Offcanvas

SBOM

CIO의 새로운 보안 미션, ‘소프트웨어 공급망’을 지켜라

오픈소스가 기업에서 인기 있는 이유 중 하나는 정교한 애플리케이션 및 서비스의 개발 속도를 높이는 검증된 구성 요소를 제공하기 때문이다. 하지만 서드파티 소프트웨어 구성 요소, 패키지, 컨테이너의 편리함은 위험도 수반한다. 구축하는 애플리케이션의 보안이 이러한 종속성에 달려 있어서다.  소프트웨어 공급망 공격은 가트너가 이를 2022년에 두 번째로 큰 위협이라고 꼽을 만큼 광범위해지고 있다. 가트너에 따르면 2025년까지 전 세계 기업의 45%가 소프트웨어 공급망 공격을 한 번 이상 겪게 되리라 예측됐으며, CIO의 82%는 (소속 기업이) 이러한 공격에 취약할 것이라고 말했다. 여기에는 널리 사용되고 있는 소프트웨어 구성 요소의 취약점(예: 로그4j 등)을 통한 공격, 빌드 파이프라인 공격(예: 솔라윈즈(SolarWinds), 카세야(Kaseya), 코드코브(Codecov) 해킹 등), 패키지 저장소 해킹 등이 포함된다. 사이코드(Cycode)의 CEO 라이어 레비는 “공격자의 우선순위가 프로덕션 환경에서 소프트웨어 공급망으로 바뀌었다. 소프트웨어 공급망이 가장 취약한 고리이기 때문”이라며, “소프트웨어 공급망이 비교적 쉬운 표적으로 남아 있는 한 소프트웨어 공급망 공격은 증가할 것”이라고 전했다.   아쿠아 시큐리티(Aqua Security)의 전략 부문 수석 부사장 라니 오스냇은 “최근 세간의 이목을 끈 사건들이 소프트웨어 개발 업계에 경종을 울렸다. (업계는) 수십 년의 불투명성과 투명성의 부재를 발견했다”라고 언급했다.  오픈소스 코드를 사용하는 코드베이스를 조사한 결과 취약점 그리고 구식 또는 방치된 구성 요소가 흔했다. 코드베이스의 81%는 1개 이상의 취약점이, 50%는 1개 이상의 고위험 취약점이 있었고, 88%는 최신 버전이 아니거나 2년 동안 새로 개발되지 않은 구성 요소를 사용했다. 하지만 이러한 문제 때문에 오픈소스의 인기에 흠집이 날 가능성은 작으며, (무엇보다) 상용 소프트웨어와 서비스도 취약하긴...

소프트웨어 공급망 소프트웨어 공급망 보안 CIO CISO 오픈소스 컨테이너 종속성 로그4j 솔라윈즈 카세야 코드코드 라스트패스 트윌리오 섀도우 코드 SBOM

2022.11.07

오픈소스가 기업에서 인기 있는 이유 중 하나는 정교한 애플리케이션 및 서비스의 개발 속도를 높이는 검증된 구성 요소를 제공하기 때문이다. 하지만 서드파티 소프트웨어 구성 요소, 패키지, 컨테이너의 편리함은 위험도 수반한다. 구축하는 애플리케이션의 보안이 이러한 종속성에 달려 있어서다.  소프트웨어 공급망 공격은 가트너가 이를 2022년에 두 번째로 큰 위협이라고 꼽을 만큼 광범위해지고 있다. 가트너에 따르면 2025년까지 전 세계 기업의 45%가 소프트웨어 공급망 공격을 한 번 이상 겪게 되리라 예측됐으며, CIO의 82%는 (소속 기업이) 이러한 공격에 취약할 것이라고 말했다. 여기에는 널리 사용되고 있는 소프트웨어 구성 요소의 취약점(예: 로그4j 등)을 통한 공격, 빌드 파이프라인 공격(예: 솔라윈즈(SolarWinds), 카세야(Kaseya), 코드코브(Codecov) 해킹 등), 패키지 저장소 해킹 등이 포함된다. 사이코드(Cycode)의 CEO 라이어 레비는 “공격자의 우선순위가 프로덕션 환경에서 소프트웨어 공급망으로 바뀌었다. 소프트웨어 공급망이 가장 취약한 고리이기 때문”이라며, “소프트웨어 공급망이 비교적 쉬운 표적으로 남아 있는 한 소프트웨어 공급망 공격은 증가할 것”이라고 전했다.   아쿠아 시큐리티(Aqua Security)의 전략 부문 수석 부사장 라니 오스냇은 “최근 세간의 이목을 끈 사건들이 소프트웨어 개발 업계에 경종을 울렸다. (업계는) 수십 년의 불투명성과 투명성의 부재를 발견했다”라고 언급했다.  오픈소스 코드를 사용하는 코드베이스를 조사한 결과 취약점 그리고 구식 또는 방치된 구성 요소가 흔했다. 코드베이스의 81%는 1개 이상의 취약점이, 50%는 1개 이상의 고위험 취약점이 있었고, 88%는 최신 버전이 아니거나 2년 동안 새로 개발되지 않은 구성 요소를 사용했다. 하지만 이러한 문제 때문에 오픈소스의 인기에 흠집이 날 가능성은 작으며, (무엇보다) 상용 소프트웨어와 서비스도 취약하긴...

