이러한 취약점은 개발자가 비즈니스 로직 규칙을 제대로 구현하지 못했을 때 발생할 수 있으며, 악의적인 사용자가 이를 악용할 경우 애플리케이션이 다양한 공격에 노출될 수 있습니다.

사이버 보안 업계의 크리스마스를 망칠 만한 사건이 있다면, 그것은 미국 정부 역사상 최대 규모의 사이버 첩보 사건으로 기록될 파괴적인 데이터 유출 사고일 것입니다.

이번에도 에퀴팩스 해킹의 근본 원인은 웹 애플리케이션 취약점이었습니다. 이러한 유형의 취약점은 10년 넘게 존재해 왔지만, 오늘날에도 여전히 중요한 문제입니다.

인젝션 공격은 취약점 분야의 악명 높은 왕좌를 차지해 왔으나, 이제는 '최악 중의 최악'이라는 타이틀을 깨진 접근 제어(Broken Access Control)에 내주게 되었습니다. 개발자들은 이 변화를 반드시 주목해야 합니다.

139회: 마티아스 마두(Matias Madou)가 전하는 보안 개발 교육 및 소프트웨어 보안 테스팅 연구

일반적으로 사용자의 입력을 받아 데이터 소스에 접근하는 모든 기능에는 객체 수준 권한 부여 확인 절차가 포함되어야 하며, 이를 누락할 경우 심각한 위험이 발생할 수 있습니다.

개발자가 숙달해야 할 핵심 모듈로 구성된 맞춤형 교육 과정은 강력한 효과를 발휘하며, 개발자가 일상 업무에서 보안 모범 사례를 즉시 적용할 수 있도록 돕습니다.

약 95,000개의 애플리케이션에 종사하는 30만 명에 가까운 개발자들이 BSIMM8을 활용하여 소프트웨어 보안 이니셔티브(SSI)를 계획, 실행 및 측정하고 있습니다.

보안 수정 작업을 개발 프로세스 초기 단계로 앞당기는 것은 쉽지 않지만, 프레젠테이션 도구처럼 단순해 보이는 기기조차 놀라울 정도로 복잡하고 모든 것이 네트워크로 연결된 오늘날의 환경에서는 반드시 필요한 일입니다.

보안을 조직 전체와 SDLC 전반에 걸친 공동의 책임으로 인식하는 단계에 도달해야 합니다. 이는 완벽하게 갖춰진 지원 중심의 DevSecOps 환경을 구축함으로써 충분히 실현 가능합니다.

기능 수준 접근 제어 누락 취약점은 사용자가 제한되어야 할 기능을 수행하거나 보호되어야 할 리소스에 접근할 수 있게 합니다.

인증은 애플리케이션뿐만 아니라 네트워크 전체로 향하는 관문 역할을 하는 경우가 많아 공격자들에게 매력적인 표적이 됩니다. 인증 프로세스가 손상되었거나 취약하다면 공격자가 해당 약점을 발견하고 악용할 가능성이 매우 높습니다.

조사관들에 따르면, 폭발을 막은 유일한 요인은 공격자의 컴퓨터 코드에 있던 실수였습니다.

소프트웨어 개발은 더 이상 고립된 영역이 아닙니다. 클라우드, 가전제품 및 차량의 임베디드 시스템, 핵심 인프라, 그리고 이 모든 것을 연결하는 API에 이르기까지 소프트웨어 기반의 모든 위험 요소를 고려하면, 공격 표면은 경계 없이 통제 불능 상태에 놓여 있습니다.

개발자들은 애플리케이션 보안(AppSec) 분야로 성공적인 이직을 할 수 있는 유리한 위치에 있습니다.

지난 몇 년간 사이버 보안 표준은 획기적인 변화를 겪었습니다. 의무 사항은 아니지만, 모든 조직은 이를 따라야 하며, 공급업체의 보안 관행을 마치 자사의 내부 보안 프로그램의 일부인 것처럼 철저히 검토하는 것을 목표로 삼아야 합니다.

대량 할당 취약점은 많은 최신 프레임워크가 클라이언트의 입력값을 코드 변수나 내부 객체에 자동으로 바인딩하는 기능을 사용하도록 권장하면서 발생하게 되었습니다.

필요할 때 교육을 받는 데 따르는 장벽을 어떻게 낮출 수 있을지, 그리고 마이크로 러닝을 워크플로우에 어떻게 더 자연스럽게 녹여낼 수 있을지 고민하기 시작했습니다.

