[공급망 위협④] "서플라이 메시 관점 접근 필요"

공급망 보안 위해 SBOM·AIBOM 필수···지속적인 형상관리 필요

방대한 취약점 관리 위해 실제 위험 기반 관리 모델 적용해야

[데이터넷] 공급망 공격과 제3자 위협이 가장 심각한 보안 리스크로 부상하고 있다. 소프트웨어 공급망뿐 아니라 파트너사, IT·인력 공급업체 등 조직과 연결된 제3자를 통한 위협도 갈수록 확대되는 상황이다. 최근 다양한 위협 사례를 통해 공급망 보안의 현실을 진단하고 대응 방안을 살펴본다.<편집자>

세계 주요국, SBOM 의무화하며 공급망 보호 나서

소프트웨어 공급망 공격에 대응하기 위해서는 소프트웨어 자재 명세서(SBOM)가 필수 요소로 자리 잡고 있다. SBOM은 소프트웨어를 구성하는 모든 하위 컴포넌트와 라이브러리, 모듈 및 이들 간 의존 관계를 목록화한 것으로, 취약점 및 라이선스 관리와 공급망 투명성 확보를 위해 활용된다. SBOM은 EU 사이버 복원력법(CRA)과 미국 소프트웨어 공급망 보안 행정명령(EO 14028) 등에서 의무화를 추진하고 있으며, 우리나라도 내년부터 공공기관 납품 소프트웨어 의무화가 추진된다.

SBOM 생성 자체는 상대적으로 어렵지 않다. 오픈소스 도구를 활용하면 소프트웨어 개발 과정에서 명령어 한 줄만 추가해도 자동 생성이 가능하다. 그러나 실제 과제는 생성된 SBOM을 어떻게 보관·관리하느냐에 있다.

개발 단계에서는 빌드된 실행 파일과 SBOM을 저장소에 패키징해 보관하거나, SBOM 전용 리포지토리를 활용할 수 있다. 운영 단계에서는 지속적인 모니터링과 자동 스캐닝을 통해 활성화된 라이브러리의 실행 상태와 빌드 시점의 SBOM이 일치하는지 검증하고 조치해야 한다. 또한 패치나 구성 변경이 발생할 경우 SBOM을 갱신해 최신 상태를 유지해야 한다.

SBOM 생성·유통·추적·관리 방안 필요

SBOM 운영 과정에서 가장 큰 어려움은 방대한 취약점 관리다. SBOM으로 구성요소를 목록화하면 취약점 영향을 받는 요소들이 대거 식별된다. 모든 취약점이 즉각적인 위협은 아니지만, 현재 위험도가 낮다고 해서 향후에도 안전하다고 볼 수는 없다. 현재 환경에서 악용 가능성이 낮거나 영향도가 제한적이더라도, 이후에는 동일한 수준으로 평가되지 않을 수 있기 때문이다.

또한 소프트웨어 개발사가 정확한 SBOM을 생성해 공급하더라도 배포·구축·운영 단계에서 정합성이 어긋나는 사례가 발생할 수 있다. 수요기업 환경에서 다른 소프트웨어와 연동되면서 변경된 요소에 대한 업데이트가 원활히 이뤄지지 않는 경우도 적지 않다.

이 같은 문제 해결을 위해 스패로우는 SBOM 생성부터 유통, 추적, 관리 기능을 제공하는 ‘스패로우 시큐어허브’를 지원하고 있다.

이 제품은 소프트웨어 공급사가 생성한 SBOM을 수요기업에 안전하게 전달하고, 전달 이후에도 지속적인 추적·검증이 가능하도록 지원한다. 이를 통해 공급사부터 수요기업까지 이어지는 공급망 전 단계를 위협으로부터 보호하고, 국내외 규제가 요구하는 공급망 투명성 확보에도 효과적으로 대응할 수 있도록 한다.

윤종원 CTO는 “스패로우는 고도화된 공급망 위협 탐지 역량 확보와 안전한 공급망 체계 구축이라는 두 가지 장기 전략을 추진하고 있다”며 “위협 탐지·대응을 위해 소스코드와 오픈소스 라이브러리뿐 아니라 컨테이너 이미지와 AI 모델까지 구성요소 확인 대상에 포함했다”고 설명했다.

