사이버 보안 업계 분석: 우리가 반드시 바로잡아야 할 또 다른 반복적 취약점

이 기사의 일부는 Help Net Security에 게재되었습니다. 본 내용은 업데이트되어 이곳에 재게재되었습니다.

‍

저는 경력 내내 어떤 방식으로든 소프트웨어 취약점을 찾고, 수정하고, 논의하고, 분석하는 일을 해왔습니다. 90년대부터 우리 주변에 존재해 온 몇몇 일반적인 보안 버그들은 여전히 소프트웨어를 괴롭히며 심각한 문제를 일으키고 있습니다. 비록 (종종 간단한) 해결책이 거의 같은 기간 동안 알려져 있었음에도 말이죠. 마치 영화 '사랑의 블랙홀(Groundhog Day)'처럼, 업계 전체가 똑같은 일을 반복하면서 다른 결과를 기대하는 것 같아 정말 답답할 따름입니다.

하지만 또 다른 작은 문제가 있습니다. 현대 사이버 보안의 끊임없는 공세에 맞서기 위해 우리는 현실적인 조언이나 가장 빠른 해결책을 얻지 못하고 있습니다. 물론 각 침해 사고는 저마다의 특성이 있고, 취약한 소프트웨어에는 악용될 수 있는 수많은 공격 벡터가 존재합니다. 범용적인 조언에는 한계가 있겠지만, 현재의 모범 사례 접근 방식은 시간이 갈수록 결함이 드러나고 있습니다.

이런 관점에서 저는 왜 사이버 보안에 관한 수많은 논평과 분석이 그토록 많은 취약점의 근본 원인인 '사람'을 해결하는 방안을 간과하는지 의문이 듭니다. 가트너의 최신 애플리케이션 보안 하이프 사이클(Hype Cycle for Application Security)과 포레스터의 2021년 애플리케이션 보안 현황(The State of Application Security 2021)은 보안 전문가들에게 성경과도 같으며 프로그램과 제품 도입 방향을 결정하는 데 큰 영향을 미치지만, 거의 전적으로 도구 중심적입니다. 2017년 애버딘(Aberdeen)의 보고서는 일반적인 보안 기술 스택이 얼마나 복잡해졌는지 보여주었습니다. 당시 CISO들은 보안 전략의 일환으로 수백 개의 제품을 관리하고 있었는데, 4년이 지난 지금 우리는 더 많은 위험과 취약점, 그리고 점점 비대해지는 기술 스택이라는 괴물과 씨름하고 있습니다.

보안 도구는 필수적이지만, 우리는 더 넓은 시야를 가지고 보안 방어의 '사람' 요소에 균형을 되찾아야 합니다.

자동화가 미래입니다. 그런데 왜 사이버 보안에서 인간적 요소를 신경 써야 할까요?

우리 삶의 거의 모든 것은 소프트웨어로 구동되며, 실제로 자동화는 많은 산업에서 인간의 역할을 대체하고 있습니다. 이는 초고속으로 디지털화되는 세상에서 진보의 신호이며, AI와 머신러닝은 많은 조직이 미래를 대비하는 데 있어 핵심적인 화두가 되고 있습니다.

그렇다면 왜 인간 중심의 사이버 보안 접근 방식이 기술적으로 발전하는 문제에 대한 구시대적 해결책에 불과하다고 생각할까요? 최근 페이스북 침해 사고로 5억 개 이상의 계정이 영향을 받은 것을 포함해, 지난 한 해 동안 수십억 개의 데이터 기록이 탈취되었다는 사실은 우리가 위협 행위자들에게 강력한 반격을 가하기에 충분한 노력을 기울이지 않고 있거나, 올바른 접근 방식을 취하지 않고 있음을 시사합니다.

사이버 보안 도구는 사이버 방어에 꼭 필요한 요소이며, 도구는 언제나 그 자리를 지킬 것입니다. 분석가들은 기업의 위험 완화 접근 방식에서 최신 도구를 추천하는 데 매우 정확했으며, 이는 앞으로도 변하지 않을 것입니다. 그러나 코드 생산량에 비례하여 코드 품질(그리고 정의상 보안)을 관리하기 어렵기 때문에 도구만으로는 작업을 수행할 수 없습니다. 현재까지 다음을 모두 수행할 수 있는 단일 도구는 없습니다:

• 모든 언어 및 프레임워크의 모든 취약점 스캔
• 빠른 속도의 스캔
• 오탐(False Positive) 및 미탐(False Negative)으로 인한 이중 작업 최소화

도구는 느리고 번거로우며 다루기 힘들 수 있습니다. 무엇보다도 도구는 문제를 발견할 뿐, 이를 수정하거나 해결책을 제시하지는 않습니다. 후자의 경우 인력이 부족하고 과중한 업무에 시달리는 보안 전문가들이 끝없는 펜테스팅과 스캔 결과 속에서 보물을 찾기 위해 쓰레기를 뒤져야 합니다.