개발자가 취약점의 작동 원리, 위험성, 취약점을 유발하는 패턴, 그리고 이를 해결하는 설계 및 코딩 패턴을 자신의 업무 맥락에서 근본적으로 이해하지 못한다면 취약점 감소에 긍정적인 영향을 줄 수 없습니다. 단계별 학습 접근 방식은 지식을 층층이 쌓아 올려 안전하게 코딩하고, 코드베이스를 방어하며, 보안 의식을 갖춘 개발자로 성장하는 데 필요한 전체적인 그림을 그려줍니다.

제로데이 공격은 정의상 공격자가 먼저 침투하기 때문에 개발자가 기존 취약점을 발견하고 패치할 시간을 전혀 주지 않습니다. 이미 피해가 발생한 후에는 소프트웨어 복구와 기업의 평판 회복을 위해 허둥지둥 대응할 수밖에 없습니다. 공격자는 항상 유리한 위치에 있으며, 이러한 격차를 최대한 줄이는 것이 무엇보다 중요합니다.

본 글은 조직 내 성공적인 PCI-DSS 규정 준수를 다루는 2부작 시리즈 중 1부입니다. 이번 장에서는 앱 보안(AppSec) 전문가가 개발 관리자와 긴밀히 협력하여 개발자의 역량을 강화하고, SSDLC를 견고히 하며, 일반적인 법규로부터 구체적인 성과를 도출하는 방법을 자세히 살펴봅니다.

업무로 바쁜 개발자들에게 강의실로 직접 찾아가거나, 복잡한 5단계 과정을 거쳐 이론 위주의 교육을 들으라고 하는 것이 과연 얼마나 설득력이 있을까요?

AppSec 도구가 기대만큼 활용되지 않는 데에는 몇 가지 이유가 있습니다. 이는 도구 자체나 그 기능의 문제라기보다는, 보안 프로그램 전체와 도구가 어떻게 통합되느냐의 문제입니다.

저희 팀의 전문가 중 한 명인 오스카 퀸타스(Oscar Quintas)를 소개합니다. 그는 제품 콘텐츠 팀의 수석 보안 연구원으로 활동하고 있으며, 코드형 인프라(IaC) 분야의 독보적인 전문가이기도 합니다.

SQL 인젝션이 22번째 생일을 맞이했습니다. 이제는 성인이 되어도 충분할 만큼 오래된 취약점이지만, 우리는 이를 완전히 근절하기는커녕 여전히 휘둘리고 있습니다.

사이버 보안 분야에서 영웅과 악당 사이의 경쟁은 불공평하기로 악명이 높습니다. 민감한 데이터는 새로운 금맥이 되었고, 공격자들은 방어 체계를 우회하기 위해 빠르게 적응하며 크고 작은 보안 취약점을 악용해 막대한 이득을 취하고 있습니다.

이 취약점은 너무 많은 요청이 동시에 들어오는데 API가 이를 처리할 충분한 컴퓨팅 리소스를 갖추지 못했을 때 발생합니다. 이 경우 API는 사용할 수 없게 되거나 새로운 요청에 응답하지 못하게 됩니다.

사이버 범죄자들과 맞서 싸우려면 그들의 움직임을 한발 앞서 파악하고 예방적인 사고방식으로 그들의 활동 영역을 선제적으로 차단해야 합니다. 내년에 그들이 어떤 방식으로 위협을 가할지 예측해 보았습니다.

인프라 수준의 접근 제어가 제대로 갖춰지지 않으면 기업 전체가 공격자에게 노출되며, 공격자는 이 취약점을 발판 삼아 무단으로 정보를 엿보거나 전면적인 공격을 감행할 수 있습니다.

사이버 공격은 날로 빈번해지고 있으며, 특히 클라우드에 저장된 민감한 데이터를 탈취하려는 목적으로 리눅스 기반 인프라를 노리는 위협이 더욱 거세지고 있습니다.

이 취약점의 실제 작동 방식은 다른 취약점들과 유사하지만, 이 경우 과도한 데이터 노출은 법적으로 보호받거나 매우 민감한 데이터를 포함하는 것으로 정의됩니다.

웹 기반 소프트웨어, API, 모바일 기기와 마찬가지로 임베디드 시스템의 취약한 코드 역시 공격자에게 발견될 경우 악용될 수 있습니다.

