[공급망 위협③] 에이전트 시대에 더욱 활개치는 '공급망 공격'

악성 패키지 유포지 된 ‘코드 저장소’···AI 분석으로 악성 패키지 선제 차단

공급망 보안 위한 소프트웨어 개발·운영 체계 변환 필수

개발·배포·운영 전 단계에 보안 내재화해야

[데이터넷] 공급망 공격과 제3자 위협이 가장 심각한 보안 리스크로 떠올랐다. 소프트웨어 공급망뿐만 아니라 파트너·IT 및 인력 공급업체 등 조직과 연결된 제3자로 인한 위협도 심각한 상황이다. 최근 위협 사례를 통해 공급망 위협의 현실을 분석하고 대안을 제시한다.<편집자>

가장 흔하게 발생하는 공급망 공격은 오픈소스 저장소에 악성 패키지를 업로드하는 것이다. 이 공격 캠페인은 하루도 빠지지 않고 보안 관련 뉴스의 헤드라인을 장식한다. 5월 19일에도 샤이 훌루드(Shai-Hulud)가 NPM에 게시된 사실이 공개됐다. 해커는 19일 새벽 1시부터 2시까지 약 한 시간 동안 323개의 서로 다른 패키지에 639개의 악성 버전이 배포됐다.

이 같은 공격을 막기 위해 저장소를 관리하거나 서비스하는 전문기업이 저장소 자체 보안 기능을 강화하면서 악성 패키지 업로드를 차단하고 있다.

인성디지탈이 국내에 공급하는 소나타입이 대표적인 예로, 소나타입이 관리하는 자바 레포지토리 메이븐(Maven)은 정밀한 AI 분석 엔진을 사용해 저장소에 등록된 패키지의 취약점과 라이선스 위반 여부, 품질 등을 관리한다. 소나타입은 업계 최대 규모의 오픈소스 DB를 확보하고 있으며, 위협 요소가 있는 패키지가 개발환경에 유입되지 않도록 한다. 소나타입은 국내외 주요 금융 그룹과 대형 제조사에 공급됐으며, 수천 개의 마이크로서비스 내 오픈소스 현황을 SBOM으로 시각화해 취약점 대응 시간을 80% 이상 단축시켰다.

신뢰된 제3자로 인한 공격도 발생

에이전트 시대에 접어들면서 공급망 공격은 훨씬 더 복잡한 양상을 띄게 됐다. 조직이 사용하는 에이전트의 종류가 무한대에 가깝게 늘어나면서 애플리케이션 취약점을 악용하는 공급망 공격이 발생하게 됐다. 가트너는 “2029년까지 기업 AI 침해 사고의 60%는 소프트웨어 취약점이 아니라 타사 데이터셋 또는 모델 제공업체의 침해로 인해 발생할 것”이라고 전망한 바 있다.

AI로 인해 소프트웨어 공급망의 복잡성이 심화되면 당연히 위협 포인트도 늘어난다. 전익찬 레드펜소프트 부사장은 “조직이 직접 통제하지 않는 소프트웨어가 공격의 출발점이 된다. 그런데 공급망 전반의 가시성과 통제가 분절되어 있기 때문에 공급망 위협을 관리하기 매우 어렵다”고 지적했다.

개발 단계에서 코드 분석, 반입 단계에서 외부 코드에 대한 검증, 운영 단계에서는 취약점 점검과 테스트가 이뤄지지만, 전체 정보가 연결되지 않는다. 개발·보안·운영 조직이 각각 단편적인 취약점 점검을 하기 때문에 수많은 취약점 중 실제 위험을 선별하지 못한다. 또한 신뢰된 제3자를 통한 공급망 공격은 탐지하기가 더욱 쉽지 않다.

