개발자가 사이버 범죄라는 괴물을 물리치려면 두 단계의 퀘스트를 수행해야 합니다.

이 기사는 DevOps.com에 게재되었던 내용을 업데이트하여 이곳에 다시 발행한 것입니다.

사이버 보안 분야에서 영웅과 악당 사이의 경쟁은 불공평하기로 악명이 높습니다. 민감한 데이터는 새로운 금맥이 되었고, 공격자들은 방어 체계를 우회하기 위해 빠르게 적응하며 크고 작은 보안 취약점을 악용해 막대한 이득을 취하고 있습니다.

생산되는 코드의 양은 점점 부족해지는 보안 전문가들이 감당하기에는 너무나 방대하며, 데이터 유출로 인한 비용 증가는 이제 변화가 필요하다는 것을 증명합니다. 다행히 우리의 디지털 안전과 전 세계 CISO들의 정신 건강을 위해, DevSecOps 운동은 개발자들이 소프트웨어 개발 초기 단계부터 보안 여정에 동참하도록 돕고 있습니다. 개발자들은 사이버 공격자에 맞서는 최전선 방어자로서 인정받고 있으며, 손끝으로 흔한 취약점들을 제거할 수 있는 힘을 갖추고 있습니다.

하지만 그들의 방어 능력은 오직 그들이 받는 교육의 질에 달려 있으며, 이는 보안 팀이 해결해야 할 또 다른 난관입니다. 업무 중 보안 코딩 교육을 받는 많은 개발자에게 가장 큰 어려움은 효과도 없고 보안에 대한 경각심을 심어주지도 못하는 지루하고 수동적인 활동 중에 깨어 있는 것입니다. 영혼 없는 영상 강의는 해결책이 되지 못하며, 형식적인 연례 교육은 시간 낭비일 뿐입니다. 작은 기회라도 노리는 악의적인 공격자를 상대로는 아무도 이길 수 없습니다.

현재 우리 업계는 실제 개발 환경에서 마주할 법한 도전 과제들을 포함하여, 관련 프로그래밍 언어와 프레임워크로 제공되는 맥락 중심의 실습 교육이 훨씬 더 효과적인 접근 방식이라는 점을 깨달았습니다.

이것이 AppSec 전문가들이 일반적인 취약점을 해결하도록 돕는 개발자 여정의 첫 번째 단계라면, 두 번째 단계는 보안 의식을 갖춘 강력한 방어군을 만들기 위해 시나리오를 현실화하는 것입니다.

성인 교육에서는 비계 설정(Scaffolded learning) 학습이 필수적입니다

과외 과정이나 직무 교육을 진행할 때, 성인 학습자는 이미 일정 수준의 경험과 지식을 갖추고 있다는 점을 간과하기 쉽습니다. 좋은 교육은 이러한 기반 위에 새로운 지식을 더하며, 더 깊은 이해와 빠른 자율 학습이 가능하도록 구조화되어 있습니다.

비계 설정 교육은 학습자의 이전 경험을 활성화하고 강화하는 동시에, 관리 가능한 단위로 새로운 기술을 구축하여 학습자가 점점 더 어려운 과제를 자신감 있게 해결하도록 돕는 강력하고 긍정적인 학습 방법입니다. 일반적으로 시연, 시각 자료, 학습 자 주도 탐색을 적절히 활용할 때 가장 효과적입니다.

이 접근 방식을 개발자 보안 교육에 대입해 보면, 이론 중심의 지루한 학습보다 실습 위주의 역동적인 학습 방식이 오랫동안 선호되어 온 것은 놀라운 일이 아닙니다. 개발자들은 자신의 영역에서 주도권을 가져야 하며, 자신의 시간이 가치 있게 쓰이고 있다고 느껴야 합니다.

그런 의미에서 매우 관련성 높고 맥락적인 환경에서 안전한 코딩을 배우는 것이 핵심이지만, 한 단계 더 나아가려면 취약한 코드가 실제로 어떻게 악용되는지 직접 확인해야 합니다. 프론트엔드와 백엔드 뷰를 나란히 놓고 보면, 코딩 과정에서 취한 행동과 보안을 소홀히 하거나 설정 오류, 실수 등으로 인해 공격자가 무엇을 할 수 있는지 사이의 실질적인 연결 고리를 이해할 수 있습니다.

진정한 예방적 보안 접근을 위해 단순 암기에서 실무 적용으로 나아가야 합니다

보안 취약점의 영향을 직접 경험하는 것은 교육의 핵심 요소이지만, 오늘날의 개발자 보안 교육 과정에서도 이를 다루는 경우는 매우 드뭅니다. 취약점을 발견하고 수정하는 기술을 연마하고, 코드를 작성할 때 동일한 버그를 제거하기 위해 그 경험을 떠올리는 기초 작업은 매우 중요하지만, 그것이 전부는 아닙니다. 악의적인 공격자가 어떻게 취약한 코드를 악용하는지 확인하는 것은 강력한 맥락을 제공하며, 이는 코드 보안의 중요성을 깊이 각인시키고 어렵게 얻은 보안 지식을 적용하여 모든 공격 경로를 차단하게 합니다.

일반적으로 개발자들은 보안을 좋아하지 않으며, 보안 교육은 더욱 싫어한다는 것이 정설입니다. AppSec 전문가들과의 경험은 종종 냉랭하며, 보안 팀이 취약한 코드를 수정하라고 다시 돌려보낼 때 발생하는 재작업은 개발자들에게 가장 큰 골칫거리입니다. 이미 업무량이 많은 엔지니어링 팀에게 보안은 자신의 우선순위가 아닌 남의 문제이자, 기능 구현이라는 본연의 창의성을 방해하는 요소일 뿐입니다. 하지만 현재의 코드 양과 데이터 유출 사고, 전 세계 데이터에 가해지는 위험을 고려할 때 이러한 사고방식은 더 이상 지속될 수 없습니다.

기능적인 DevSecOps 프로세스는 개발자가 SDLC 초기부터 보안 팀과 조화롭게 협력하도록 합니다. 시뮬레이션된 공격을 직접 경험하고 보안이 취약한 코드가 미치는 영향을 확인하는 실습 교육은 개발자들이 그 까다로운 AppSec 전문가들(알고 보면 그리 나쁘지 않은 사람들입니다)과 같은 목표를 공유하도록 만드는 데 큰 도움이 됩니다.

상호작용형 학습으로 개발자의 '보스전' 대비를 돕습니다

이 글을 쓰는 시점에 7일 동안 두 건의 대규모 데이터 유출 사고가 보고되었습니다. Razer는 10만 건 이상의 민감한 데이터 기록이 노출되었다고 발표했으며, 사무용품 체인인 Staples도 비슷한 데이터 유출 사고를 보고했습니다. 2020년에만 이미 10억 건 이상의 민감한 기록이 노출되었으며, 이 우려스러운 추세는 멈출 기미가 보이지 않습니다. 간단히 말해, 악의적인 공격자들이 우위를 점하고 있으며, 방어의 최전선에서 활약할 보안 의식을 갖춘 개발자가 절실히 필요한 상황입니다.

침해 사고를 시뮬레이션하는 대화형 챌린지는 개발자가 수동적인 암기에서 벗어나, 실제 보스전인 '공격자 저지'에 직접적인 영향을 미치는 실무 역량을 발휘하도록 돕습니다.

‍