조직 내 PCI-DSS 규정 준수를 다루는 미니 시리즈의 2부입니다. 이번 마지막 장에서는 CTO와 CISO가 어떻게 리더십을 발휘하여 사이버 위험을 줄이고, 프로세스를 원활하고 성공적으로 만들며, 개발자들에게는 조금 더 즐거운 경험이 되도록 할 수 있는지 자세히 알아봅니다.

조직의 입장에서 본인의 역할을 고려하며 다음 질문들을 생각해보세요. 귀사의 조직은 DevSec 테스트를 통과할 수 있을까요?

바퀴벌레는 핵폭발조차 견뎌낼 수 있다는 유명한 이론이 있습니다.

로깅 및 모니터링 부족 취약점은 주로 모든 실패한 인증 시도, 거부된 액세스, 입력 유효성 검사 오류를 기록하지 못하는 사이버 보안 계획의 실패로 인해 발생합니다.

오늘날 비밀번호, 개인정보, 금융 기록과 같은 중요 데이터를 저장 시 해싱 처리하는 것은 사이버 보안 방어의 핵심입니다.

최근 바이든 행정부의 사이버 보안 행정명령은 보안 업계, 특히 개발자들이 일상 업무에서 보안 코딩 모범 사례를 적용하는 것이 왜 중요한지 설득하려는 이들에게 큰 화두가 되고 있습니다.

사이버 보안 모범 사례에 있어 사람 중심의 접근 방식을 강화해야 합니다. 이는 자동화나 도구에 과도하게 의존하거나 이미 발생하여 고착화된 문제에 사후 대응하는 것보다 훨씬 더 나은 결과를 가져올 것입니다.

개발자는 보안 구성 및 액세스 제어뿐만 아니라 코드와 가장 밀접하게 작업하는 사람들 중 하나입니다. 이들의 보안 역량을 강화해야 하며, NIST가 제시한 높은 기준을 달성하기 위해서는 특히 대규모 개발 조직의 경우 실습 중심의 교육 구조가 효율적인 해결책이 될 수 있습니다.

Secure Code Warrior 플랫폼의 새로운 기능인 '미션(Missions)'을 소개하게 되어 매우 기쁩니다. 이 완전히 새로운 챌린지 카테고리는 개발자 중심 보안 교육의 다음 단계로, 사용자가 보안 지식을 단순히 기억하는 수준을 넘어 실제 시뮬레이션 환경에서 직접 적용해 볼 수 있도록 합니다.

새로운 업무 방식에 대한 막연한 불안감, 약간의 불신, 혹은 원격 근무 자체에 대한 회의감 등 그 이유가 무엇이든, 원격 근무를 거부하는 기업은 우수한 인재를 유치하고 글로벌 영향력을 유지하며 시대의 흐름에 발맞추는 데 뒤처지기 마련입니다.

오늘날 대부분의 컴퓨터 보안은 비밀번호를 중심으로 이루어집니다. 2단계 인증이나 생체 인식과 같은 다른 보안 방법을 사용하더라도, 대부분의 조직은 여전히 비밀번호 기반 보안을 보호의 한 요소로 활용하고 있습니다.

항공 전자 장비의 코드 한 줄을 수정하는 데는 100만 달러의 비용과 1년의 시간이 소요됩니다. 보잉 737 기종으로만 구성된 사우스웨스트 항공의 경우, 이는 "파산"을 의미할 것입니다.

복잡한 보안 도구의 홍수는 CISO에게 사이버 보안을 더욱 어렵게 만들고 있습니다.

Secure Code Warrior는 GitHub 코드 스캔에 맥락 기반 학습을 도입하는 GitHub Action을 구축했습니다. 이를 통해 개발자는 Snyk Container Action과 같은 타사 액션을 사용하여 취약점을 찾고, CWE별로 매우 관련성 높은 학습 콘텐츠를 결과에 추가할 수 있습니다.

모의 해킹 및 정적 분석 스캔 도구(SAST)는 보안 위험을 완화하는 전체 프로세스의 일부일 뿐이며, 우리가 하는 일과는 다소 독립적으로 운영됩니다. 물론, 핫픽스를 위해 코드가 다시 우리에게 돌아오기 전까지는 말이죠!