이어 그는 “시큐어허브를 중심으로 SBOM 유통·관리 체계 구현을 지원하고 있으며, 소프트웨어 공급망의 복잡성을 고려해 공급망 전 단계에 위치한 수요기업과 공급기업 모두가 만족할 수 있는 유통·관리 기능을 지속적으로 고도화하고 있다”고 덧붙였다.

스패로우는 애플리케이션 보안 테스트(AST) 전문기업으로, 정적 분석(SAST), 동적 분석(DAST), 소프트웨어 구성 분석(SCA) 등으로 구성된 ‘스패로우 엔터프라이즈’를 제공하고 있다. SCA를 통해 SBOM을 자동 생성하며, SBOM에 디지털 서명을 추가해 유통 과정의 위·변조를 방지하고 권한 기반 접근 제어를 통해 보안성을 강화한다.

스패로우 엔터프라이즈는 AI 기반 조치 우선순위 제안 및 대응 가이드 기능을 통해 대량으로 발생하는 취약점에 대한 우선순위와 구체적인 해결 방안을 제시함으로써 신속하고 효율적인 대응을 지원한다.

금융권 소프트웨어를 개발하는 A사는 스패로우 제품군을 도입해 금융권 소프트웨어 공급망 보안 관리 요건에 선제적으로 대응할 수 있는 기반을 마련했다. 보안 테스트를 개발 워크플로우에 자동화함으로써 수동 점검 대비 리소스를 절감했으며, 보안 이슈 발생부터 조치까지 실시간으로 추적하고 버전별 취약점 이력을 투명하게 관리하는 프로세스를 구축했다.

스패로우 시큐어허브 작동 방식

제조업 공급망 보안 규제 대응 확대

한편 스패로우 모회사인 파수 AI는 협력업체 및 제3자 위협 대응을 위한 다양한 솔루션과 서비스를 제공하고 있다.

파수 AI의 협업 솔루션 ‘랩소디 에코(Wrapsody eCo)’는 협력업체 및 파트너사와의 협업 과정에서 중요 데이터 유출을 방지하도록 설계됐다. 국정원 인증 암호화 모듈을 적용해 파일 자체를 보호하며, 사용자별 세분화된 권한 제어와 실시간 권한 변경 기능을 지원한다.

문서 공유 이후에도 필요 시 권한 회수 및 제한이 가능하며, 파일 사용 이력을 통한 모니터링도 지원한다. 또한 문서 가상화 기술을 기반으로 문서 열람 시 최신 버전으로 자동 동기화하고, 문서 공유·채팅 등 모든 협업 이력을 워크그룹 중심으로 제공한다.

이와 함께 파수 AI는 정부 지정 정보보호 전문서비스 기업으로서 다양한 컨설팅 서비스를 제공하고 있다. 특히 자동차 산업 공급망 보안을 위한 인증 획득 지원 서비스인 ‘TISAX 전문 서비스’를 제공한다.

TISAX는 독일자동차산업협회(VDA)가 자동차 제조사의 보안 평가 기준 표준화를 위해 마련한 정보보안 인증 제도다. 완성차 업체를 포함한 독일 자동차 산업 전반에서 신규 납품 시 필수 요건으로 요구되며, 글로벌 자동차 공급망의 대표 보안 기준으로 자리 잡고 있다.

파수 AI는 자동차 업계 제조사의 TISAX 인증 획득을 지원해 공급망 보안 역량 강화와 글로벌 시장 진출 확대를 돕고 있다.

아울러 파수 AI는 임직원 보안 인식 제고를 위한 악성메일 모의훈련 서비스 ‘마인드셋(Mind-SAT)’의 중요성도 강조하고 있다. 마인드셋은 실제 공격과 동일한 방식의 모의훈련을 통해 보안 습관 개선을 지원한다. 자동차·반도체 등 주요 글로벌 제조기업이 협력사를 대상으로 모의훈련을 실시하면서 협력사를 통한 공급망 위협을 관리하는 사례도 빠르게 증가하는 추세다.