2022.11.07

블로그ㅣSW 공급망 보안, ‘SBOM’만으론 부족하다

솔라윈즈(SolarWinds) 해킹 여파로 ‘공급망 보안’이 산업과 관계없이 모든 기업에서 중요한 문제로 떠올랐다.  이에 美 사이버 보안 및 인프라 보안국(CISA)은 정보통신기술(ICT) 공급망 위험 관리 태스크포스를 구성하기도 했다. 공급망 보안을 강화하는 실행 가능한 전략 개발을 목표로 공공 및 민간 기관을 통합하려는 조치다.    코얼파이어(Coalfire)의 최신 소프트웨어 공급망 위험 보고서는 “소프트웨어 공급망 및 제품 개발 라이프사이클 내에서의 위험 관리가 기존에 물리적 재고 및 장비 공급 라인의 보호만큼 중요해졌다”라고 밝혔다. 아울러 해당 보고서에서 인용된 코얼파이어와 사이버리스크 얼라이언스(CyberRisk Alliance)가 공동으로 실시한 설문조사에서는 관리자의 52%가 공격에 노출된 소프트웨어를 우려하고 있는 것으로 나타났다.  한편 CISA는 소프트웨어 공급망 공격 방어 지침을 발표했다. 여기에는 기업 및 소프트웨어 공급업체가 위험을 최소화할 수 있는 권장 사항도 포함돼 있다. 6가지 벡터는 다음과 같다.  1. 설계 2. 개발 및 생산 3. 유통 4. 획득 및 배포 5. 유지보수 6. 폐기(IT 자산 처분(ITAD)) SBOM만으로는 ‘너무나 부족’하다 코얼파이어의 제품 전략 부문 부사장 댄 코넬은 하나의 방식이 모든 경우에 다 적용될 순 없다면서, 기업마다 위험을 평가하고 이해하는 방식이 다르다고 말했다. 그는 기존 보안 관리에 서비스 수준 계약(SLA), 측정 가능한 결과 등이 어떻게 포함됐는지 언급하면서, “소프트웨어 제작 회사가 ‘SBOM만 사용하는 것’은 최소한의 접근 방식이며, 이는 너무나도 부족하다”라고 지적했다.  이어 그는 “진정한 공급망 가시성은 SBOM만으론 제공되지 않는다. SBOM을 넘어서 투명성을 확보해야 하지만 업계가 그런 욕구를 가지고 있는지는 모르겠다”라고 덧붙였다.  소프트웨어 구매를 지연시키는 위험 가시성 부족 코넬은 (...

