Offcanvas

CSO / 보안 / 악성코드

"악성 npm 패키지, 2년 사이 100배 늘었다" 리버싱랩스 SW 공급망 보안 보고서

2022.12.06 문준현  |  CIO KR
사이버보안 업체 리버싱 랩스가 지난 5일(현지 시각) ‘2022-23년 소프트웨어 공급망 보안 현황(State of Software Supply-Chain Security 2022-23)’ 보고서를 발간했다. 2022년 소프트웨어 공급망 보안의 주요 동향을 요약하고 2023년 전망 및 대책을 제시했다. 
 
ⓒReversing Labs
 


소프트웨어 공급망 공격 급증에 기업 우려 심화 

보고서는 작년에 이어 2022년에도 소프트웨어 공급망 공격이 급격히 증가했다고 밝혔다. 오픈소스 소프트웨어 저장소가 주요 표적이었다. 리버싱랩스의 2022년 NVD(National Vulnerabiliy Datebase; 미국 국립표준기술연구소가 관리하는 취약점 데이터베이스) 분석에 따르면, npm 및 PyPI 등 주요 오픈소스 저장소를 겨냥한 공격은 지난 4년 간 289% 늘었다. 

이 중 특히 악성코드가 포함된 npm 패키지는 올해만 7,000여 개로 작년에 비해 40% 증가했다. 이는 2020년 75개와 비교하면 100배 늘어난 수치다. 악성 PyPi 패키지는 작년에 비해 60% 증가해 4,000여 개 정도였다. 

리버싱랩스가 소프트웨어 보안 위협에 대한 인식을 알아보고자 307명의 임원과 사이버보안 전문가를 대상으로 실시한 설문조사 결과, 솔라윈즈나 코드코브(CodeCov) 같이 오픈소스 저장소를 겨냥한 공격에 대한 우려가 63%로 2위를 차지했다. 앞으로 위협이 증가할 요인으로서는 거의 모두가(98%)가 서드파티 및 오폰소스 소프트웨어를 꼽았다. 이에 비해 소프트웨어 구성요소 명세서(Software Bill of Materials) 같은 보안 도구의 도입률은 저조했다고(“only a minority used them”) 보고서는 밝혔다. 

연구진은 악성 오픈소스 패키지가 여전히 소수에 불과함에도 (총 310만 개의 npm 패키지 중 악성 패키지는 0.4%였다) 하나의 악성 패키지가 큰 공급망 차질을 일으킬 수 있다며 기업이 긴장의 끈을 놓으면 안 된다고 강조했다. 
 

공격 수법 및 위험 다각화 

이어 연구진은 공급망 공격의 수가 급증했을 뿐만 아니라, 공급망 공격 수법과 위험의 종류도 다양해졌다고 설명했다. 

2022년 두드러졌던 새 공격 수법은 타이포스쿼팅(typosquatting)이다. 이는 마테리얼 테일윈드(Material Tailwind) 및 아이콘버스트(IconBurst) 공급망 공격에 사용됐던 기법으로, 많이 쓰이는 소프트웨어 패키지의 철자를 약간 바꿔 악성 패키지를 다운로드하도록 유도한다. 수동적 공격 방식이지만 그 효과가 꽤 컸다. 예컨대 아이콘버스트 공격은 개발자들이 애용하는 오픈소스 아이콘 패키지 ‘ionicons’를 본따 ‘icon-package’라는 이름의 악성 패키지 18개를 배포했다. 총 다운로드 횟수가 1만 7,000번에 달해 적지 않은 파장을 일으켰다. 

예기치 못한 공격 수법 외에도 의도치 않은 정보 유출 같은 위험 요소가 보안에 큰 영향을 미쳤다. 몇몇 조직이 퍼블릭 소스 코드에 민감한 정보를 포함하는 실수를 범했다. 올해 9월 미국 보훈부는 깃허브 퍼블릭 저장소에 관리자 권한 관련 데이터를 게재했다. 같은 달 토요타는 자사 텔레메틱스(telematics) 시스템을 관리하는 외주 웹개발사가 퍼블릭 코드 저장소에 프라이빗 데이터베이스에 액세스 키를 포함했다는 사실을 밝혔다. 
 

2023년 전망 및 대책 

리버싱랩스는 2023년 소프트웨어 공급망 보안 환경에 대한 몇 가지 전망을 밝히며 대비책을 제시했다. 연구진은 올해 깃허브나 PyPI 같은 플랫폼이 벌써 보안을 강화하기 위한 조처를 했다며 2023년에는 악성 코드 탐지, 재사용된 비밀번호 검사 등 여러 보안 기능이 추가되리라고 전망했다. 또한 소프트웨어 보안이 소프트웨어 개발이 발전하는 속도를 따라갈 수 없어 보안 자동화 솔루션이 더 널리 도입될 것으로 예측했다. 

연구진은 기업이 앞으로 보안을 소프트웨어 개발 과정의 일부로 포함시켜야 한다고 조언했다. 그 방법으로 동적/정적 애플리케이션 보안 테스트(Dynamic/Static Application) 테스팅, 소프트웨어 구성 요소 분석(Software Composition Analysis) 등을 제시했다. 이에 더해 개발팀과 보안팀의 협업을 강조했다. 연구진은 솔라윈즈 공격이나 악성 PyPi 패키지 같은 수법이 모두 횡적 이동, 데이터 탈취, 랜섬웨어를 포함한다며 데브섹옵스(DevSecOps)의 필요성을 조명했다. 특히 타이포스쿼팅 같은 공격 수법은 개발팀이 서드파티나 오픈소스 소프트웨어 대한 보안 인식이 부족하다는 점을 보여준다고 보고서는 덧붙였다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.