OWASP Top 10 2025: 소프트웨어 공급망 장애

많은 기대를 모았던 2025 OWASP Top 10이 발표되면서, 기업들은 새롭게 추가된 위협들에 각별히 주의를 기울여야 합니다. 그중 하나는 목록 최상위권에 자리 잡고 있습니다. 소프트웨어 공급망 장애는 새로운 범주로 등장했지만 완전히 새로운 개념은 아니며, 웹 애플리케이션 보안에 대한 가장 심각한 위험을 다루는 OWASP의 4년 주기 목록에서 3위를 차지했습니다. 이는 아직 대비하지 않은 기업이라면 매우 심각하게 받아들여야 할 위험 요소입니다.

소프트웨어 공급망 장애는 2021년 이전 목록의 취약하고 오래된 구성 요소 범주에서 발전한 것으로, 이제는 종속성, 빌드 시스템, 배포 인프라로 구성된 소프트웨어 생태계 전반의 광범위한 침해 사례를 포함합니다. 2019년 솔라윈즈(SolarWinds) 사태, 올해 초 발생한 바이비트(Bybit) 해킹, 그리고 현재 진행 중인 샤이-훌루드(Shai-Hulud) 캠페인과 같이 노출된 개발 환경을 파괴하는 악성 npm 웜 사례 등 세간의 이목을 끈 공급망 공격으로 인한 피해를 고려할 때, 이 범주의 등장은 놀라운 일이 아닙니다.

OWASP Top 10은 4년마다 발표되는 목록의 특성상 중간 업데이트가 있더라도 대체로 일관성을 유지해 왔습니다. 보통 목록 내에서 순위 변동이 발생하는데, 예를 들어 오랫동안 상위권이었던 '인젝션(Injection)'은 3위에서 5위로, '보안되지 않은 설계(Insecure Design)'는 두 단계 하락한 6위로 내려갔으며, '보안 구성 오류(Security Misconfiguration)'는 5위에서 2위로 급상승했습니다. '손상된 접근 제어(Broken Access Control)'는 여전히 1위 자리를 지키고 있습니다. 2025년 판에는 앞서 언급한 '소프트웨어 공급망 장애'와 10위로 진입한 '예외 상황의 부적절한 처리(Mishandling of Exceptional Conditions)'라는 두 가지 새로운 항목이 추가되었습니다. 여기서는 새로운 공급망 취약점 항목을 자세히 살펴보겠습니다.

[영상 보기]

어디서든 발생할 수 있는 취약점

소프트웨어 공급망 장애는 OWASP 연구 데이터에서 발생 빈도는 가장 낮지만, 해당 범주에 속한 5가지 공통 약점 열거(CWE) 항목으로 인한 평균 공격 및 영향 점수는 가장 높다는 점에서 다소 이례적인 범주입니다. OWASP는 이 범주의 낮은 발생 빈도가 현재 테스트 기술의 한계 때문일 수 있으며, 향후 개선될 여지가 있다고 보고 있습니다. 그럼에도 불구하고 설문 조사 응답자들은 압도적으로 소프트웨어 공급망 장애를 최우선 관심사로 꼽았습니다.

대부분의 공급망 취약점은 상하위 파트너 및 제3자와 얽힌 비즈니스의 상호 연결성에서 비롯됩니다. 모든 상호 작용에는 구성 요소(종속성 또는 라이브러리)가 보호되지 않을 수 있는 소프트웨어가 포함됩니다. 기업이 자체 구성 요소(클라이언트 측, 서버 측 또는 중첩된 구성 요소)의 모든 버전과 전이적 종속성(다른 라이브러리에서 파생된 것)을 추적하지 않아 취약하거나 지원이 중단되었거나 오래된 상태라면 위험에 노출될 수 있습니다. 구성 요소는 일반적으로 애플리케이션과 동일한 권한을 가지므로, 제3자나 오픈 소스 저장소에서 가져온 구성 요소가 손상될 경우 광범위한 영향을 미칠 수 있습니다. 적시 패치와 업데이트는 필수적이며, 정기적인 월간 또는 분기별 패치 일정만으로는 며칠에서 몇 달 동안 기업이 무방비 상태로 노출될 수 있습니다.