소프트웨어 공급망 보안 솔라윈즈 해킹 공급망 보안 SBOM 위험 관리 애플리케이션 보안

2022.08.26

솔라윈즈(SolarWinds) 해킹 여파로 ‘공급망 보안’이 산업과 관계없이 모든 기업에서 중요한 문제로 떠올랐다.  이에 美 사이버 보안 및 인프라 보안국(CISA)은 정보통신기술(ICT) 공급망 위험 관리 태스크포스를 구성하기도 했다. 공급망 보안을 강화하는 실행 가능한 전략 개발을 목표로 공공 및 민간 기관을 통합하려는 조치다.    코얼파이어(Coalfire)의 최신 소프트웨어 공급망 위험 보고서는 “소프트웨어 공급망 및 제품 개발 라이프사이클 내에서의 위험 관리가 기존에 물리적 재고 및 장비 공급 라인의 보호만큼 중요해졌다”라고 밝혔다. 아울러 해당 보고서에서 인용된 코얼파이어와 사이버리스크 얼라이언스(CyberRisk Alliance)가 공동으로 실시한 설문조사에서는 관리자의 52%가 공격에 노출된 소프트웨어를 우려하고 있는 것으로 나타났다.  한편 CISA는 소프트웨어 공급망 공격 방어 지침을 발표했다. 여기에는 기업 및 소프트웨어 공급업체가 위험을 최소화할 수 있는 권장 사항도 포함돼 있다. 6가지 벡터는 다음과 같다.  1. 설계 2. 개발 및 생산 3. 유통 4. 획득 및 배포 5. 유지보수 6. 폐기(IT 자산 처분(ITAD)) SBOM만으로는 ‘너무나 부족’하다 코얼파이어의 제품 전략 부문 부사장 댄 코넬은 하나의 방식이 모든 경우에 다 적용될 순 없다면서, 기업마다 위험을 평가하고 이해하는 방식이 다르다고 말했다. 그는 기존 보안 관리에 서비스 수준 계약(SLA), 측정 가능한 결과 등이 어떻게 포함됐는지 언급하면서, “소프트웨어 제작 회사가 ‘SBOM만 사용하는 것’은 최소한의 접근 방식이며, 이는 너무나도 부족하다”라고 지적했다.  이어 그는 “진정한 공급망 가시성은 SBOM만으론 제공되지 않는다. SBOM을 넘어서 투명성을 확보해야 하지만 업계가 그런 욕구를 가지고 있는지는 모르겠다”라고 덧붙였다.  소프트웨어 구매를 지연시키는 위험 가시성 부족 코넬은 (...

2022.08.26

'SBOM 포맷 따라잡기' SPDX와 사이클론DX의 비교

소프트웨어 자재 명세서(Software Bill of Material, SBOM)는 취약점 관리에서 점차 중요한 역할을 담당하고 있다. 그럼에도 불구하고 아직까지 많은 기업이 SBOM 포맷 간 차이점 같은 기본적인 주제를 이해하려 애쓰고 있다.   SBOM 포맷이란 무엇인가? SBOM 포맷은 SBOM을 생성하기 위한 통합 구조를 정의하고 최종 사용자 또는 고객과 공유하기 위한 표준이며, 소프트웨어의 구성을 다른 툴이 이해할 수 있도록 공통의 형식으로 설명한다. 주요 SBOM 포맷은 SPDX(Software Package Data Exchange), SWID 태그(Software Identification Tags), 사이클론DX(CycloneDX)가 대표적이다. 이중 SPDX와 사이클론DX만이 보안 사용례로 채택되고 있다. SWID는 주로 라이선스에 중점을 두고 있기 때문에 이번 논의 대상에서 제외된다. 미국 사이버보안 및 인프라 보안국(Cybersecurity and Infrastructure Security Agency, CISA)과 기타 기관이 언급한 것처럼 당분간 업계에는 여러 가지 SBOM 포맷이 혼재할 것이다.  SPDX 리눅스 재단에서 운영하는 프로젝트인 SPDX는 공유 및 수집을 위한 소프트웨어 패키지와 관련된 정보에 대해 공통 데이터 교환 포맷을 만드는 것이 목적이었다. SPDX는 주요 SBOM 포맷 중에서 가장 많은 파일 형식을 지원한다. RDFa, .xlsx, .spdx, .xml, .json, .yaml.가 포함된다. 또한 SPDX는 일련의 소프트웨어 패키지, 파일 또는 스니펫(Snippet)을 설명함으로써 동적 사양이 되는 것을 목표로 하고 있다. SPDX는 국제 표준화 기구(ISO)의 인증 자격을 취득한 유일한 SBOM 포맷이다. ISO에서 정의한 표준화 및 품질 보증 요건을 모두 충족함을 의미한다. 2021년 9월에 발표된 ISO 인증 소식과 함께 리눅스 재단은 SPDX 커뮤니티에 속하는 인텔, 마이크로...

