Offcanvas

CSO / 검색|인터넷 / 보안 / 통신|네트워크

네트워크 회복탄력성 연합 출범… “취약점 해결 목표”

2023.07.27 Michael Hill  |  CSO
시스코, 포티넷, BT그룹, VM웨어 등 사이버 보안 벤더들이 네트워크 회복탄력성 연합을 출범했다. 연합은 하드웨어 및 소프트웨어 보안 강화를 목표로 삼는다.
 
ⓒ Getty Images Bank


사이버 보안, 네트워킹, 서비스 제공 업계의 주요 기업들이 새로운 연합인 네트워크 회복탄력성 연합(Network Resilience Coalition)을 결성했다. 연합은 데이터와 네트워크 보안을 통해 글로벌 경제 및 국가 안보를 지원하는 데 중점을 둔다. 연합의 주요 목표는 글로벌 네트워크 하드웨어 및 소프트웨어의 회복탄력성을 개선하고, 패치를 배포한 경험이 있는 인프라 벤더와 주요 네트워크 운영 기업을 한데 모아 올바른 취약점 관리 정책을 제시하는 것이다. 연합 창립 멤버로는 시스코, 포티넷, BT그룹, VM웨어, 인텔, 팔로알토(Palo Alto) 네트웍스, 주니퍼(Juniper) 네트웍스, AT&T, 루멘 테크놀로지(Lumen Technologies), 버라이즌(Verizon), 브로드컴(Broadcom)이 있다.

조직의 지속적 과제인 패치와 취약점 관리
사이버 보안 정책 및 법률 센터(CCPL)의 보도자료에 따르면, 하드웨어 및 소프트웨어 벤더는 제품과 서비스를 최대한 안전하고 강력하게 만들기 위해 시간과 노력을 들인다. 하지만 조직에서는 강력한 패치 및 취약점 관리 프로그램을 제대로 마련하지 않거나 주요 업데이트를 제때 설치하지 않는 경우가 흔하다. CCPL은 보안 위협 관리 관행과 정책을 정부, 민간 기업, 시민 사회에 제공하는 독립 기관이다.

효과적인 패치 및 취약점 관리는 많은 조직이 직면한 과제다. 데브섹옵스(DevSecOps)의 취약점 관리 현황 보고서에 따르면, IT 및 IT 보안 실무자 634명 중 47%가 조직의 애플리케이션 백로그에 취약점이 있다고 응답했다. 그중 절반 이상이 백로그에 10만 개 이상 취약점이 있다고 답했다. 전체 백로그의 평균 취약점 수는 110만 개에 달했다. 백로그 취약점 중 절반 이하만 패치할 수 있었다고 답한 응답자는 54%였다. 대부분 응답자(78%)는 자사 환경에서 고위험 취약점을 패치하는 데 3주 이상 걸린다고 답했다. 그중 가장 많은 비율(29%)이 패치 적용에 5주 이상 걸린다고 답했다.

팀이 문제를 해결하지 못하는 요인으로는 ‘수정해야 할 우선순위를 정하지 못해서(47%)’, ‘적절한 도구가 없어서(43%)’, ‘리소스가 부족해서(38%)’, ‘취약점을 악용할 위험에 대한 정보가 충분하지 않아서(45%)’ 등이 꼽혔다. ‘2023 유닛 42 네트워크 위협 동향 연구 보고서’에 따르면 2022년 취약점 악용이 전년 대비 55% 증가한 것으로 나타났다.

한편 보다 긍정적인 결과도 있다. 비트사이트(Bitsight)의 조사에 따르면 무브잇(MOVEit) 트랜스퍼 소프트웨어의 보안 취약점으로 인해 데이터 유출에 노출됐던 조직 수가 크게 감소하고 있다. 발견 초기에 영향을 받았던 조직의 최소 77%가 현재 취약한 상태를 벗어났다. 연구에 따르면 조직들은 다른 취약점에 비해 훨씬 더 빠르게(약 21배) 무브잇 취약점을 수정하고 있는 것으로 나타났다. 무브잇의 개발사인 프로그레스(Progress)는 지난 5월 31일 트랜스퍼 소프트웨어의 치명적인 취약점에 대한 주의 경고를 발표했다. 6월 9일과 15일에 각각 취약점 CVE-2023-35036과 CVE-2023-35708이 추가로 발견됐으며, 7월 5일에는 CVE-2023-36932, CVE-2023-36933, CVE-2023-36934 취약점 3개가 추가 보고됐다.

기술 기업은 부실한 패치와 취약점 관리 문제를 해결해야 한다
CCPL은 기술 기업이 소프트웨어와 하드웨어의 업데이트 및 패치가 실행되지 않는 지속적인 문제를 해결하는 동시에, 조직이 사이버 위험을 완화할 수 있도록 네트워크 가시성을 높이는 방법을 찾아야 한다고 말했다. 이와 함께 네트워크 연합이 이러한 문제의 핵심에 대한 조사 및 보고서 제작에 협력하고, 명확하고 실행 가능한 네트워크 보안 개선 권고안을 마련해 기술 제공업체, 기술 사용자, 보안 정책 수립 및 규제 기관에 제공할 방침이라고 밝혔다.

CCPL의 코디네이터인 아리 슈워츠는 "네트워크 회복탄력성은 우리 경제 및 상호 연결된 세계가 건강을 유지하는 데 필수다. 모두가 협력해 더 큰 생태계의 보안을 개선할 방법에 집중할 필요가 있다”라며 “중요한 업데이트나 패치를 적용하지 않아 사이버 공격의 희생양이 되는 조직을 너무 자주 보게 된다”라고 말했다. ciokr@idg.co.kr
 
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.