Offcanvas

보안

IT제품의 취약점 공개가 버그 현상금 프로젝트보다 효과 ↑

2012.01.10 Gregg Keizer  |  Computerworld
대형 IT업체들이 주도적으로 나섰던 버그 현상금 프로그램이 취약점을 찾아내는 데 실패한 것으로 알려졌다. 또한 버그 잡기 현상금 프로그램보다 더 실효성을 거둔 것이 바로 IT제품의 취약점 공개인 것으로 나타났다.

->취약점 패치 느림보 3인방은 IBM, HP, MS... 티핑포인트 발표

티핑포인트 제로 데이 이니셔티브(ZDI)에 따르면, IBM, HP, 마이크로소프트가 현상금을 내걸고 버그를 잡으려 했으나 취약점을 해결하지 못했다.

2011년 동안 HP의 사업부 티핑포인트는 HP가 IT업체들에게 6개월 전에 보고한 취약점에 대한 정보를 담은 29개의 제로 데이 권고안을 발표했다. 29 가운데 10개는 IBM 소프트웨어에서, 6개는 HP 애플리케이션에서, 5개는 마이크로소프트 제품에서 각각 발견됐다. 이밖에도 CA, 시스코, EMC 등에서도 취약점이 발견됐다.  

해킹 경연대회 Pwn2Own을 후원하는 티핑포인트는 특정 기관이나 기업에 소속되지 않은 독립 보안 전문가들로부터 취약점 정보를 구입해 이를 개별 업체에게 보고하고 있다. 티핑포인트는 보안 어플라이언스의 자체 라인에 대해 방어할 수 있도록 정보를 사용하고 있다.

2010년 중반 티핑포인트는 “IT업체들이 6개월 이내에 취약점을 해결하지 않으면, 그때까지 보고된 취약점들 중 일부 내용을 공개하겠다”라고 밝힌 바 있다.

티핑포인트는 2011년 2월 7일에 최초로 제로 데이 권고를 발표했다.

지난해 티핑포인트는 소프트웨어 개발자에게 6개월의 기간을 줄 테니 취약점을 빨리 해결하라고 말했다. 티핑포인트 보안연구팀 리더 아론 포트노이는 "몇 가지 정보를 공개해 IT업계의 주목을 끌었다”라고 말했다.

포트노이와 ZDI 연구원인 데릭 브라운은 더 많거나 적게 일하려는 압력이 있었다고 전했다. "IT업체들이 취약점 해결을 위해 최선을 다하지 않는 것 같다면, 우리는 정보를 공개할 의향이 있다”라고 브라운은 강조했다.

"해결되지 않은 취약점 수가 많을수록 제품의 보안에 대한 인식이 심각하다는 것을 보여주며 이러한 인식을 바꿀 수 있기 때문에 IT업체들이 자사 제품을 패치하라는 압박을 받게 됐다”라고 포트노이는 주장했다. 그에 따르면, 이러한 압박은 IT제품의 취약점 해결하라는 IT업체에 대한 압력을 가중시킨다고 한다.

한편, 2011년 12월 말 기준으로 티핑포인트 내 독립 연구원들은 2011년 초 301개의 취약점에서 16% 증가한 350개의 취약점이 생성됐다고 보고했다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.