SBOM SPDX 사이클론DX

2022.08.17

소프트웨어 자재 명세서(Software Bill of Material, SBOM)는 취약점 관리에서 점차 중요한 역할을 담당하고 있다. 그럼에도 불구하고 아직까지 많은 기업이 SBOM 포맷 간 차이점 같은 기본적인 주제를 이해하려 애쓰고 있다.   SBOM 포맷이란 무엇인가? SBOM 포맷은 SBOM을 생성하기 위한 통합 구조를 정의하고 최종 사용자 또는 고객과 공유하기 위한 표준이며, 소프트웨어의 구성을 다른 툴이 이해할 수 있도록 공통의 형식으로 설명한다. 주요 SBOM 포맷은 SPDX(Software Package Data Exchange), SWID 태그(Software Identification Tags), 사이클론DX(CycloneDX)가 대표적이다. 이중 SPDX와 사이클론DX만이 보안 사용례로 채택되고 있다. SWID는 주로 라이선스에 중점을 두고 있기 때문에 이번 논의 대상에서 제외된다. 미국 사이버보안 및 인프라 보안국(Cybersecurity and Infrastructure Security Agency, CISA)과 기타 기관이 언급한 것처럼 당분간 업계에는 여러 가지 SBOM 포맷이 혼재할 것이다.  SPDX 리눅스 재단에서 운영하는 프로젝트인 SPDX는 공유 및 수집을 위한 소프트웨어 패키지와 관련된 정보에 대해 공통 데이터 교환 포맷을 만드는 것이 목적이었다. SPDX는 주요 SBOM 포맷 중에서 가장 많은 파일 형식을 지원한다. RDFa, .xlsx, .spdx, .xml, .json, .yaml.가 포함된다. 또한 SPDX는 일련의 소프트웨어 패키지, 파일 또는 스니펫(Snippet)을 설명함으로써 동적 사양이 되는 것을 목표로 하고 있다. SPDX는 국제 표준화 기구(ISO)의 인증 자격을 취득한 유일한 SBOM 포맷이다. ISO에서 정의한 표준화 및 품질 보증 요건을 모두 충족함을 의미한다. 2021년 9월에 발표된 ISO 인증 소식과 함께 리눅스 재단은 SPDX 커뮤니티에 속하는 인텔, 마이크로...

2022.08.17

마이크로소프트의 오픈소스 SBOM 생성기 살펴보기

솔라윈즈(SolarWinds) 해킹 사건 이후, 기업은 CI/CD를 도입하는 과정에서 확인해야 할 것이 많아졌다. 사용자에게 배포하는 소프트웨어를 의도한 대로 구축하려면 어떻게 해야 하는가? 코드의 의존성이 모두 원하는 형태로 나타났는가? 서드파티 모듈을 사용하면 기대한 결과를 얻을 수 있는가? 같은 질문을 던져야 하는 것이다.    겹겹이 쌓인 코드와 의존성으로 시스템은 점점 복잡해지고 있다. 거기다 현대 시대의 개발자는 공개된 소스코드를 활용한다. 남이 만든 코드이지만 사람들은 그 소스코드를 있는 그대로 신뢰한다. 하이퍼텍스트라는 용어를 고안한 걸로 유명한 옥스포드대 교수 테드 넬슨의 표현처럼, 모든 기술이 이제 서로 심층적으로 얽히고설켜 있는 것이다. 이때 소스코드의 신뢰를 확인하기 위한 방안으로 SBOM이 떠오르고 있다.    SBOM이 필요한 이유 솔라윈즈 해킹 사건이 일어난 후 미국 행정부는 국가 사이버 보안을 높이겠다는 행정명령을 따로 발표하고 미 국립 표준기술연구소(National Institute of Standards and Technology)에게 관련 지침을 개발 및 배포하라고 지시했다. 해당 지침은 소프트웨어 공급망, 모듈 네트워크, 코드 개발에 사용되는 구성요소의 보안을 강화하는 방안을 골자로 하고 있으며, 현재 외부에 공개된 상태다. 이 문서는 기업에게 코드와 함께 소프트웨어 명세서(Software Bill of Material, SBOM)를 함께 제시하라고 요청하고 있다.  사실 SBOM은 새로운 것이 아니다. 마이크로소프트를 포함한 많은 기업이 기술 상세 정보를 사용자에게 제공하고 있었다. 대신 표준화된 문서는 없었으며, 기업마다 그 구조가 다 달랐고, 기계가 판독할 수 없는 형태이기도 했다. 그래서 마이크로소프트는 SBOM 스키마 표준을 개발하기 CISQ(Consortium for Information and Software Quality)라는 그룹과 협력했다. 미 정부가 SBO...

