시높시스 ASPM ‘소프트웨어 리스크 매니저’, 앱 취약점·구성오류 통합 지원 가능
[데이터넷] KMS테크놀로지(대표 이창표)는 국내에 공급하고 있는 시높시스의 ‘2023 데브섹옵스 글로벌 현황 리포트’를 인용 ▲취약점을 찾아 대응하는데 시간이 걸리는 점 ▲여러 애플리케이션 보안 테스트 도구(AST) 사용의 어려움 등이 데브섹옵스 주요 장애 요인으로 나타났다.
이 보고서는 시높시스 의뢰로 센서스와이드가 전 세계 1000명 이상 IT 전문가를 대상으로 설문조사를 한 결과를 바탕으로 소프트웨어 보안에 영향을 미치는 전략, 도구 및 기준 등에 대해 분석한 것이다.
보고서에서는 응답자의 28%는 배포된 애플리케이션의 주요 보안 위험과 취약점을 패치하는데 최대 3주가 걸린다고 답했으며, 20%는 최대 한달이 걸릴 수 있다고 답했다. 이러한 수치는 그 어느 때보다 빠르게 취약점이 악용되고 있다는 점에서 특히 우려스럽다고 답했다. 최근 연구에 따르면 보고된 취약점의 절반 이상이 공개 후 일주일 이내에 빠른 속도로 악용되고 있는 것으로 나타났기 때문이다.
또한 ‘데브섹옵스’라는 용어가 여러 분야를 포괄하며, 각 분야마다 고유 영역이 있다보니, 담당자가 맡고 있는 분야에 따라 '비즈니스 우선순위'가 다른 의미를 가질 수 있다고 보고 있다.
예를 들어 비즈니스 리더들은 최우선적으로 앱섹(AppSec) 도구가 얼마나 효과적인지 파악하고, 팀 전체의 성과 및 성능에 대한 가시적인 효과를 원한다. 반면에 개발 및 운영 팀은 모든 문제에 대해 중앙 집중형으로 통합 보기를 원하고 있으며, 이를 통해 가장 중요한 보안 활동을 식별할 수 있다. 보안에 중점을 둔 사람들은 이러한 위험 요소를 제거하기 위해 중요한 문제를 신속하게 우선 순위를 빠르게 정하기를 원한다.
연동되지 않는 보안 도구로 어려움 많아져
또한 보고서는 연동되지 않는 고립된 보안 도구, 과부화된 팀 업무, 취약점 해결에 오랜 시간이 소요됨에 따라 발생하는 문제점들을 해결하는 것이 성공적인 데브섹옵스 구축을 위한 근본적인 과제라고 지적했다.
여러 애플리케이션 보안 테스트 도구를 사용하는 다양한 데브섹옵스 팀이 있는 조직의 경우, 애플리케이션 보안 태세 관리(ASPM) 솔루션을 사용해 전체 애플리케이션의 취약점을 분석하고 통합 관리할 수 있어 이러한 문제를 효과적으로 해결할 수 있다.
ASPM은 특정 애플리케이션과 취약점을 분석하는 여러 도구의 데이터를 상호 연관시키고 그룹화함으로써 ASPM 솔루션은 애플리케이션의 전반적인 보안 상태를 종합적으로 파악할 수 있다. 데브섹옵스 그룹은 각자의 역할 및 책임과 관련된 데이터를 생성할 수 있으며, ASPM 솔루션을 통해 현업 관리자와 더 넓은 관점을 필요로 하는 다른 사람들이 이해할 수 있는 방식으로 데이터를 볼 수 있다.
특정 애플리케이션과 취약점으로 인해 발생할 수 있는 특정 위험에 대한 보안 정책을 생성하고 적용할 수 있다. 개발 또는 운영과 통합된 경우 인프라를 통해 ASPM 솔루션은 해결이 필요한 보안 문제를 프로세스 초기에 가능한 한 빨리 식별할 수 있도록 지원한다.
시높시스의 ASPM 솔루션 ‘소프트웨어 리스크 매니저’는 개발부터 배포까지 애플리케이션의 위험을 지속적으로 관리한다. 소프트웨어 리스크 매니저는 여러 소스에서 데이터를 수집한 다음 더 쉬운 해석, 분류, 해결을 위해 결과의 상관관계를 분석한다.
또한 보안 도구의 관리 및 조정 계층 역할을 함으로써 보안 정책을 제어하고 시행할 수 있다. 그리고 애플리케이션 보안 결과에 대한 통합된 관점을 제공함으로써 소프트웨어 리스크 매니저는 전체 애플리케이션 또는 시스템 전반에 걸쳐 보안 및 위험 상태에 대한 포괄적인 가시성을 제공하여 성공적인 데브섹옵스 구축을 효과적으로 지원할 수 있다.
최우영 KMS테크놀로지 부사장은 “데브섹옵스구축을 위해 많은 고객들이 다양한 노력을 기울이고 있지만, 다양한 보안 도구 사이에서 일관성을 확보하지 못하고, 수많은 요구 사항을 따르기 어려운 고객들이 많다. 시높시스의 2023 데브섹옵스 리포트를 통해 고객들이 데브섹옵스와 관련된 문제 해결의 인사이트를 얻어갈 수 있길 바라며, 소프트웨어 리스크 매니저와 같은 ASPM 솔루션을 사용함으로써 개발부터 배포까지 일관성 있는 관리를 제공받게 되기를 기대한다”고 밝혔다.