일정 수준 이상의 품질을 갖춘 코드는 정의상 보안성도 뛰어나지만, 보안성이 뛰어난 모든 코드가 반드시 고품질인 것은 아닙니다. '왼쪽보다 더 왼쪽(left of left)'에서 시작하는 것이 완벽한 보안 코딩 표준을 보장하는 공식일까요?

여기서 집중적으로 다룰 취약점 유발 행동은 신뢰할 수 없는 출처의 코드를 사용하는 것입니다. 이는 사소해 보이지만 심각한 문제를 야기하는 관행입니다.

x0rz라는 이름으로 활동하는 한 보안 연구원의 트윗에 따르면, 2016년 당시 에퀴팩스(Equifax) 메인 웹사이트에서 크로스 사이트 스크립팅(XSS)이라 불리는 일반적인 취약점이 발견되었습니다.

이 취약점은 더 안전한 최신 버전으로 교체되어야 할 구형 API가 방치되면서 발생하는 인적 또는 관리적 문제입니다.

사이버 보안 전략에서 뛰어난 성과를 거두고 있는 많은 기업은 공식적인 '보안 챔피언' 프로그램을 도입했습니다. 이 프로그램은 팀 간의 가교 역할, 사기 진작, 모범 사례 감독 등 핵심적인 보안 책임을 해당 분야에 적성과 열정을 가진 직원들에게 부여합니다.

Rust는 기존 언어들의 기능적 요소를 통합하면서도 복잡성을 배제하고 성능과 안전성을 높이는 차별화된 철학을 따릅니다.

API에서 조금 더 흔하게 나타나긴 하지만, 공격자들은 네트워크 어디에서든 패치되지 않은 결함이나 보호되지 않은 파일 및 디렉토리를 찾으려 합니다. 디버깅이 활성화되어 있거나 보안 기능이 꺼진 API를 발견하는 것은 공격자들의 악의적인 작업을 훨씬 수월하게 만듭니다.

세상은 이제 워터폴(Waterfall), 애자일(Agile), 그리고 데브옵스(DevOps)를 넘어 다음 단계로 나아가고 있습니다. 그렇다면 그다음 솔루션은 무엇일까요? 그리고 개발자로서 이러한 접근 방식의 변화에 발맞추기 위해 여러분은 어떤 역할을 해야 할까요?

업계 차원에서 개발자에게 보안 전문가가 되기를 기대해서는 안 되지만, 조직은 개발자가 더 높은 품질의 소프트웨어를 개발할 수 있도록 개발자 역량 강화를 위한 새로운 표준을 도입할 수 있습니다.

애플리케이션은 전체 워크로드의 일부로서 다른 프로그램과 데이터를 공유하기도 합니다. 전송 계층이 보호되지 않으면 외부의 도청이나 내부의 무단 열람에 취약해집니다.

모든 조직은 사이버 보안 인식의 달을 활용하여 보안 의식을 재정비할 수 있습니다. 올해 저희는 코딩 커뮤니티를 위한 새로운 무료 앱도 출시합니다!

불신이라는 위태로운 기반 위에 세워진 관계라면, 기대치를 낮추는 것이 좋습니다. 안타깝게도 조직 내 개발자와 앱 보안(AppSec) 팀의 업무 관계가 바로 이런 상태인 경우가 많습니다.

보안 설정 오류, 특히 부적절한 권한 부여와 관련된 문제는 개발자가 새로운 사용자를 생성하거나 특정 작업을 수행하기 위해 애플리케이션에 도구로서의 권한을 부여할 때 가장 자주 발생합니다.

공격자는 항상 쉽게 악용할 수 있는 취약점을 먼저 찾으려 하며, 스크립트를 사용해 일반적인 약점을 훑어보기도 합니다. 이는 마치 도둑이 길가에 주차된 차들의 문이 잠겨 있는지 확인하는 것과 비슷합니다. 창문을 깨는 것보다 훨씬 쉬운 방법이기 때문입니다.

전 세계의 소프트웨어 수요를 충족하기 위해 쏟아지는 코드의 양에 비해 숙련된 인력은 여전히 부족한 상황입니다. 이로 인해 많은 기업이 사이버 보안 전략과 기존 인프라 구축에 뒤처지고 있습니다. 이제는 전반적인 사이버 보안 성숙도를 냉정하게 점검하고, 당장 실현 가능한 개선 방안을 모색해야 할 때입니다.