SBOM 오픈소스

2022.08.02

솔라윈즈(SolarWinds) 해킹 사건 이후, 기업은 CI/CD를 도입하는 과정에서 확인해야 할 것이 많아졌다. 사용자에게 배포하는 소프트웨어를 의도한 대로 구축하려면 어떻게 해야 하는가? 코드의 의존성이 모두 원하는 형태로 나타났는가? 서드파티 모듈을 사용하면 기대한 결과를 얻을 수 있는가? 같은 질문을 던져야 하는 것이다.    겹겹이 쌓인 코드와 의존성으로 시스템은 점점 복잡해지고 있다. 거기다 현대 시대의 개발자는 공개된 소스코드를 활용한다. 남이 만든 코드이지만 사람들은 그 소스코드를 있는 그대로 신뢰한다. 하이퍼텍스트라는 용어를 고안한 걸로 유명한 옥스포드대 교수 테드 넬슨의 표현처럼, 모든 기술이 이제 서로 심층적으로 얽히고설켜 있는 것이다. 이때 소스코드의 신뢰를 확인하기 위한 방안으로 SBOM이 떠오르고 있다.    SBOM이 필요한 이유 솔라윈즈 해킹 사건이 일어난 후 미국 행정부는 국가 사이버 보안을 높이겠다는 행정명령을 따로 발표하고 미 국립 표준기술연구소(National Institute of Standards and Technology)에게 관련 지침을 개발 및 배포하라고 지시했다. 해당 지침은 소프트웨어 공급망, 모듈 네트워크, 코드 개발에 사용되는 구성요소의 보안을 강화하는 방안을 골자로 하고 있으며, 현재 외부에 공개된 상태다. 이 문서는 기업에게 코드와 함께 소프트웨어 명세서(Software Bill of Material, SBOM)를 함께 제시하라고 요청하고 있다.  사실 SBOM은 새로운 것이 아니다. 마이크로소프트를 포함한 많은 기업이 기술 상세 정보를 사용자에게 제공하고 있었다. 대신 표준화된 문서는 없었으며, 기업마다 그 구조가 다 달랐고, 기계가 판독할 수 없는 형태이기도 했다. 그래서 마이크로소프트는 SBOM 스키마 표준을 개발하기 CISQ(Consortium for Information and Software Quality)라는 그룹과 협력했다. 미 정부가 SBO...

2022.08.02

“오픈소스가 국가안보를 위협할 수 있다” 베라코드 CTO

美 애플리케이션 보안 전문 기업 베라코드(Veracode)의 CTO와 함께 로그4j 취약점의 여파, 오픈소스 보안 문제 인식을 높이는 방법 등을 살펴본다.  지난 2021년 12월 초 수백만 개의 애플리케이션에서 사용되는 오픈소스 자바 구성요소 ‘로그4j’에서 일련의 취약점이 발견되면서 전 세계의 기업 보안팀은 비상 경계 태세에 돌입해야 했다.    이는 미국 사이버 보안 및 인프라 보안국(CISA; Cybersecurity and Infrastructure Security Agency)을 비롯해 다른 국가의 CERT(Computer Emergency Response Team)에서도 경고했을 만큼 큰 사건이었으며, 아울러 보안 및 오픈소스 소프트웨어 생태계, 개발자가 오픈소스 구성요소를 사용하고 추적하는 방법에 관한 새로운 논의를 촉발했다.  여기서는 베라코드의 설립자 겸 CTO이자 애플리케이션 보안 및 취약점 분야에서 20년 이상의 경력을 갖춘 보안 업계 베테랑인 크리스 위소팔과 ‘로그4j 취약점의 여파와 오픈소스 보안의 미래’를 주제로 나눈 대화를 정리했다. ‘로그4j’의 중요성과 여파 “로그4j는 ‘광범위하게 사용돼 거의 모든 서버에 영향을 미칠 수 있다는 점에서’ 개발팀이 일상적으로 다루는 것과는 확실히 다른 유형의 취약점이었다. 이는 거의 모든 기업에 영향을 미쳤고, 모든 기업의 여러 개발팀, 즉 회사를 위해 새로운 일을 하는 팀과 1년에 한 번 정도 코드를 변경하는 유지관리 모드에 있는 팀을 강타했다.”  “베라코드는 SaaS 업체이기 때문에 모든 고객을 살펴볼 수 있다. 작년에 스캔한 수십만 개의 애플리케이션 중에서, 특히 기업 고객을 관심 있게 살펴봤다. 95%의 기업 고객이 자바를 쓰고 있었다. 이는 자바가 얼마나 인기 있는지를 보여준다. 만약 자바에 이와 같은 취약점이 또 있다면 그 역시 널리 퍼질 것이다.” “아울러 88%는 로그4j를 사용하고, 58%는 취약한 버전을 쓴다고 답했다....