강봉호 파수 AI 상무는 “공급망 보안 선도 기업과 산업군별로 다양한 보안 요건을 요구하면서 중견·중소기업 역시 공급망 보안 강화를 위해 파수 AI를 찾고 있다”며 “보안 전문성이 부족한 고객을 위해 컨설팅과 매니지드 서비스, 보안 취약점 진단 원스톱 서비스를 제공해 보다 쉽게 보안 체계를 구축할 수 있도록 지원하고 있다”고 말했다.

AI 확산에 공급망 위협 관리 패러다임 변화

AI 확산으로 기존 공급망 위협 관리 체계의 한계도 드러나고 있다. 기존 AST 도구는 AI의 핵심 구성 요소인 모델 가중치와 학습 데이터세트, 에이전트 도구 활용 현황 등을 충분히 파악하지 못한다. 최근에는 AI 모델의 주석(Comment)이나 메타데이터를 악용하는 공급망 공격까지 등장했지만, 기존 AST 체계로는 탐지가 쉽지 않다.

가트너는 AI 공급망 보안 강화를 위해 ‘AI 자재 명세서(AIBOM)’ 도입과 함께 SDLC·데브섹옵스 파이프라인에서 외부 모델 다운로드 시 숨겨진 페이로드 검사와 암호화 해싱 적용을 의무화해야 한다고 강조했다. 또한 동적 종속성 런타임 무결성 검사와 API·MCP 권한 제어 및 취약점 탐지, 거버넌스·운영 통합 체계 구축이 필요하다고 설명했다.

글로벌 소프트웨어 공급망 보안 전문가인 팀 맥키(Tim Mackey) 블랙덕 소프트웨어 공급망 위협 전략 총괄은 “CRA를 비롯한 글로벌 규제와 AI로 확대되는 리스크, 지정학적 갈등 상황을 악용한 공격에 대응할 수 있는 체계를 마련해야 한다”며 “이제 공급망 관리는 단순한 ‘서플라이 체인(Supply Chain)’이 아니라 ‘서플라이 메시(Supply Mesh)’ 관점에서 접근해야 한다”고 강조했다.

블랙덕소프트웨어는 AI로 인해 고도화되는 공급망 위협에 대응하기 위한 솔루션으로 ‘시그널(Signal)’을 제안하고 있다. 시그널은 AI와 사람이 작성한 코드를 실시간으로 분석해 보안 취약점과 결함을 식별하고, 실제 악용 가능한 위험만 선별해 우선순위를 제공한다.

또한 발견된 문제에 대해 검증된 수정 방안을 제안하거나 자동 대응 기능을 지원한다. 여러 에이전트가 협업해 분석·검증·우선순위화·수정까지 수행하며, 블랙덕이 20년 이상 축적한 보안 인텔리전스를 결합해 높은 정확도의 검증을 제공한다.

블랙덕은 EU CRA 등 글로벌 규제 준수를 위한 통합 관리 체계도 지원하고 있다. 올해 9월부터 CRA의 취약점 및 사고 보고 의무가 시행되면서 EU 수출 기업은 SBOM 제출과 취약점 관리 정책 점검이 요구된다. 특히 코드 구성 요소와 라이선스, 의존성까지 포함한 통합 관리 체계 구축이 중요 과제로 떠오르고 있다.

블랙덕의 SCA는 오픈소스 구성 요소 식별부터 취약점 분석, 라이선스 리스크 관리, SBOM 생성까지 통합 지원한다. 실제 위험 기반 모델을 적용해 공격 가능성과 비즈니스 영향도에 맞춘 취약점 관리를 제공하며, 업계 최대 수준의 오픈소스 지식베이스를 기반으로 소프트웨어 공급망 전반의 취약점과 라이선스 리스크를 자동 분석해 우선순위 기반 대응을 지원한다.

한편 블랙덕소프트웨어 국내 총판인 쿠도커뮤니케이션은 금융·공공·엔터프라이즈 시장을 중심으로 SBOM 대응과 오픈소스 보안 관리, 규제 대응 컨설팅 사업을 확대해 나갈 계획이다.

Tag