소프트웨어공급망은공산품의공급망과비슷한 면이 많습니다. 우선 둘다 최근 많은 어려움을 겪고 있다는 공통점이 있죠.
이대 공산품의 어려움은 팬데믹 현상과 원자재쇼크가 원인이었던 반면에 소프트웨어의 경우 최근몇년간수백또는수천명의피해자를동시에노리는 해킹 공격이 바로 그 어려움의 원인이었습니다. 실제로 2020년부터소프트웨어공급망으로 인한 많은 보안 사고들이발생하고 있습니다.
오늘은 소프트웨어 개발사이클에서의 일반적인 취약점인“개인식별정보또는기밀 사항”에 대해살펴봄으로써소프트웨어공급망의메커니즘과위험에대해자세히알아보겠습니다. 또한이러한 공격에 대해 조직적, 국가적에서 어떻게 대응하고 있는지 살펴보겠습니다.
IT 개발 사이클의 핵심인 공급망
공급망이란?
오늘날소프트웨어를 100% 자체 개발하는경우는 거의 없습니다. 오픈소스라이브러리, 개발자도구, 온프레미스또는클라우드기반배포시스템, SaaS(Software -as-a- Service) 서비스등이러한요소들은 최신소프트웨어개발에서필수가되었습니다.
이러한각각의요소들은그자체로긴공급망의산물이기 때문에 공급망이란하드웨어에서개발자가작성한소스코드, 타사도구및플랫폼과 소프트웨어를개발, 테스트및배포하기위해마련된데이터스토리지및모든인프라에이르기까지 IT의모든측면을 포괄하는 개념이 되는 것이죠.
따라서 공급망은기업이디지털트렌스포메이션의엔진이라고 할 수 있는고도로유연한소프트웨어공장을구현할수있게해주는계층구조라고도 할 수 있습니다.
소프트웨어 공급망 (Supply Chain) IMG source: cycode
최근 오픈소스구성요소및라이브러리가 대량으로재사용되고 있습니다. 그 결과 보다 더 빨리 개발사이클과고객기대에따라기능을제공할 수 있게 되었는데요. 이러한 장점이 있는 반면 단점도 있습니다. 바로 제품에들어가는코드의출처에대한통제력을상실할 수 있다는 것입니다.통제할 수 없는 요소들에 의존하는 것은 결국 소프트웨어 자체 뿐아니라 이를 사용하는 기업과 고객을 위험에노출시킬 수 있기 때문입니다. 이것은분명히중요한사이버보안문제이며공급망이매년점점더복잡해짐에따라그 심각성 또한 커지고 있습니다.
약한링크의위험
해커에게소프트웨어공급망은여러가지이유로흥미로운대상이됩니다.소프트웨어를 구성하는 요소의수가 많고 복잡하기 때문에공격표면이매우크기 때문입니다. 또한 애플리케이션보안은내부빌드서버와 CI/CD 파이프라인을효과적으로보호하기위한가시성 및 툴이 부족한 경우가 많기 때문입니다.
공격 표면 (Attack Surface) IMG source: JupiterOne
또한오늘날개발체인이지속적으로발전하고새로운툴들을도입하고있다는 것을이해하는것이중요합니다. 이것은DevOps의 특징을 정의하는 중요한 요소입니다.
DevOps(데브옵스): 소프트웨어 개발(Development)와 운영(Operation)의 합성어로서, 소프트웨어 개발자와 정보기술 전문가 간의 소통, 협업 및 통합을 강조하는 개발 환경이나 문화를 말한다. 또한 개발과 운영 사이의 경계를 모호하게 하여 개발자가 고객에게 가능한 한 빨리 기능을 제공할 수 있도록 하는 것을 말한다.
이때 적절한 관리 시스템 없이 이러한 DevOps 환경이구현되거나같은부서내에서도팀마다매우다른 방식으로 개발 사이클이 운영된다면 어떻게 될까요? 서로다른개발 도구, 라이브러리및플랫폼으로인해효과적인보안관리의초석이되는정확한인벤토리를생성하기가매우어려워지게 될 것입니다.
