> 뉴스 > 뉴스 > 보안
  • 트위터
  • 페이스북
  • 구플러스
  • 네이버밴드
  • 카카오스토리
     
[2019 정보보안 이슈 톱 15] ⑭오픈소스 취약점 관리
‘낮게 달려 따기 좋은 과일’, 오픈소스…관리 어렵지만 공격하기는 쉬운 오픈소스 취약점
     관련기사
  [2019 정보보안 이슈 톱 15] ① 제로 트러스트
  [2019 정보보안 이슈 톱 15] ② 공격자도 이용하는 AI
  [2019 정보보안 이슈 톱 15] ③ 클라우드로 확대되는 보안 영토
  [2019 정보보안 이슈 톱 15] ④ 보안 위협의 끝판왕 ‘IoT’
  [2019 정보보안 이슈 톱 15] ⑤세대교체 중인 공격 시장
  [2019 정보보안 이슈 톱 15] ⑥ 진화하는 우회공격
  [2019 정보보안 이슈 톱 15] ⑦ 암호화폐 공격 계속된다
  [2019 정보보안 이슈 톱 15] ⑧공급망 공격
  [2019 정보보안 이슈 톱 15] ⑨위험에 빠진 산업제어시설
  [2019 정보보안 이슈 톱 15] ⑩효과적인 공격수단 이메일·SNS
  [2019 정보보안 이슈 톱 15] ⑪확대되는 위협 정보 공유
  [2019 정보보안 이슈 톱 15] ⑫강화되는 개인정보 보호 규제
  [2019 정보보안 이슈 톱 15] ⑬범용화 된 생체인증
2019년 01월 10일 09:31:19 김선애 기자 iyamm@datanet.co.kr

오픈소스는 ‘낮게 달려 따기 좋은 과일’이라고 표현된다. 누구나 쉽게 이용할 수 있다는 뜻이다. 상용 소프트웨어의 90% 이상이 오픈소스로 제작되며, 민감한 금융앱, 사회기반시설에 사용되는 소프트웨어에도 오픈소스가 광범위하게 사용된다.

오픈소스를 사용하면 개발 기간을 단축시키고 개발자 업무를 줄일 수 있으며, 비용도 크게 아낄 수 있다. 소프트웨어 재사용이 가능하고, 대규모 집단지성에 의해 개발된 수준 높은 소프트웨어를 사용할 수 있기 때문에 서비스 완성도도 크게 높일 수 있다.

오픈소스는 집단지성의 힘으로 보안취약점을 발견하고 패치를 배포하는 것도 빠르게 진행된다. 이론적으로 오픈소스를 사용하면 보안 수준을 높일 수 있다. 그러나 실제로 기업에서 오픈소스 보안 취약점은 제대로 관리되지 않는다. 대부분의 소프트웨어 개발은 외주 개발자에 의해 개발되며, 어떤 오픈소스 모듈을 사용했는지 기록을 남기지 않거나 엑셀파일로 기록하기 때문에 사후 추적이 불가능하다.

상용 소프트웨어에서도 오픈소스를 사용하고 있으며, 상용 소프트웨어 기업들은 사용 중인 오픈소스에서 보안 취약점이 발견되면 이를 패치한 업데이트 파일을 만들어 배포하는데 상당한 시간을 소요하게 된다. 소스코드 없이 바이너리 파일로 납품받는 경우, 어떤 오픈소스를 사용했는지조차 파악할 수 없기 때문에 취약점이 있는지 없는지도 알 수 없다.

SK인포섹 EQST ‘2019 보안위협 전망 보고서’에서는 “오픈소스 활용범위는 빅데이터, 클라우드 등 다양한 영역으로 확장되고 있으며, 공격자의 오픈소스 취약점 연구도 지속되어 취약점 또한 동시에 증가하고 있다. 만약 빅데이터 및 클라우드의 관리용 오픈소스에 대한 취약점을 이용한 해킹 사고가 발생한다면, 전체 서버가 공격자에 의해 제어될 수 있기 때문에 대규모 피해가 발생할 수 있다. 따라서 오픈소스에 대한 기본적인 설정, 접근 통제, 권한 부분에 대한 보안을 반드시 적용해야 한다”고 설명했다.

   

▲웹 애플리케이션 오픈소스 소프트웨어 대상 공격 사례(자료: SK인포섹)

오픈소스 보안 취약점을 관리하기 어려운 점은 기업이 사용하는 수많은 시스템 중 취약점이 있는 오픈소스를 사용하는 것이 무엇인지, 어떤 버전의 오픈소스에 취약점이 있는지도 파악하기 쉽지 않다는 점이다. 방대한 오픈소스 커뮤니티에서 생성해해는 수많은 취약점 정보를 수작업으로 확인하는 것도 불가능하다.

SK인포섹 보고서에 따르면 2018년 오픈소스 공격 항목 중 권한 통제, 보안 설정 및 관리, 암호화, 보안 패치가 고위험도로 확인됐다. 사용도가 높은 웹과 DB, 개발 플랫폼에서 공격 방법이 다수 존재하고 있고, 소스코드가 공개돼 있는 오픈소스는 공격자 입장에서 공격 대상 선정 및 역분석이 용이하다.

보고서에서는 “오픈소스 소프트웨어 취약점을 해결하기 위해서는 공개 취약점 DB, 오픈소스 소프트웨어 식별 및 사용 명세서 생성 도구 등을 활용해야 한다. 장기적으로 보안 전문 인력과 함께 오픈소스 소프트웨어 에 대한 조직 전체의 인식 변화, 오픈소스 소프트웨어 거버넌스 및 컴플라이언스 체계 수립을 위해 노력해야 한다”고 조언했다.

김선애 기자의 다른기사 보기  
ⓒ 데이터넷(http://www.datanet.co.kr) 무단전재 및 재배포금지 | 저작권문의  

     

인기기사

  오픈소스 취약점, 취약점 공격, 오픈소스, 정보보안 이슈 톱 15
가장 많이 본 기사
인사·동정·부음
전체기사의견(0)  
 
   * 200자까지 쓰실 수 있습니다. (현재 0 byte/최대 400byte)
   * 욕설등 인신공격성 글은 삭제 합니다. [운영원칙]
전체기사의견(0)
사명: (주)화산미디어 | 주소: 서울시 강남구 강남대로 124길 26 유성빌딩 2층 | 전화: 070-8282-6180 | 팩스: 02-3446-6170
등록번호: 서울아03408 | 등록년월일: 2014년 11월 4일 | 발행년월일: 2003년 12월 17일 | 사업자등록번호: 211-88-24920
발행인/편집인: 정용달 | 통신판매업신고: 서울강남-01549호 | 개인정보관리 및 청소년보호 책임자: 박하석 | 호스팅 사업자: (주)아이네임즈
Copyright 2010 데이터넷. All rights reserved. mail to webmaster@datanet.co.kr