과기부, 내년까지 구축 계획
사이버공격 전년보다 62% ↑
해킹·악성코드 심어 업데이트
자재명세서 도입 투명성 제고
"안전한 SW 환경 마련에 최선"
사이버공격 전년보다 62% ↑
해킹·악성코드 심어 업데이트
자재명세서 도입 투명성 제고
"안전한 SW 환경 마련에 최선"
글로벌 보안기업 태니엄에 따르면 2021년 한 해 동안 전 세계 SW공급망에 대한 사이버공격은 전년보다 62% 증가했다. SW솔루션들의 오픈소스 사용빈도는 70%를 상회하는 가운데, 오픈소스 저장소 내 40% 이상이 취약점이나 악성코드를 포함하고 있어 문제로 지적된다.
SW공급망은 SW 개발과 시험, 패치를 포함한 유통 등 운영 전 과정을 뜻한다. 공격자가 이런 과정에 침투, SW공급업체의 합법적인 SW에 악성코드를 심어 업데이트 등을 통해 배포되게끔 하는 게 SW공급망 공격이다. 로그4j, 솔라윈즈 등이 그 대표적 사례로, 파급효과가 연쇄적이고 지속적인 특성이 있다.
이에 SW공급망 보안 대책으로 SW개발과정에 포함되는 오픈소스SW 목록 등 주요 구성품의 명세서인 SBOM이 제시되고 있다. 이를 통해 해당 SW에 포함된 보안 취약점을 발견·조치할 수 있고, 유통·운영 과정에서도 지속적인 분석으로 보안성을 확보할 수 있다.
SBOM이 최근 강조되는 이유는 미국 주도하에 세계적으로 이에 대한 요구가 확산되는 추세이기 때문이다. 2021년 바이든 행정부는 SW공급망 보안을 강화하는 행정명령을 발표했고, 유럽공동체 또한 관련 법안(Cyber Resilience Act) 개정안을 통해 입법 논의를 진행한다. 일본도 미국의 정책을 참고해 도입 방안 수립에 반영하고 있으며, 중국 또한 정부 차원에서 상황을 공유하며 도입 필요성이 제기된다. 향후 SW수출에 있어 무역장벽으로 작용할 수 있다.
이에 과학기술정보통신부는 이달 초 'SW공급망 보안 추진을 위한 현장 간담회'에서 KISA(한국인터넷진흥원)와 함께 'SBOM 통합 관리 플랫폼'을 내년까지 구축한다는 계획을 내놓은 바 있다. 이를 통해 기업들이 SBOM을 생성·검증할 수 있도록 지원하고 취약점 DB(데이터베이스)도 제공할 계획이다. 제로트러스트 및 SBOM통합관리플랫폼에 총 110억원을 투입할 예정으로 예산당국과 협의 중이다.
과기정통부 관계자는 "안전한 SW를 공급하고 사용할 수 있는 환경을 제공하기 위해 SW관리체계를 마련하는 것"이라며 "올해 초기단계에선 실증사업을 통해 기업들의 애로사항을 찾고 해결하는 데 집중할 계획이며, 내년부터 더욱 큰 규모로 다양한 영역에 대해 SBOM을 포함한 관리체계를 만들어가고자 한다"고 밝혔다.
SBOM 관련 솔루션에 대한 관심도 높아진다. 일반적으로 SW개발기업이 SW개발단계(빌드타임)에서 SBOM을 꾸릴 수 있도록 지원하는 것과 달리, 태니엄의 경우 SW도입기업이 SW운영단계(런타임)에서 SBOM에 해당하는 명세를 확인할 수 있도록 지원하는 게 특징이다. 다만 전체 구성요소 확인을 위해선 SW공급사의 SBOM과 병행될 필요도 있어 보인다.
정보보호 기업들도 이런 흐름에 따라 대응에 나서고 있다. 국내의 경우 파수 자회사 스패로우에서 자사 오픈소스 라이선스 식별 및 보안취약점 관리도구 '스패로우SCA'에 SBOM 내보내기 기능을 적용한 바 있다. 이밖에 국내 레브라도랩스와 미국 스닉(Snyk) 등이 SBOM 관련 솔루션을 제공하며, 팔로알토네트웍스와 아쿠아시큐리티 등 클라우드 통합 보안을 위한 CNAPP(클라우드 네이티브 앱 보호 플랫폼)을 선보이는 글로벌 보안기업들이 SBOM 관련 기능을 포함하기도 한다.
파수 관계자는 "SBOM은 미국뿐 아니라 글로벌 선도 기업·기관들이 선제적으로 도입하고 협력업체에도 요구하는 사례가 급증하고 있다. 해외 글로벌 기업 및 주요 대기업 협력업체를 시작으로 도입이 점차 확산될 것"이라며 "특히 안전이 매우 중요한 자동차 업계와 홈IoT 개발에 주력하고 있는 건설업계 등에서 SBOM이 빠르게 정착될 것으로 기대한다"고 말했다.
글·사진=팽동현기자 dhp@dt.co.kr
<~2023061902001328400063373~>
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