전익찬 부사장은 “소프트웨어 공급망 보안을 위해 다양한 코드 분석 도구와 취약점 탐지 도구, 소프트웨어 자재 명세서(SBOM) 등이 사용되지만, 이러한 도구 자체가 공급망 보안을 보장하지 않는다. 공급망 보안은 운영체계 변화가 필수이며, 소프트웨어 공급망 전 라이프사이클에 걸쳐 지속적인 검증 체계(Continuous Verification)와 실제 영향 기반 대응 능력을 갖춰야 한다”고 설명했다.

레드펜소프트 '엑스스캔 서버 런타임'

레드펜소프트는 ‘엑스스캔(XSCAN)’ 제품군을 중심으로 개발·반입·운영 전 과정을 아우르는 통합 공급망 보안 체계를 제공한다. 엑스스캔 SaaS는 오픈소스와 서드파티 소프트웨어 분석, SBOM 생성, 취약점 식별을 지원한다. 온프레미스 버전으로도 제공해 기업 내부망 환경에서 외부 반입 소프트웨어에 대한 무결성 검증과 보안 검사를 수행한다. 더불어 실제 운영 환경에서 실행 중인 소프트웨어 취약점을 검증하는 ‘엑스스캔 서버 런타임’을 통해 운영 중 소프트웨어까지 지속적으로 보호한다.

엑스스캔을 도입한 국내 금융사는 고객 보호를 위해 필수 배포되는 단말 소프트웨어와 외부 반입 소프트웨어의 보안 검증, 컨테이너 기반 환경 검증의 과제를 안고 있었다. 엑스스캔 SaaS를 도입해 오픈소스와 서드파티 소프트웨어 분석 체계를 구축했으며, 외부 반입 소프트웨어 무결성 검증, 취약점 점검을 표준화했다. 컨테이너 이미지 분석을 통해 클라우드 환경의 공급망 리스크까지 통합 관리함으로써, 배포 전 검증 프로세스를 정립하고 취약점 대응 속도와 운영 효율성을 높였다.

전익찬 부사장은 “국가망보안체계(N2SF)에서도 정보시스템의 구성요소를 목록화하고 지속적으로 현행화할 것을 요구하고 있어 소프트웨어 구성요소 단위로 무엇이 어떻게 사용되고 있는가를 관리하는 역량이 필수 요소가 되고 있다”며 “레드펜소스트는 정밀한 자산 가시성과 지속적인 검증 체계를 제공해 공급망 보안 효과를 높이겠다”고 밝혔다.

한편 레드펜소프트는 ‘엑스스캔 시큐어 애셋(XSCAN Secure Asset)’ 출시도 예고했다. 이 제품은 기업 전체 오픈소스 자산과 취약점 관리를 통합 거버넌스 관점에서 관리한다. 각 단계에서 생성되는 SBOM과 취약점 정보를 연결해 구성요소 단위의 자산과 위험을 일관되게 추적할 수 있으며, 취약점 간 연관관계와 영향 범위를 분석하고, 이를 기반으로 조치 프로세스(Workflow)를 체계적으로 관리할 수 있다.

SBOM 생성·형상관리 통합 필수

공급망 보안을 위한 필수 도구 중 하나로 꼽히는 SBOM은 소프트웨어 구성 요소를 명세화한 것으로, 기업·기관이 사용 중인 소프트웨어 현황을 가시화하고 관리할 수 있도록 돕는다. 특히 취약점이 공개됐을 때 해당 취약점의 영향을 받는 소프트웨어를 알려주어 빠르게 조치할 수 있도록 해 공급망 위협을 완화한다.

SBOM 그 자체만으로 공급망 보안이 강화되는 것은 아니다. 소프트웨어를 공급받는 시점에 SBOM을 제공받은 이후 형상 변경을 업데이트하지 않으면 SBOM을 도입할 의미가 없어진다. 조직에서 사용하는 수많은 소프트웨어의 SBOM을 통합 관리하는 것도 쉬운 일은 아니다.