오픈소스 로그4j 보안 취약점 베라코드 오픈소스 보안 자바 SBOM

2022.05.26

美 애플리케이션 보안 전문 기업 베라코드(Veracode)의 CTO와 함께 로그4j 취약점의 여파, 오픈소스 보안 문제 인식을 높이는 방법 등을 살펴본다.  지난 2021년 12월 초 수백만 개의 애플리케이션에서 사용되는 오픈소스 자바 구성요소 ‘로그4j’에서 일련의 취약점이 발견되면서 전 세계의 기업 보안팀은 비상 경계 태세에 돌입해야 했다.    이는 미국 사이버 보안 및 인프라 보안국(CISA; Cybersecurity and Infrastructure Security Agency)을 비롯해 다른 국가의 CERT(Computer Emergency Response Team)에서도 경고했을 만큼 큰 사건이었으며, 아울러 보안 및 오픈소스 소프트웨어 생태계, 개발자가 오픈소스 구성요소를 사용하고 추적하는 방법에 관한 새로운 논의를 촉발했다.  여기서는 베라코드의 설립자 겸 CTO이자 애플리케이션 보안 및 취약점 분야에서 20년 이상의 경력을 갖춘 보안 업계 베테랑인 크리스 위소팔과 ‘로그4j 취약점의 여파와 오픈소스 보안의 미래’를 주제로 나눈 대화를 정리했다. ‘로그4j’의 중요성과 여파 “로그4j는 ‘광범위하게 사용돼 거의 모든 서버에 영향을 미칠 수 있다는 점에서’ 개발팀이 일상적으로 다루는 것과는 확실히 다른 유형의 취약점이었다. 이는 거의 모든 기업에 영향을 미쳤고, 모든 기업의 여러 개발팀, 즉 회사를 위해 새로운 일을 하는 팀과 1년에 한 번 정도 코드를 변경하는 유지관리 모드에 있는 팀을 강타했다.”  “베라코드는 SaaS 업체이기 때문에 모든 고객을 살펴볼 수 있다. 작년에 스캔한 수십만 개의 애플리케이션 중에서, 특히 기업 고객을 관심 있게 살펴봤다. 95%의 기업 고객이 자바를 쓰고 있었다. 이는 자바가 얼마나 인기 있는지를 보여준다. 만약 자바에 이와 같은 취약점이 또 있다면 그 역시 널리 퍼질 것이다.” “아울러 88%는 로그4j를 사용하고, 58%는 취약한 버전을 쓴다고 답했다....

2022.05.26

소프트웨어 공급망 공격 증가, 'SBOM이 필수 대응책'

앵코어(Anchore)의 최근 연구에 따르면, 작년 기업 5곳 중 3곳 이상이 소프트웨어 공급망 공격의 표적이 됐다. IT와 보안, 개발, 데브옵스 부문에 종사하는 경영진과 팀장, 관리자 428명을 대상으로 설문조사를 실시했다. 이들 중 약 3분의 1, 즉 30%가 작년에 상당한, 혹은 중간 규모의 소프트웨어 공급망 공격을 받았다고 답했다. 자사 소프트웨어 공급망에 큰 타격이 없었다고 답한 비율은 겨우 6%에 불과했다. 연구원은 작년 12월 3일부터 12월 30일까지 이 조사를 실시했으며, 아파치 로그4 유틸리티에서 발견된 취약점을 공격 범주에 포함했다. 로그4j는 작년 12월 9일에 등장했으며, 응답자의 55%가이전에도 소프트웨어 공급망 공격을 받은 적이 있다고 밝혔다. 그 수치는 로그4j가 나온 이후 65%로 급격히 올랐다. 앵코어 수석 부사장인 킴 웨인스는 “로그4j가 나오기 전에 공급망 공격을 한 번도 경험하지 않은 사용자도 있는 반면, 그 전부터 공격을 받았고 로그4j가 출시된 후 더욱 막대한 피해를 입은 사용자도 있다”라고 설명했다.   소프트웨어 공급망 공격에 심각한 타격을 받는 IT 업체 또한, 이번 조사에서 소프트웨어 공급망 공격을 경험한 IT 업체의 비율은 15%이며 타 산업군의 경우 3%인 것으로 나타났다. IT 업체가 다른 업계에 비해 소프트웨어 공급망 공격의 영향을 훨씬 더 크게 받는다는 것을 알 수 있었다. 웨인스는 “공격자가 침투한 소프트웨어가 수천 명의 사용자에게 배포되면 수천 곳의 각 다른 기업에 공격을 위한 기반이 형성된다”라고 경고했다. 많은 기업이 공급망 보안에도 중점을 두는 것으로 나타났다. 응답자 중 54%는 공급망 보안을 최상위, 혹은 상당히 중요한 분야로 꼽았다. 오랜 컨테이너 사용자일수록 공급망 보안에 대한 관심도는 훨씬 더 높았으며, 이들의 70%가 공급망 보안을 최우선순위로 고려해야 한다고 답했다. 웨인스는 “주의를 기울여야 할 의존성의 수는 컨테이너와 클라우드 기반 배포와 함께 증가한다...

