Offcanvas

CSO / 보안 / 클라우드

"컨테이너 이미지 취약점 87%, 알고도 손 못써" 시스디그 클라우드 보안 보고서

2023.02.02 Apurva Venkat  |  CSO
사이버보안 업체 시스디그(Sysdig)가 최근 발간한 ‘2023 클라우드 네이티브 보안 사용 현황 보고서(Sysdig 2023 Cloud-Native Security and Usage Report)’에 따르면 클라우드를 위협하는 가장 큰 위험 요소는 컨테이너 이미지 취약점과 설정 오류다. 심각한 취약점을 가진 컨테이너가 87%에 달하며, 90%의 권한이 쓰이지 않은 채 방치돼 있다. 
 
ⓒGetty Images Bank

오늘날 소프트웨어 개발 환경이 눈 코틀새 없이 바쁜 와중 소프트웨어 공급망 곳곳에서 보안이 취약하기 그지없는 것으로 나타났다. 

연구진은 시스디그 고객이 사용하는 소프트웨어 컨테이너 7백만 개를 분석했다. 그 결과 기본적인 보안 사항도 지켜지지 않고 있다는 점을 발견했다. 제로 트러스트 아키텍처의 초석과도 다름없는 최소 권한 원칙을 지키지 않는 경우가 수두룩했다. 보고서에 따르면 부여된 권한 중 90% 이상이 사용되지 않아 자격 증명 정보를 탈취하려는 잠재적 범죄자의 먹잇감이 되기 쉽다. 
 
ⓒSysdig

컨테이너 이미지의 보안은 작년에 비해 더 취약해졌다. 고위험군이나 심각한 위험군으로 분류될 정도로 취약한 컨테이너가 작년 75%에 비해 12%나 상승해 87%에 달했다. 기업이 이러한 심각함을 인지하고 있음에도 빠른 소프트웨어 출시 주기를 맞추는 데 정신이 팔려 보안에 신경 쓸 여력이 없는 것이 현실이다. 해결할 방법을 알아도 취약점은 우선순위에 밀려 뒷전으로 밀려난다. 데브옵스나 보안 엔지니어가 막상 문제를 고치고자 나서면 헤아릴 수 없을 정도로 많은 로그를 파헤쳐야 하기 때문이다.

시스디그의 리서치 엔지니어 크리스탈 모린은 “취약점 목록을 일일이 검토해 해결하는 일은 번거롭기 짝이 없다. 대다수 개발자는 애플리케이션 개발 성과로 평가받으므로 보안에 시간을 쏟기에는 기회비용이 너무 크다”라고 말했다. 
 
ⓒSysdig

런타임 패키지 중에는 자바 패키지가 가장 취약한 것으로 나타났다. 자바는 총 런타임 패키지 32만 개 중 24%에 불과하지만, 취약점의 수로 따지면 전체 중 61%를 차지했다. 이는 자바가 가장 유명한 언어이기 때문일 가능성이 크다. 유명한 만큼 더 많은 사이버 범죄자가 노리는 표적이 된다. 

모린은 “악의적인 해커든 화이트 해커든 자바의 ‘가성비(bang for the buck)’가 가장 좋다. 버그 헌터도 자바 취약점을 주로 다룬다”라고 말했다. 

시스디그는 기업이 취약점을 줄이려면 시프트 레프트, 쉴드 라이트(shift-left, shield-right) 전략을 택할 수 있다고 제안했다. 간단히 말하자면 예방과 관리 전략이다. 시프트 레프트 전략은 개발 과정을 선상에 놓고 볼 때 보안 테스팅, 품질 관리, 성능 검토를 왼쪽으로, 즉 초기 단계로 앞당기는 것을 말한다. 쉴드 라이트 전략이란 이미 구동 중인 서비스를 보호하고 모니터링하는 일을 말한다. 

연구진은 오늘날 클라우드 네이티브 환경에서는 기존 침입 탐지 시스템(IPS)이나 방화벽이 역부족이라고 강조했다. 시프트 레프트 전략을 효과적으로 운영하려면 런타임 가시성을 높여야 한다고 제시했다. 

아울러 시스디그 연구진은 설정 오류가 여전히 클라우드 보안 사고의 주범이라고 전했다. 가트너에 따르면 계정 및 권한을 잘못 관리해 생기는 사고가 2023년까지 전체 보안 사고의 75%를 차지할 전망이다. 시스템 관리자 외 사용자에게 부여된 권한 중 90일 이내 실제로 사용된 권한은 10%에 불과했다.  

보고서에 따르면 이는 기업이 클라우드 이전을 서두르면서 더 많은 직원을 채용해 발생한 부작용이다. 자동화된 스크립트 같은 비인간(non-human) 주체가 클라우드 권한에서 차지하는 비율은 작년 88%에서 58%로 줄었으며, 90일 이내 사용된 비율은 무려 98%에 달했다. 

모린은 “직원을 물론이고 자동화 스크립트 같은 요소 모두에 최소 권한 원칙을 적용해야 한다”라고 말했다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.