해커는공급망을악용하여공격의영향을최대화하여결과적으로수익을극대화하는방법을찾습니다. 이를이해하려면소프트웨어개발 기업의공급망의제품과서비스가다른공급망의한 요소가 될 수 있음을충분히 고려해야합니다. 공급망의 한링크에성공적으로침투한공격자는전체사용자기반에 침투할수있으며, 이는최악의결과를초래할수있습니다.
공급망 공격의 증가
2020년을 발칵 뒤집었던 SolarWinds 공격에 대해 살펴보겠습니다. 2020년 3월에서 6월사이에다수의미국정부기관을포함하여약 18,000명의 SolarWinds Orion 플랫폼고객이 자신도 모른채 악성코드가 포함된 업데이트를다운로드했습니다. 그 결과거의 100개개체의시스템및사설네트워크에대한무단백도어액세스권한을 해커에게 부여하게 되었습니다. SolarWinds는 2020년 12월까지위반사항을발견하지못했고 그 결과 전 세계적인 사이버보안 사고가 터졌습니다. 바로 이 엄청난 보안 사고의 원인이 소프트웨어 공급망이었습니다.
SolarWinds 공급망 공격 IMG Source: CYBERARK
솔라윈즈의 사례 뿐 아니라 전 세계적으로 공급망 공격이 크게 증가하고 있습니다.
l 오픈 소스를 전파 매개체로 사용하여 공급망에 도달하는 공격의 수가 2020년에서 2021년 사이에 650% 증가했습니다 l ENISA(European Cybersecurity Agency)는 공급망 공격이 2022년까지 4배 증가할 것으로 예측됩니다
소프트웨어 공급망을 보호하기 위해서는 오픈소스구성요소의사용목록을작성하거나, 무결성을확인하거나, 민감한정보의유출을방지하는시스템 도입 등의 많은 방법들이 있지만 오늘은한걸음물러서서공급망 공격의 핵심보안요소를자세히살펴보겠습니다.
공급망의 열쇠: 기밀
암호화되지않은크리덴셜(credential)을확보하는것은해커가공급자에서고객에이르기까지공급망을포착하여공격할수있는완벽한방법일 것입니다.유효한 크리덴셜을사용하면공격자가인증된사용자처럼행동하기 때문에 침입후탐지가훨씬더어려워지기 때문입니다.
방어적인관점에서하드코딩된기밀은취약점이 될 수 있습니다. 소스코드는본질적으로여러시스템에자주복제되고배포되도록만들어졌기때문에매우유출되기 쉽기 때문입니다.사실, 그러나 이 코드에 더문제가되는것은코드에도 '메모리'가있다는것입니다.
오늘날모든코드리포지토리(code repository) 는버전제어시스템(VCS), 일반적으로 Git을통해관리되며때로는수십년에걸쳐코드기반의파일에적용된모든변경사항의완벽한히스토리를 반영하고 있습니다. 문제는여전히유효한기밀이해당타임라인의아무곳에나숨어서소프트웨어공격표면에새로운차원을열수있다는것입니다.
l 코드 리포지토리(Code Repository): 작업 중인 코드의 아카이브이다. 코드 자체 외에도 설명서, 메모, 웹 페이지 및 기타 항목을 저장소에 보관할 수 있다.
IMG Source: W3docs
불행하게도대부분의보안스캔은애플리케이션소스코드의현재상태, 배포된상태또는곧배포될상태를확인하는것으로범위 안에서만 이루어집니다. 즉, 오래된커밋(Commit)이나배포되지않은브랜치(branch)에숨겨진 기밀은 스캔하지 못한다는 것입니다.
l 작년 한 해에만 GitHub의 공개 리포지토리에 600 만개이상의 기밀이 공개되었습니다. 평균적으로 1,000개 중 3개의 커밋에 기밀이 포함되었습니다. 이는 전년도에 비해 50% 증가한 것입니다.
