조직의 데이터 여정 보호: 소프트웨어 공급망 보안의 필수 전략

전 세계 모든 규모와 산업의 기업들이 어떤 형태로든 IT 전환을 겪고 있습니다. 실제로 기업들은 팬데믹이 세상을 뒤흔든 이후 내부 및 외부 비즈니스 운영의 디지털화를 3~4년 앞당겼습니다. 코로나19가 이러한 변화의 주요 촉매제였지만, 조직 리더들은 기술 전반에 걸쳐 전략적으로 임베디드하는 것의 중요성도 인식하고 있습니다.

많은 기업에서 전환은 사내에 배포되는 서드파티 상용 소프트웨어 채택, 민감한 데이터를 호스팅하는 SaaS 애플리케이션, 소프트웨어 구축에 사용되는 오픈소스 서드파티 라이브러리에 의해 주도될 것입니다. 최신 기술 도입은 필요한 진전의 신호이지만, 기업들은 이러한 혁신과 함께 따라오는 잠재적 보안 위험을 간과해서는 안 됩니다. 소프트웨어 공급망의 만연은 무방비 상태의 기업들을 새롭고 복잡한 방식으로 노출시키며, 전통적인 보안 방어의 경계를 허물고 있습니다.

취약한 소프트웨어 공급망, 정부도 주목하다

취약한 소프트웨어 공급망은 미국 정부의 주목을 끌며, 이 증가하는 사이버 보안 위험의 시급성을 확인시켜 주었습니다. 5월, 정부 리더들은 서드파티 의존성의 증가하는 생태계에 잠재된 잠재적 위협을 선제적으로 해결하기 위한 첫걸음을 내디뎠습니다. 행정명령 14028호는 "미국 생활 방식을 지탱하는 중요한 기관을 보호하기 위해 대담한 변화와 상당한 투자를 단행할 것"을 요구하는 계획을 개괄합니다. 이 행정명령은 "투명성이 부족하고, 소프트웨어의 공격 저항 능력에 충분히 초점을 두지 않으며, 악의적 행위자의 변조를 방지하기 위한 적절한 통제가 결여된" 중요 소프트웨어의 보안에 특히 중점을 둡니다.

데이터 중심 보안 접근법의 필요성

미국 국립표준기술연구소(NIST)는 중요 소프트웨어 보호를 위한 보안 조치를 개괄하며, 시스템과 네트워크뿐만 아니라 데이터를 보호하는 데 필요한 방어에 초점을 맞췄습니다. 이 접근법은 데이터와 데이터에 이르는 모든 경로를 보호하는 데 중점을 두며, 민감한 데이터에 직접 접근하는 서드파티 소프트웨어 애플리케이션 및 라이브러리라는 해결하기 어려운 문제를 인식합니다. 최근 몇 달간 성공적으로 수행된 공격들이 입증하듯, 기업 조직은 애플리케이션과 인터페이스를 뒷받침하는 벤더의 벤더나 서드파티 소프트웨어를 고려해야만 소프트웨어 공급망 공격의 위협을 진정으로 완화할 수 있습니다.

복잡한 생태계

역사적으로 기업들은 즉각적인 벤더 집합과 의존하는 중요 소프트웨어가 도입하는 위험에 집중해 왔습니다. 그러나 IT 전환이 전통적 네트워크의 경계를 허물고 레거시 통제를 덜 효과적으로 만드는 지금, 그 자세는 더 이상 충분하지 않습니다.

비즈니스가 적절한 보안 통제를 갖추고 있다 해도, 소프트웨어 공급망 전반의 벤더들이 그렇다고 할 수는 없습니다. 보안 전략은 파트너와 벤더를 포함해 생태계의 모든 것을 신뢰하는 데 의존할 수 없습니다. 확장하는 소프트웨어 공급망과 최신 애플리케이션의 복잡성은 취약점이 더 빠른 속도로 도입됨을 의미합니다. 소프트웨어 개발 수명주기 내 공격의 증가하는 규모를 해결하기 위해 조직은 n차 파티 코드를 포함한 공급망의 모든 부분을 포괄하는 위협 모델을 채택해야 합니다.

최신 애플리케이션은 API, 마이크로서비스, 서버리스 기능의 복잡한 생태계로 구동됩니다. 더 많은 임시 워크로드와 분산 아키텍처로 인해 사전 프로덕션 소프트웨어 분석에 은탄환은 없습니다. 가장 엄격한 소프트웨어 개발 수명주기(SDLC)에서도 개발의 복잡성은 취약점을 도입합니다. 이것이 다시 모든 데이터 경로 보호가 조직의 근본적 전략이어야 하는 이유입니다.

문제 정면 돌파

이전 소프트웨어 공급망 공격이 입증하듯, 악의적 행위자는 서드파티 소프트웨어 연결의 취약점을 악용하여 공급망 내에 은밀하게 기동하고, 이를 이용해 측면 이동을 수행하며 궁극적으로 대상의 데이터에 접근합니다.

웹 애플리케이션 보안은 런타임 애플리케이션 행동 식별에 더 초점을 맞추고 진화해야 합니다. 예를 들어 서드파티 코드가 원치 않는 행동을 하는지 여부 등입니다. 오직 예기치 않은 행동을 차단함으로써 새로운 공격 행위를 예방할 수 있습니다. 이는 기업 IT가 다양하고 현대적인 애플리케이션 환경으로 진화함에 따라 필수적입니다.

애플리케이션 스캐닝 도구는 훌륭하지만, 애플리케이션에 내장된 손상된 서드파티 소프트웨어를 식별하기는 어렵습니다. 경계 도구는 시그니처가 게시될 때까지 애플리케이션에서 오는 무해해 보이는 트래픽에 속을 수 있습니다. 마지막으로 많은 기업이 엔드포인트 보안을 배포하지만, 이 기술은 애플리케이션 공격의 초기 단계에서 사용자 기기에 접촉할 필요가 드물기 때문에 애플리케이션 공격을 놓치는 경우가 많습니다.

대신 기업은 런타임 애플리케이션 자기 보호(RASP)를 배포하여 애플리케이션 내부에서 실시간으로 공격을 탐지하고 방지해야 합니다. NIST SP 800-53 개정 5에서 권장하는 이 기술은 정확한 코드 줄까지 공격을 특정하고 취약점 악용을 자동으로 중단하여, 조직이 자체 일정에 맞춰 취약점을 패치할 시간을 확보해 줍니다.

혁신을 가능하게 하고 경쟁 우위를 유지하기 위해 조직은 운영을 현대화해야 합니다. 이 전환의 대부분은 서드파티 애플리케이션과 서비스에 의존할 것입니다.

그러나 소프트웨어 및 애플리케이션 취약점은 근본적인 보안 문제이며, 기업들은 이를 인지해야 합니다. 따라서 디지털 전환을 뒷받침하는 API에 특히 중점을 두고 방어에 힘써야 합니다.

공격자들이 방어를 회피하고 근본 데이터에 접근하는 은밀한 방법을 찾는 상황에서, 올바른 통제를 갖추고 적절한 도구를 활용하여 데이터와 모든 접근 경로를 진정으로 보호하는 것이 필수적입니다.

Peter Klimek은 Imperva의 CTO 사무국 기술 이사입니다.