시놉시스와 시프트… SBOM의 글로벌 활용 사례
구름IDE, 통합개발환경 내 SBOM 기능으로 보안 취약점 관리 강화
구름IDE, 통합개발환경 내 SBOM 기능으로 보안 취약점 관리 강화
업계에서는 이번 사태를 두고 SW 공급망 관리 체계의 취약점이 그대로 드러났다고 평가했다. SW 공급망은 소프트웨어가 개발, 배포, 설치되는 전체 과정과 관련된 일련의 활동을 의미한다. 온라인·클라우드로 제품을 설치하고 주기적으로 업데이트 하는 방식으로 운영되기 때문에, 기술적 오류나 제3자의 해킹으로 인해 SW 업데이트가 악용되면 이번 사고처럼 대규모 혼란과 경제적 손실을 초래할 수 있다.
따라서, SW 공급망 문제를 해결하기 위해 개별 기업과 기관의 보안 노력은 물론 정부와 업계에서도 대안 마련에 적극 나서고 있다. 특히 오픈소스 소프트웨어(SW)를 활용하는 기업이 늘어나면서 소프트웨어 구성 요소에 대한 투명성과 관리의 중요성이 커지고 있으며, 이를 자동으로 분석하고 위험을 찾아주는 '소프트웨어 자재명세서(SBOM)'가 공급망 보안의 핵심 도구로 떠오르고 있다.
SBOM은 소프트웨어 제품 내에 포함된 모든 구성 요소와 그 정보를 상세히 기록한 문서로, 소프트웨어의 보안 취약점을 사전에 파악하고 관리할 수 있게 해준다. 특히 오픈소스 컴포넌트와 같은 서드파티 구성요소에 대한 정보를 체계적으로 관리할 수 있다는 점에서 SBOM의 유용성이 크다.
주요 해외 기업들 역시 SBOM을 적극 도입하여 소프트웨어 공급망 보안을 강화하고 있다. 대표적으로 시놉시스(SYNOPSYS)사의 오픈소스 분석 도구 '블랙덕(Black Duck)'은 고급 보안 기능과 통합되어 기업 환경에서 널리 활용되는 솔루션이다. 이 도구는 통합 개발 환경(IDE) 내에서 오픈소스 라이브러리와 그 종속성을 실시간으로 확인하고 관리할 수 있게 해준다. 코드 작성 또는 변경 시 SBOM이 자동으로 업데이트되어 개발자가 편리하게 사용할 수 있으며, 이를 통해 보안 취약점에 신속하게 대응할 수 있다.
반면, 통합 개발 환경이 아닌 별도의 도구로 사용할 경우 설정과 사용법이 다소 복잡할 수 있다. 주로 기업 환경을 위해 설계된 만큼 소규모 팀이나 개인 사용자가 사용하기에는 어려움이 있을 수 있다.
시프트(Syft) 또한 개발자들 사이에서 널리 사용되는 인기 있는 SBOM 생성 도구이다. 사용 용이성이 뛰어나 복잡한 설정 없이 간단한 명령어로 SBOM을 생성할 수 있어 개발자들이 쉽게 사용할 수 있다. 특히, 컨테이너 이미지와 리눅스 배포판의 구성요소를 감지하고 SBOM을 생성할 수 있어 광범위한 지원을 제공하지만, CLI(Command Line Interface) 중심의 도구라 IDE와 직접 연동되지는 않는다. 그럼에도 불구하고 활발한 오픈 소스 커뮤니티의 지원을 받으며 지속적으로 발전하고 있다.
이와 같은 해외 사례는 SBOM이 소프트웨어 보안과 관리에 필수적인 도구임을 잘 보여준다. SBOM을 통해 소프트웨어 구성 요소의 투명성을 확보하고, 체계적으로 관리함으로써 보안 취약점을 사전에 파악해 보안 사고를 예방할 수 있다.
국내에서는 클라우드 기반 AI·SW 스타트업 구름(대표 류성태)이 통합개발환경(IDE) 내에서 보안 취약점 관리를 한층 더 강화하도록 SBOM 기능을 탑재해 주목받고 있다. 구름IDE의 SBOM은 소프트웨어 개발 초기 단계부터 모든 구성 요소를 실시간으로 추적하고 기록할 수 있게 해준다. 이 외에도 실시간 종속성 관리, 보안 취약점 탐지, 사용 편의성, 다양한 SBOM 포맷 지원 등의 장점을 제공하며, GUI 기반으로 설계되어 사용자들이 직관적으로 SBOM을 생성하고 관리할 수 있다.
특히, 구름IDE는 SPDX 형식 뿐만 아니라 CycloneDX 형식도 지원하여, 다양한 표준 및 요구사항을 충족할 수 있도록 한다. 이를 통해 개발자는 사용 중인 모든 소프트웨어의 구성 요소를 명확히 파악하고, 코드의 보안을 강화하며, 라이선스 이슈 등 컴플라이언스 문제를 사전에 해결할 수 있다. 또한, 프로젝트의 의존성을 체계적으로 관리하여 개발 과정을 효율적으로 진행할 수 있다.
카카오도 오픈소스의 사용 비중과 관리의 중요성이 커짐을 인식하여 2021년 오픈소스 관리 서비스인 '올리브(OLIVE) 플랫폼'을 공개했다. 올리브 플랫폼은 서비스 공개 이후 소셜 로그인 추가, OLIVE CLI, 분석 대상 확대, 영문 지원 등 다양한 기능을 추가하며 지속적으로 고도화되었다. 최근에는 특히 스타트업들이 보다 많은 프로젝트의 오픈소스를 손쉽게 관리할 수 있도록 100개 프로젝트의 오픈소스 관리와 SBOM 관리 기능을 추가했다.
SBOM의 도입은 이제 선택이 아닌 필수가 되고 있다. 글로벌 기업들과 국내 기업들이 앞다퉈 SBOM 도입에 나서는 것이 이를 방증한다. 향후 SBOM은 기업들의 필수 보안 전략으로 자리잡을 것으로 전망된다. 개발자와 보안 담당자가 SBOM을 활용해 소프트웨어 공급망의 취약점을 체계적으로 관리할 수 있게 되면서, 사이버 위협으로부터 더욱 안전한 소프트웨어 생태계를 구축할 수 있을 것으로 기대된다. 이상훈기자 am8523am@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