이러한많은 기밀이기업리소스에불법적인 접근을 가능하게 합니다.GitHub에서호스팅되는대부분의오픈소스프로젝트가개인리포지토리인경우에도전문개발자가회사리소스에대한액세스권한을부여하는코드를실수로공개하기가매우쉽다는것이 믿겨지시나요? 실제로 이러한 일들이 종종 발생한다고 합니다.
GitHub Codespaces IMG Source: GitHub
따라서소프트웨어공급망을공격하려는공격자는 GitHub의공개리포지토리를면밀히살펴본다고 합니다.왜냐하면 소스에존재하는기밀인결함을손쉽게 발견할수있기 때문입니다. 심지어 이러한 코드는 시스템에자신을인증할수있기 때문에 이러한 코드를 통해서 공격자는 너무나도 쉽게 중요 시스템에 접근할 수 있는 것이죠.
가능한한빨리침입위험을막기위한해결책은하나뿐입니다. 바로기밀을즉시제거하는것입니다. 그러나경험과 지식이 부족한 경우 오류를 잡기 위해기밀을지우는커밋을추가하려고 하지만 이는 보안결함을전혀 처리하지못합니다. 실제로 Git은추가, 수정 및 삭제된모든코드기록을 추적하기 때문에현실적으로과거오류의흔적을모두지우기는어렵기 때문입니다.그 결과기밀이코드의 "최종" 상태에서제거된후에도온라인에서계속 이 기밀을 포착해서 공격에 사용할 수 있다는 것이죠.
l Git(깃): 컴퓨터 파일의 변경사항을 추적하고 여러 명의 사용자들 간에 해당 파일들의 작업을 조율하기 위한 스냅샷 스트림 기반의 분산 버전 관리 시스템 또는 명령어이다.
그러나문제는여기서끝나지않습니다. 기밀이포함된파일이 "깨끗한" 파일로대체되면수동코드검토또는스캐너와같은기존보안 툴로더이상탐지가 안 됩니다. 그렇다면 이러한 오류를 더 발견하기 어렵게 되어 우리가 알지 못하는 사이 수많은 기밀들이 전파될 수 있다는 것입니다. 또한 코드가복제될때마다결함이복제되어오랫동안조용히전파될위험이있기 때문에 더욱 처리하기가 힘든 것이죠.
2022년 7월,거대암호화폐바이낸스는"10억명의중국거주자기록"을유출한것으로추정되는대규모침해에대해경고했습니다. 이 기록에는 이름, 주소, 국적, 전화번호, 의료기록이 포함되어 있었는데요,이러한 거대한 유출의 원인이 뭐였을까요? 거대한개인정보데이터베이스에연결하는기밀이포함된소스코드의 일부가중국 CSDN의개발자에의해복사되어블로그에붙여진것으로추정됩니다.
IMG Source: threatpost
조직적 대응: 개발 사이클에 보안을 도입하라
DevSecOps의등장
소프트웨어공급망에는기존의보안방법으로는해결되지않는회색영역이많이있습니다. 따라서 조직은생산성과탄력성간에적절한균형을유지하는개발라이프 사이클에보안을도입해야할필요가 있습니다.
DevSecOps는 DevOps에보안을추가하는것으로구성됩니다. DevOps는개발자가운영팀과보다효과적으로협력할수있도록하는프로세스와기술을결합하는개발방식입니다. 제품 개발 전단계에서지속적인방식으로코드를통합, 테스트, 검증및제공해야 합니다.
DevSecOps: 개발(Development), 보안(Security) 및 운영(Operation)의 합성어로 초기 설계에서부터 통합, 테스트, 배치 및 소프트웨어 딜리버리를 거치면서 소프트웨어 개발 주기의 모든 단계에서 보안의 통합을 자동화하는 것을 말한다.
DevSecOps IMG Source: Dynatrace
보안관리자의경우 DevOps의빠른 속도를유지하면서개발주기의초기단계(계획, 설계)부터보안규칙을포함하여 결함을 보다 일찍 포착해 결과적으로 MTTR(평균 대응시간)을단축해야 합니다.
