를 위해 제도화를 추진 중"이라며 "SW의 신뢰성 확보 방안으로 SBOM이 주목받는 가운데 공급망 참여자들은 오픈소스 뿐만 아니라 자체 개발 및 상용 SW에 존재하는 취약점을 지속 모니터링해 공급망 관리 체계를 구축해 복원력을 강화해야 한다"고 강조했다. 또 장 대표는 SW 개발 수명 주기(SDLC)에 보안 테스트를 자동화하고 취약점을 통합 관리하기 위한 방안으로 '스패로우 엔터프라이즈(Sparrow Enterprise)'를 제시했다. 장 대표는 "소스코드, 오픈소스, 웹 취약점을 하나의 플랫폼에서 분석하는 스패로우 엔터프라이즈는 CI/CD 도구 및 형상관리 도구와 연동해 데브섹옵스(DevSecOps)를 구현할 수 있다"며 "취약점 점검 결과 보고서와 다양한 SBOM 포맷을 지원해 SW 투명성 확보가 가능하다"고 설명했다. 키노트 이후에는 실제로 스패로우 제품을 활용해 SW 공급망 보안을 적용한 사례가 공유됐다. 통합 접근통제 및 계정관리 솔루션 전문 기업 넷앤드의 박일 부장은 발표자로 나서, 시큐어 코딩(SAST), 오픈소스 관리(SCA), 웹 취약점 분석(DAST) 도구로 취약점 관리 프로세스를 구축해 사후 관리 비용과 리소스를 절감한 사례를 공개했다. 정보보호 전문서비스 기업 핀시큐리티의 한민기 팀장은 스패로우와 컨소시엄을 맺어 참여한 SW 공급망 보안 실증 사업을 기반으로 SW 운영사 관점에서의 SBOM 활용 가이드를 설명했다. 이번 행사에서는 최신 기술 등장에 발 맞춘 스패로우의 로드맵도 공개됐다. 스패로우 윤종원 수석 연구원은 "IaC(Infrastructure as Code, 코드형 인프라), 컨테이너 등 애플리케이션 개발 환경에 신기술이 적용되면서 새로운 보안 위협 또한 등장하고 있다"며 "스패로우는 IaC 기반 인프라 취약점 진단, API 명세 기반 보안 취약점 동적 진단, 컨테이너 이미지 분석 등을 지속 연구해 대응해 나갈 것"이라고 밝혔다.

2024.06.14 11:16장유미