소프트웨어공급망공격 SBOM

2022.02.16

앵코어(Anchore)의 최근 연구에 따르면, 작년 기업 5곳 중 3곳 이상이 소프트웨어 공급망 공격의 표적이 됐다. IT와 보안, 개발, 데브옵스 부문에 종사하는 경영진과 팀장, 관리자 428명을 대상으로 설문조사를 실시했다. 이들 중 약 3분의 1, 즉 30%가 작년에 상당한, 혹은 중간 규모의 소프트웨어 공급망 공격을 받았다고 답했다. 자사 소프트웨어 공급망에 큰 타격이 없었다고 답한 비율은 겨우 6%에 불과했다. 연구원은 작년 12월 3일부터 12월 30일까지 이 조사를 실시했으며, 아파치 로그4 유틸리티에서 발견된 취약점을 공격 범주에 포함했다. 로그4j는 작년 12월 9일에 등장했으며, 응답자의 55%가이전에도 소프트웨어 공급망 공격을 받은 적이 있다고 밝혔다. 그 수치는 로그4j가 나온 이후 65%로 급격히 올랐다. 앵코어 수석 부사장인 킴 웨인스는 “로그4j가 나오기 전에 공급망 공격을 한 번도 경험하지 않은 사용자도 있는 반면, 그 전부터 공격을 받았고 로그4j가 출시된 후 더욱 막대한 피해를 입은 사용자도 있다”라고 설명했다.   소프트웨어 공급망 공격에 심각한 타격을 받는 IT 업체 또한, 이번 조사에서 소프트웨어 공급망 공격을 경험한 IT 업체의 비율은 15%이며 타 산업군의 경우 3%인 것으로 나타났다. IT 업체가 다른 업계에 비해 소프트웨어 공급망 공격의 영향을 훨씬 더 크게 받는다는 것을 알 수 있었다. 웨인스는 “공격자가 침투한 소프트웨어가 수천 명의 사용자에게 배포되면 수천 곳의 각 다른 기업에 공격을 위한 기반이 형성된다”라고 경고했다. 많은 기업이 공급망 보안에도 중점을 두는 것으로 나타났다. 응답자 중 54%는 공급망 보안을 최상위, 혹은 상당히 중요한 분야로 꼽았다. 오랜 컨테이너 사용자일수록 공급망 보안에 대한 관심도는 훨씬 더 높았으며, 이들의 70%가 공급망 보안을 최우선순위로 고려해야 한다고 답했다. 웨인스는 “주의를 기울여야 할 의존성의 수는 컨테이너와 클라우드 기반 배포와 함께 증가한다...