MTTR(Mean Time to Respond; 평균 대응 시간): 장애 또는 사이버 공격에 대한 알림을 받은 후 시스템을 정상 작동 상태로 되돌리는 데 필요한 평균 시간
DevSecOps의가장중요한요소는보안이개발주기의모든단계에포함되어야한다는생각의 전환이 될 것입니다.보안은새버전이출시되기직전에확인해야하는단순한체크리스트로존재할수없습니다.
책임분담및원점 회귀
DevSecOps 전환을시작하려는조직의경우소프트웨어공급망을효과적으로확보하기위해책임 분담과 원점 회귀(Shift Left)의 변화를유도하는 것이 좋습니다.
원점회귀(Shift Left) IMG Source: Dynatrace
이러한 새로운보안모델은프로젝트에관련된모든구성원이책임을분담하는것을의미합니다. 또한 "원점 회귀(shift left)"라는용어는보안운영을조기에이동하고탐지및치료에드는비용을절감하기위해보안을사일로에서벗어나려고 하는 현상을설명하는합니다.
개발자의권한부여는이를위한필수요인입니다.그렇기 때문에 그들은자신의필요와작업방법을고려하기위해보안결정에참여해야합니다. 또한 개발팀보다규모가 작은 보안팀은가장복잡한경우를 대비해신속하게동원될 준비를 해야 합니다.
주기의각단계에서보안성을 증진하기 위해 모든팀간에투명성한 커뮤니케이션 및 협력을 위한 노력이필요합니다. 이것은신뢰의환경을조성하고비난을책임도구로사용하는것을거부하는문화를조성하기위한필수조건입니다. 공급망을따라일하는다양한직업간의협업은이제정보시스템보안의우선순위입니다.
국가적 대응: 공급망 보안 포럼 출범
이러한 전세계적인 흐름 가운데 2022년 10월 과기부가 디지털 질서를 위한 새로운 보안 패러다임 마련을 위해 '제로트러스트・공급망 보안 포럼'을 출범하였습니다. 올해 삼성전자와 LG전자 등 국내 대기업도 신흥해커 조직 '랩서스'로부터 공격을 받는 등 우리나라도 공급망 공격에서 더이상 안전하지 않습니다.
이미 미국은 '제로트러스트'와 '공급망' 보안에 대한 정책 수립을 진행하고 있는데요, 올해 바이든 정부는 국가 사이버 보안 개선에 대한 행정 명령을 발표하면서 제로트러스트 아키텍처를 연방정부에서 구현하도록 하였습니다.
이렇게 전세계적으로 공급망 보안에 대한 필요성과 이를 위한 움직임들이 곳곳에서 일어나고 있습니다.
앞으로 위드네트웍스 또한 제로트러스트와 공급망 보안에 대해 끊임없이 고민하고 연구하여 전세계 흐름에 맞을 뿐 아니라 고객사 환경에 최적화된 사이버 보안 모델을 구축하겠습니다.
위드네트웍스는 지난 10여년 간 매지니드 보안 시장의 선도 주자로서 축적된 노하우와 인프라를 기반으로 Global New Technology 기반의보안 솔루션을 개발할 뿐 아니라 클라우드, 5G, 와이파이 등 디지털 트랜스포메이션의 기반이 되는 인프라를 구축하여 4차 산업 혁명을 선도하고 있습니다.
또한 다양한 보안 전문 기술/컨설팅 노하우 및 지능형 보안 플랫폼을 통하여 고객사 환경에 최적화된 정보 보안 및 IT 인프라를 구축하고 있습니다. 여러분의 비즈니스를 안정적으로 운영하기 위한 도움과 다가올 보안 이슈에 대응하기 위해 도움이 필요하시다면 언제든지 자유롭게 연락해주세요!
위드네트웍스는 여러분의 비즈니스를 응원합니다!
Copyright(c) 2022. (주)위드네트웍스 All Right Reserved.
<참고내용: "How the Software Supply Chain Security is Threatened by Hackers", The Hacker News, 2022.10>