휴네시온 관계자는 “지난해 한국인터넷진흥원(KISA)의 공급망 보안 모델 구축사업 수행 중 확인한 것은 소프트웨어에 개발자도 모르게 이용되는 오픈소스가 포함되어 있었고, SBOM 작성 오기·오류가 다수 발견됐다는 것이다. 또한 점검 도구의 소프트웨어 구성요소·분석 성능 한계, 개발 단계 검증 프로세스는 릴리스 직전 1회성 점검, 운영 조직은 제대로 갖춰지지 않았거나 보안팀 단독 책임에 머물러 있는 등의 문제가 있었다”고 지적했다.

휴네시온 소프트웨어 공급망 통합 플랫폼 ‘S3E 플랫폼’

휴네시온은 지난해 사업에 소프트웨어 개발사로 참여해 ‘소프트웨어 공급망 보안 엔터프라이즈(S3E) 플랫폼’을 구축했다. 소스코드+바이너리+EPSS 등 SBOM 생성 구조를 CI/CD와 연계했으며, 자회사 시큐어시스템즈의 SIEM을 통해 보안 모니터링하고 신속하게 대응하는 SBOM 기반 공급망 보안 통합 위험관리 체계를 운영하고 있다.

S3E는 휴네시온 망연계 솔루션 ‘아이원넷(i-oneNet)’에 우선 적용했으며, 최상·고위험 취약점은 93% 감소, 라이선스 위반은 98% 제거, 대응 기간은 평균 3일에서 1일 이내로 단축하는 성과를 달성했다. 이 체계를 통해 리액트(React) 서버 컴포넌트 취약점 영향을 받는 요소를 신속하게 발견해 제거했다.

한편 휴네시온은 전사 차원의 공급망 보안 정책 마련과 내부 조직 구성을 기반으로 ‘개발 릴리스 직전 1회성 점검’ 체계를 ‘개발 전주기 CI/CD 연계 내재화와 운영 상시 모니터링’ 체계로 전환했다. 또한 S3E 플랫폼을 공급망 보안에 민감한 공공, 국방, 금융, 자동차 제조사, 의료, OT 및 중요 기반 시설 등에 공급할 계획이다.

보안 내재화 체계, 개발·운영 전반에 이식

한드림넷도 KISA 지원사업을 통해 제품 기획부터 배포에 이르는 전 주기에 걸쳐 오픈소스 취약점을 식별하고 관리하면서 ‘보안 내재화(Security by Design)’ 체계를 개발·운영 전반에 이식했다. 주력 개발 언어에 특화된 SCA 도구를 CI/CD 파이프라인에 연동해 오픈소스 취약점을 발견, 조치하며, SBOM 도구로 분석하면서 취약점을 조치하고 있다. 이 과정이 단일 부서 업무에 끝나지 않도록 소프트웨어 공급망 관련 매뉴얼을 제작하고, 전 직원을 교육하고 있다. 이를 통해 소프트웨어, 하드웨어, 펌웨어, 클라우드 등 모든 조직이 유기적으로 공급망 보안에 동참하도록 한다.

더불어 자사 제품에 사이버 복원력을 구현해 자사 제품의 안정성을 높여 고객이 보안 솔루션으로인한 제3자 위협에 노출되지 않도록 한다. 또한 글로벌 공급망 안정성 확보를 위해 협력사 및 다각적 제조 파트너십에 대해서도 SBOM 기반의 공급망 보안을 철저히 통제할 계획을 밝힌다. 이를 통해 보안 이슈 발생 시 글로벌 고객사에도 신속하게 대응할 계획이다.

한편 한드림넷은 ‘서브게이트(SubGATE) 보안스위치’를 이용해 네트워크 인프라 자체에서 사이버 복원력(Cyber Resilience)을 구현하고, 네트워크 엣지 단에서 위협 트래픽을 탐지·격리한다. 이를 통해 외부 해킹으로 인한 피해는 물론이고, 신뢰된 서드파티로 인한 위협까지 제어할 수 있다. 또한 보안 스위치를 활용한 마이크로세그멘테이션으로 위협의 내부 확장을 막는다.

Tag