2022.02.16

낱낱이 SW 요소 공개하라··· 美 정부의 'SBOM 의무화'가 미칠 영향

바이든 행정부가 지난 5월 행정 명령을 통해 소프트웨어 재료명세서(SBOM)의 위상을 격상했다. 연방정부와 사업 계약을 맺은 기업이라면 SBOM 제출을 의무화하도록 한 것이다. 이를 계기로 기업들도 소프트웨어 공급사로부터 좀더 높은 투명성을 기대해볼 수 있게 될 전망이다.  SBOM은 소프트웨어 재료명세서(BOM ; Bill of Material)의 약칭이다. BOM은 제조 부문에서 유래된 개념으로, 특정 장치의 제작에 사용된 구성요소와 재료를 낱낱이 파악하는 데 중요한 역할을 한다.    가령, 기차의 엔진에 사용된 부품이 일정 수준의 진동에 적합한 등급을 못한 경우, 특정 선로를 달리기가 부적합할 수 있다. BOM은 이 같은 상황에서 진가를 발휘하며 SBOM 또한 마찬가지다. SBOM을 통해 특정 소프트웨어에 사용된 전용, 오픈소스 그리고 라이선스 요소에 만료되거나 불안정한 요소가 없는지 검토할 수 있다.  IDC의 리서치 디렉터 짐 머서는 "SBOM 같은 명세서는 '현재적인 요소'뿐만 아니라 '미래적인 요소'도 보여준다는 장점이 있다”라며 “SBOM을 통해 (소프트웨어의) 현재 구성요소를 파악할 수 있는 것은 물론, 각종 리스크를 피할 수 있다. 가령, 해묵은 오픈소스 소프트웨어를 사용 중인지 여부를 알 수 있다”라고 말했다.  표준 SBOM 포맷이 등장하면 일부  분야(네트워킹 등)에서 특히 유용할 수 있다. 기존의 지적 자산을 많이 활용하는 여러 스택이 얽혀 있는  영역이다. 최근 일어난 몇몇 악명 높은 보안 침해 사건들은 리플20(Ripple20)과 하트블리드(Heartbleed) 등 흔히 사용되는 소프트웨어 구성요소의 보안 결함에서 비롯됐다.  451 리서치의 정보보안 리서치 디렉터인 스콧 크로포드는 SPDX, 사이클론DX(CycloneDX) 및 SWID태그(SWIDtags) 등 일부 표준 데이터 포맷들이 SBOM과 같은 형식으로 정보를 표시한다고 전했다. 다만 각 ...

SBOM 소프트웨어 재료명세서 연방 정부 SPDX 사이클론DX OWASP

2021.07.29

바이든 행정부가 지난 5월 행정 명령을 통해 소프트웨어 재료명세서(SBOM)의 위상을 격상했다. 연방정부와 사업 계약을 맺은 기업이라면 SBOM 제출을 의무화하도록 한 것이다. 이를 계기로 기업들도 소프트웨어 공급사로부터 좀더 높은 투명성을 기대해볼 수 있게 될 전망이다.  SBOM은 소프트웨어 재료명세서(BOM ; Bill of Material)의 약칭이다. BOM은 제조 부문에서 유래된 개념으로, 특정 장치의 제작에 사용된 구성요소와 재료를 낱낱이 파악하는 데 중요한 역할을 한다.    가령, 기차의 엔진에 사용된 부품이 일정 수준의 진동에 적합한 등급을 못한 경우, 특정 선로를 달리기가 부적합할 수 있다. BOM은 이 같은 상황에서 진가를 발휘하며 SBOM 또한 마찬가지다. SBOM을 통해 특정 소프트웨어에 사용된 전용, 오픈소스 그리고 라이선스 요소에 만료되거나 불안정한 요소가 없는지 검토할 수 있다.  IDC의 리서치 디렉터 짐 머서는 "SBOM 같은 명세서는 '현재적인 요소'뿐만 아니라 '미래적인 요소'도 보여준다는 장점이 있다”라며 “SBOM을 통해 (소프트웨어의) 현재 구성요소를 파악할 수 있는 것은 물론, 각종 리스크를 피할 수 있다. 가령, 해묵은 오픈소스 소프트웨어를 사용 중인지 여부를 알 수 있다”라고 말했다.  표준 SBOM 포맷이 등장하면 일부  분야(네트워킹 등)에서 특히 유용할 수 있다. 기존의 지적 자산을 많이 활용하는 여러 스택이 얽혀 있는  영역이다. 최근 일어난 몇몇 악명 높은 보안 침해 사건들은 리플20(Ripple20)과 하트블리드(Heartbleed) 등 흔히 사용되는 소프트웨어 구성요소의 보안 결함에서 비롯됐다.  451 리서치의 정보보안 리서치 디렉터인 스콧 크로포드는 SPDX, 사이클론DX(CycloneDX) 및 SWID태그(SWIDtags) 등 일부 표준 데이터 포맷들이 SBOM과 같은 형식으로 정보를 표시한다고 전했다. 다만 각 ...

2021.07.29

IDG 설문조사

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.

10.5.0.8