마찬가지로, 통합 개발 환경(IDE)이나 코드 저장소, 이미지 및 라이브러리 저장소, 또는 공급망의 다른 부분에 대한 변경 사항을 추적하지 않는다면 공급망에 대한 변경 관리 프로세스 부재로 인해 취약점이 발생할 수 있습니다. 조직은 접근 제어 및 최소 권한 정책을 적용하여 공급망을 강화해야 하며, 감독 없이 개인이 코드를 생성하고 프로덕션에 배포할 수 없도록 하고, 신뢰할 수 없는 출처에서 구성 요소를 다운로드하지 못하도록 해야 합니다.

공급망 공격은 다양한 형태로 나타납니다. 악명 높은 솔라윈즈 공격은 러시아 공격자들이 회사의 인기 있는 네트워크 관리 소프트웨어 업데이트에 악성 코드를 주입하면서 시작되었으며, 약 18,000개의 고객사에 영향을 미쳤습니다. 실제로 피해를 본 기업은 100여 곳에 불과했지만, 그 목록에는 주요 대기업과 정부 기관이 포함되어 있었습니다. 북한 소행으로 추정되는 15억 달러 규모의 바이비트 해킹은 손상된 암호화폐 앱과 관련이 있습니다. 최근 발생한 글래스 웜(Glass Worm) 공급망 공격은 Open VSX 마켓플레이스를 감염시킨 보이지 않는 자기 복제 코드를 포함하고 있었습니다.

공급망 공격 예방

공급망 공격은 시스템 간의 상호 의존성을 이용하므로, 이를 방어하려면 포괄적인 접근 방식이 필요합니다. OWASP는 다음과 같은 패치 관리 프로세스를 포함한 공격 예방 팁을 제공합니다.

• Know your Software Bill of Materials (SBOM) for all software and manage the SBOM centrally. It’s best to generate SBOMs during the build, rather than later, using standard formats, such as SPDX or CycloneDX, and to publish at least one machine-readable SBOM per release.
• Track all of your dependencies, including transitive dependencies, removing unused dependencies, as well as unnecessary features, components, files and documentation. 
• Continuously inventory both client-side and server-side components and their dependencies using tools, such as OWASP Dependency Check or retire.js.
• Stay up to date on vulnerabilities, continuously monitoring sources such as the Common Vulnerabilities and Exposures (CVE) website and the National Vulnerability Database (NVD) and subscribe to email alerts for security vulnerabilities related to the components you use.
• Use components obtained only from trusted sources over secure links. A trustworthy provider, for instance, would be willing to work with a researcher to disclose a CVE the researcher discovered in a component.
• Deliberately choose which version of a dependency you will use and upgrade only when you need to. Work with third-party libraries that have had their vulnerabilities published in a well-known source such as NVD. 
• Monitor for unmaintained or unsupported libraries and components. If patching is not possible, consider deploying a virtual patch to monitor, detect or protect against the discovered issue.
• Regularly update developer tooling.
• Treat components in your CI/CD pipeline as part of this process, hardening and monitoring them while documenting changes.

변경 관리 또는 추적 프로세스는 CI/CD 설정, 코드 저장소, 샌드박스, 통합 개발 환경(IDE), SBOM 도구, 생성된 아티팩트, 로깅 시스템 및 로그, SaaS와 같은 제3자 통합, 아티팩트 저장소 및 컨테이너 레지스트리에도 적용되어야 합니다. 또한 개발자 워크스테이션부터 CI/CD 파이프라인에 이르기까지 시스템을 강화해야 합니다. 다중 인증을 활성화하고 강력한 ID 및 접근 관리 정책을 시행하십시오.

소프트웨어 공급망 장애로부터 보호하는 것은 고도로 상호 연결된 현대 사회에서 다각적이고 지속적인 노력입니다. 조직은 급변하는 현대의 위협에 대응하기 위해 애플리케이션과 구성 요소의 전체 수명 주기 동안 강력한 방어 조치를 취해야 합니다.

SCW Trust Score™ 사용자 참고 사항:

학습 플랫폼 콘텐츠를 OWASP Top 10 2025 표준에 맞춰 업데이트함에 따라, 풀스택 개발자의 Trust Score에 약간의 조정이 있을 수 있습니다. 질문이 있거나 지원이 필요한 경우 고객 성공 담당자에게 문의해 주십시오.