사실 IBM 사이버 보안 인텔리전스 지수 보고서에 따르면, 성공적인 데이터 침해의 95%에 인적 오류가 관여합니다. 그중 거의 절반은 직접적으로 소프트웨어 취약점과 관련이 있으며, SDLC 초기 단계에서 보안 코딩과 인식을 더 철저히 준수했다면 많은 부분을 완화할 수 있었을 것입니다. 하지만 이를 위해서는 개발자를 위한 교육에 더 날카롭고 관련성 높은 초점을 맞추고, 이를 워크플로우의 본질적인 부분으로 만드는 것이 핵심입니다.

좋든 싫든 인간은 소프트웨어 개발 과정에 깊이 뿌리박혀 있으며, 사이버 보안은 압도적으로 인간의 문제입니다. 도구가 우리의 접근 방식에 있는 근본적인 결함을 수정하는 만능 해결책이 될 수는 없지만, 인간 중심의 해결책을 재구성하는 데 중요한 지원 역할을 할 수는 있습니다.

그냥 더 좋은 도구를 (많이) 만들면 되지 않을까요?

보안 도구는 항상 발전하고 있습니다. SAST/DAST/IAST 도구는 속도와 지능 면에서 큰 발전을 이루었으며, RASP는 많은 애플리케이션 환경에서 진지하게 고려해야 할 방어 수단입니다. 방화벽, 비밀 관리자, 클라우드 및 네트워크 보안 애플리케이션 등은 말할 것도 없습니다.

인간은 항상 더 나은 도구를 만들기 위해 노력할 수 있지만, 혁신은 우리가 살고 있는 디지털 세상의 보안 및 데이터 보호 요구 사항을 따라가지 못하고 있습니다. 도구는 대부분 로봇을 염두에 두고 만들어집니다. 개발자와 보안 팀이 코드를 스캔, 모니터링 또는 보호하도록 돕는 역할을 할 수는 있지만, 상호 작용은 매우 제한적이며 보안 인식을 높이거나 더 나은 보안 결과로 이어질 수 있는 핵심 기술을 향상시키는 솔루션은 거의 없습니다.

실제로 기업의 절반 이상은 도구가 자신들에게 효과가 있는지조차 모르고 있으며, 파괴적인 데이터 침해를 막을 수 있을 것이라는 확신도 없습니다. 이는 매우 안타까운 정서이며, 다른 접근 방식에 대한 지원이 부족한 도구 중심의 업계에서는 현상 유지와 그 안의 문제들을 더욱 고착화하는 경향이 있습니다.

조직은 어떻게 사람 중심의 보안 접근 방식을 활용할 수 있을까요?

애플리케이션 보안 기술의 최신 트렌드를 파악하는 것이 유익하며, 비대해진 기술 스택의 업그레이드나 통합 우선순위를 정하는 데 도움이 된다는 점은 의심할 여지가 없습니다. 하지만 취약한 소프트웨어의 근본 원인인 '사람'을 간과한다면 사이버 보안 전쟁에서 계속 패배할 수밖에 없습니다.

코드 수준의 보안 취약점을 줄이는 데 진지하게 임하려면, 개발자들이 보안 책임을 공유하고 성공할 수 있는 기반을 마련해 주어야 합니다. 개발자에게는 실질적이고 실무적인 교육과 직무 역량 강화가 필요하며, 워크플로우를 방해하거나 보안을 번거로운 작업으로 만들지 않는 기능적인 도구가 필요합니다. 이상적으로는 개발자의 사용자 경험을 최우선으로 고려하여 설계된 개발자 중심의 도구가 필요합니다.

현재까지 개발자를 위한 공식 보안 인증 프로그램은 없지만, 모든 기업은 보안 코딩 기술을 벤치마킹하고 향상함으로써 이득을 얻을 수 있습니다. 거대한 기술 스택이 작동하여 전체 프로세스를 지연시키기 전에, 흔한 취약점들을 조기에 자주 제거하는 것이 중요합니다.

보안 의식을 갖춘 개발자 팀은 모든 조직에 숨겨진 보물과 같습니다. 하지만 가치 있는 모든 것이 그렇듯, 효과적인 드림팀을 구축하려면 시간과 노력이 필요합니다. 개발자가 보안에 관심을 갖고 보안 코딩을 코드 품질의 기본으로 여기게 하려면, 보안을 최우선으로 생각하는 조직 차원의 헌신이 필요합니다. 팀 전체가 코드를 작성하는 단계에서부터 취약점을 제거하는 데 기여할 수 있다는 점을 깨닫는다면, 그 어떤 도구도 따라올 수 없는 강력한 힘을 발휘하게 될 것입니다.