소프트웨어 공급망 보안을 위한 3가지 검증된 단계

컴퓨터 코드는 스마트폰부터 로봇, 이들을 연결하는 네트워크까지 모든 기술의 토대입니다. 오늘날 디지털 세상에서 이는 많은, 아니 대부분의 비즈니스와 서비스의 기반이기도 합니다.

해커들은 이 사실을 인지하고 악용합니다. 최근 유명 사례는 솔라윈즈(SolarWinds) 소프트웨어의 여러 트로이목마화된 업데이트를 사용한 파이어아이(FireEye) 공격입니다. 소프트웨어 제공업체를 표적으로 삼아 해커들은 백도어를 설치해, 이 회사들로부터 서비스를 받는 정부 기관이라는 최종 타깃에 도달했습니다.

이 공격 방식은 신뢰도 악용합니다. 기업, 정부, 기타 고객은 소프트웨어나 펌웨어 업데이트가 벤더로부터 오면 안전하다고 가정합니다. 일부는 '신뢰하되 검증'해 벤더 웹사이트의 업데이트 해시값을 확인하고 다운로드와 비교합니다. 일치하면 취약점이 없다고 가정합니다.

이 신뢰는 개발 과정에서 소스 코드를 조작할 수 있는 악의적 행위자들에게 기회를 줍니다. 결과적으로 사용자는 무의식적으로 익스플로잇을 다운로드하고, 이는 수주 또는 수개월간 조용히 조직 전체로 퍼져 결국 파트너, 공급업체, 고객 명부를 공격합니다. 조직은 어떻게 자신을 보호할 수 있을까요?

1. 악의적 행위자 원천 차단

공급망 리스크 관리(SCRM) 프로그램은 서드파티 제품·서비스 채택·통합에 내재된 위협과 취약점 완화에 필수적입니다. 사람, 프로세스, 기술을 다루며 보안, IT, 인사(HR), 조달, 법무 등 여러 부서에 걸칩니다. 특히 SCRM 프로그램을 소프트웨어 개발 수명주기(SDLC)로 확장하는 게 중요합니다. 이 과정에서 모든 사람이 참여하고 같은 목표를 향해 정렬된 보안 문화가 생성됩니다.

SDLC 내에서 SCRM 프로그램은 코드와 툴셋 같은 관련 리소스를 접해야 하는 사람들에게 집중합니다. 이해당연하게도 이들 직원은 채용 과정에서 철저히 검증되어야 하며, 범죄 활동 및/또는 국가 연계 가능성을 식별하기 위한 신원 조회가 포함됩니다.

인력 파견 업체를 이용하는 기업은 파견 업체가 자사의 고유하고 구체적 요건을 이해하는지 확인해야 합니다. 예를 들어 기업은 파견 업체가 누구인지, 국가 후원 사이버 범죄 이력이 있는 국가에 거점이 있는지 알아야 합니다. 독점·기밀 정보를 다룰 때 파견 업체의 원격 사무실이 잠재적 내부자 위협 심기용 이력서와 후보자를 보내오길 원치 않습니다. 국가 차원 공격자들은 표적 조직에 자기 사람을 심는 데 점점 더 집중합니다. 이들은 갈망하는 코딩 기술과 기타 인기 자격을 갖춘 사람을 훈련시킬 재정적 자원이 있어, 이력서 더미 맨 위에 오르게 합니다. 이는 인사팀과 채용 관리자가 인지해야 할 사항입니다.

가장 신중한 선별·채용 과정을 거쳐도 일부 악의적 행위자가 빠져나갈 수 있습니다. 그래서 명확히 정의된 내부자 위협 프로그램을 통해 직원 활동을 모니터링해 비정상적이고 의심스러운 행동(권한 무단 상승, 시스템·프로그램·애플리케이션 접근 등)을 식별하는 게 중요합니다.

SCRM 프로그램은 코드와 관련 리소스를 접해야 할 사람을 식별하고, 그 외 모두로부터 이를 격리하는 보호 장치를 구현해야 합니다. 코드가 라이선스되면 인가된 개발자의 유일한 소스가 되어야 하며, 외부에서 추가 코드를 가져올 수 없어야 합니다. 일단 코드가 평가되고 통제되면, 기업은 보안 리스크가 평가되지 않은 새로운 소스에서 코드를 가져오는 개발자를 원치 않습니다. 이 모범 사례는 인가된 개발자가 무의식적으로 사용한 무단 코드에 묻힌 백도어나, 무단 사용자가 숨긴 미문서화 포털 같은 취약점을 완화합니다.

2. 철저한 검증과 통제

기술을 엄격히 통제하면 또 다른 보호 계층이 생깁니다. 예를 들어 직원 부서 이동 시, 새 역할과 부서에 맞게 특별히 생성된 이미지의 새 노트북을 지급하는 걸 고려하세요. 더 이상 필요 없는 기존 접근 권한도 비활성화하세요. 이는 데이터와 접근 권한이 특권 상태로 유지되게 돕습니다.

IT 부서는 개발자에게 지급하기 전 브랜드 신제품 컴퓨터도 재이미징(reimaging)해야 합니다. 공급업체 제공 기본 이미지를 쓰면 운영체제와 사전 설치된 블로트웨어에 손상된 코드가 있을 경우 백도어가 생길 수 있습니다. 대신 해당 기기용 맞춤형 강화 이미지를 만드세요.

모든 새로운 유형의 하드웨어와 소프트웨어는 일정 기간 샌드박싱(sandboxing)해야 합니다. IT 부서가 인터넷에 원치 않는 호출을 하며 데이터를 끌어오려는 시도 같은 행동을 면밀히 검토할 시간을 줍니다. 또한 수개월 또는 수년 후 갑작스러운 행동 변화를 감지해 손상되었을 가능성을 알리는 기준선도 만듭니다.

3. 보안 문화 조성

고려할 게 많다는 건 SCRM이 전사적 노력이어야 하는 이유를 보여줍니다. 예를 들어 법무부는 벤더·파트너 계약에 감사를 보장하는 언어가 포함되게 해야 합니다. 한편 HR은 후보자 선별 규칙 개발과 집행을 도울 수 있습니다.

C-레벨의 지지와 리더십은 이런 팀워크 달성과 SCRM 프로그램 구현 자원 확보의 열쇠입니다. 이는 조직 전체에 걸친 보안 문화를 생성하고, 보안을 사후 고려 사항에서 개발 프로세스의 근본적 부분으로 변혁시킵니다.

마이클 이와노프(Michael Iwanoff)는 아이코넥티브(iconectiv)의 최고정보보안책임자입니다.