CISO들은 점점 더 어려운 상황에 직면해 있습니다. 더 많은 자산을 보호하고, 더 많은 코드를 배포하며, 더 넓어진 공격 표면을 줄여야 하는데, 가용 예산은 급격히 줄어들고 있기 때문입니다. 사이버 보안이 비용 센터로 간주된다는 것은 피할 수 없는 현실입니다. 조직의 보안 프로그램이 기업을 내일의 뉴스 헤드라인을 장식할 재앙으로부터 지켜주는 방패임에도 불구하고, 보안 리더들은 경영진이 이해할 수 있는 언어로 부서의 전반적인 비즈니스 가치를 입증하고 설득하기 위해 더 많은 노력을 기울여야 합니다.

최신 연구 보고서인 '보안 기술 벤치마킹: 기업 내 Secure-by-Design 간소화'는 기업 수준에서 실제 진행된 Secure-by-Design 이니셔티브를 심층 분석하고, 데이터 기반의 결과를 바탕으로 모범 사례를 도출한 결과물입니다.

보안 코드와 Secure-by-Design 원칙에 대한 관심이 높아짐에 따라, 개발자들은 SDLC 초기 단계부터 사이버 보안 교육을 받아야 합니다. Secure Code Warrior의 Trust Score와 같은 도구는 이러한 교육의 진행 상황을 측정하고 개선하는 데 도움을 줍니다.

연구 결과에 따르면 보안 코딩 교육은 효과가 있습니다. 600개 이상의 조직에서 25만 명 이상의 학습자가 수행한 2천만 개 이상의 학습 데이터 포인트를 알고리즘으로 분석한 Trust Score는 취약점을 줄이는 데 있어 교육의 효과를 입증하며, 이니셔티브의 효율성을 더욱 높이는 방법을 제시합니다.

Secure-by-Design 이니셔티브의 성공을 입증할 유의미한 데이터를 찾는 것은 매우 어렵기로 유명합니다. CISO들은 인적 및 기업적 차원에서 보안 프로그램 활동의 투자 수익률(ROI)과 비즈니스 가치를 증명해야 하는 과제에 자주 직면합니다. 또한 기업이 현재 업계 표준과 비교하여 자사의 수준을 파악하기란 더욱 쉽지 않습니다. 미국 대통령의 국가 사이버 보안 전략은 이해관계자들에게 "설계 단계부터 보안과 회복 탄력성을 갖출 것"을 촉구했습니다. Secure-by-Design 이니셔티브를 성공시키기 위한 핵심은 개발자에게 안전한 코드를 작성할 기술을 제공할 뿐만 아니라, 그러한 역량이 갖춰져 있음을 규제 기관에 입증하는 것입니다. 본 발표에서는 25만 명 이상의 개발자로부터 수집한 내부 데이터, 고객 인사이트, 공개 연구 등 다양한 1차 소스에서 도출된 수많은 정성적 및 정량적 데이터를 공유합니다. 이러한 데이터를 종합하여 여러 산업 분야에 걸친 Secure-by-Design 이니셔티브의 현주소를 제시하고자 합니다. 이 보고서는 왜 이 분야가 현재 충분히 활용되지 못하고 있는지, 성공적인 역량 강화 프로그램이 사이버 보안 위험 완화에 미치는 중대한 영향, 그리고 코드베이스에서 특정 유형의 취약점을 제거할 수 있는 잠재력에 대해 자세히 설명합니다.

AI 논쟁의 핵심은 사용 여부가 아니라 활용 방식에 있습니다. 자신의 코드를 깊이 이해하는 개발자에게 의존함으로써 AI 생산성 향상과 강력한 보안 사이의 균형을 맞추는 방법을 알아보세요.

Anthropic의 Claude Mythos는 모든 보안 리더가 보안 프로그램을 접근하는 방식, 특히 레거시 시스템의 패치 관리 방식에 있어 영구적이고 근본적인 변화를 예고합니다.

이 백서에서는 보안 전문가이자 Secure Code Warrior의 CTO 겸 공동 창립자인 마티아스 마두(Matias Madou) 박사가 다음 내용을 다룹니다. 개발자 그룹을 위한 효과적인 보안 교육 및 역량 강화를 시작하는 데 필요한 6가지 핵심 요소, 기업 수준에서 보안 프로그램을 구현한 임원 10명의 경험에서 얻은 교훈, 그리고 성공으로 가는 길에 피해야 할 일반적인 함정.