2022년에 간과해서는 안 될 사이버 보안 문제

이 기사의 원문은 Infosecurity Magazine에 게재되었습니다. 본 내용은 업데이트되어 이곳에 다시 게시되었습니다.

‍

지난 2년은 사실상 모두에게 혹독한 시련의 시간이었습니다. 갑작스럽게 원격 근무 모델로 전환되면서 대부분의 조직이 사이버 보안 체계를 시험받아야 했기 때문입니다. 특히 팬데믹 이후 사이버 범죄가 300% 급증하는 등 악의적인 공격자들의 위협이 거세짐에 따라 업계 차원에서 더욱 철저한 대비와 적응이 필요했습니다.

우리는 몇 가지 교훈을 얻었습니다. 다행스러운 점은 일반적인 사이버 보안뿐만 아니라 코드 수준의 소프트웨어 보안과 품질까지 더욱 중요하게 다뤄지고 있다는 것입니다. 바이든 행정부의 행정 명령은 솔라윈즈(SolarWinds) 대규모 침해 사고 이후 소프트웨어 공급망 보안의 핵심 문제를 수면 위로 끌어올렸습니다. 이제 우리 모두가 보안에 더 많은 관심을 기울이고, 측정 가능한 보안 인식으로 취약점을 줄이기 위해 노력하는 것이 보안 논의의 더 큰 부분을 차지하게 되었습니다.

사이버 범죄자들과 맞서 싸우려면 그들의 움직임을 한발 앞서 파악하고 예방적인 사고방식으로 그들의 활동 영역을 선제적으로 차단해야 합니다.

내년에 그들이 어떤 방식으로 위협을 가할지 예측해 보았습니다.

메타버스, 새로운 공격 표면의 등장

메타버스는 인터넷의 차세대 진화 형태일지 모르지만, 대부분의 산업 분야에서 소프트웨어와 디지털 환경을 보호하는 방식은 아직 그 변화를 따라가지 못하고 있습니다.

피싱 사기와 같은 일반적인 사이버 보안 위협은 메타버스 초기 단계에서 피할 수 없는 문제이며, 사용자들이 적응하는 동안 더욱 기승을 부릴 것입니다. 하지만 무엇보다 중요한 것은 이 몰입형 가상 세계를 가능하게 하는 실제 인프라와 기기를 안전하게 보호하는 것입니다. 스마트폰이 우리를 온라인 세상으로 이끌었듯, VR 헤드셋과 같은 주변 기기는 방대한 사용자 데이터로 향하는 새로운 관문이 될 것입니다. IoT 기기를 안전하게 만들기 위해서는 더욱 복잡한 임베디드 시스템 보안이 필요하며, 주류로 떠오르는 VR/AR 세상도 예외는 아닙니다. Log4Shell 취약점 사례에서 보았듯, 코드 수준의 사소한 오류가 공격자들에게는 침입의 통로가 될 수 있습니다. 시뮬레이션된 현실에서는 모든 움직임이 데이터로 생성되므로 탈취의 위험이 항상 존재합니다.

메타버스는 아직 초기 단계이지만, 성공적인 정착을 위해서는 암호화폐(단순한 밈 코인 투기가 아닌)와 NFT 같은 가치 있는 자산의 실질적인 도입이 필요할 것입니다. 이는 우리의 현실 자산, 신원, 데이터, 생계가 새로운 '무법지대'에 노출되어 위험에 처할 수 있음을 의미합니다. 엔지니어들이 화려한 기능과 개선 사항에 몰두하기 전에, 이 거대하고 새로운 공격 표면을 근본적으로 최소화하는 것을 최우선 과제로 삼아야 합니다.

Log4Shell 이후의 입법 움직임

널리 사용되는 Log4j 로깅 도구의 취약한 버전을 찾기 위해 혼란 속에서 고군분투해야 했던 수많은 개발자들에게 연말연시는 결코 즐거운 시간이 아니었을 것입니다.

이번 제로데이 공격은 역대 최악의 보안 사고 중 하나로 꼽히며, 6년이 지난 지금도 여전히 악용되고 있는 치명적인 하트블리드(Heartbleed) OpenSSL 취약점과 비교되기도 합니다. 이 사례를 비추어 볼 때, 우리는 앞으로도 오랫동안 Log4Shell의 여파를 겪게 될 것입니다. 하트블리드 사태를 통해 패치를 신속하게 배포하고 적용해야 한다는 교훈을 얻었음에도 불구하고, 여전히 많은 조직이 충분히 빠르게 대응하지 못하고 있습니다. 기업 규모에 따라 패치 작업은 매우 복잡하고 관료적인 절차를 거쳐야 할 수 있으며, 부서 간 문서화와 실행 과정이 필요합니다. IT 부서와 개발자들은 사용 중인 모든 라이브러리, 구성 요소, 도구에 대해 완벽하게 파악하고 있지 못한 경우가 많으며, 서비스 중단과 애플리케이션 가동 중지를 최소화하기 위한 엄격한 배포 일정에 묶여 있기도 합니다. 이러한 업무 방식에는 나름의 타당한 이유가 있지만(시스템 장애를 방지하려는 목적), 패치가 늦어지면 공격자들의 쉬운 먹잇감이 될 뿐입니다.

솔라윈즈(SolarWinds) 공격이 소프트웨어 공급망의 판도를 바꿨듯이, Log4Shell 이후에도 비슷한 변화가 일어날 것으로 예상합니다. 이미 일부 핵심 산업에서는 패치 관리 지침과 권고 사항이 존재하지만, 광범위한 입법은 또 다른 문제입니다. 예방적 소프트웨어 보안은 긴급 보안 패치를 피할 수 있는 최선의 방법이지만, 보안 모범 사례는 패치가 절대 타협할 수 없는 우선순위임을 명시합니다. 앞으로 이 문제가 뜨거운 감자가 되어 신속하고 잦은 패치를 요구하는 강력한 권고안으로 이어질 것으로 보입니다.

아키텍처 보안의 중요성 증대 (준비되지 않은 개발자들)

새로운 OWASP Top 10 2021에는 몇 가지 중요한 항목이 추가되었으며, 인젝션(Injection) 취약점이 1위에서 3위로 밀려나는 이변도 있었습니다. 이러한 변화는 개발자의 안전한 코딩과 보안 모범 사례 여정에서 '2단계'에 진입했음을 시사하지만, 안타깝게도 대부분의 개발자는 적절한 교육 없이는 위험을 줄이는 데 실질적인 기여를 하기 어려운 실정입니다.

코드 내의 일반적인 보안 버그를 해결하려면 개발자가 보안 역량을 갖춰야 한다는 사실은 이미 잘 알려져 있으며, 조직들도 개발자 주도의 예방이라는 개념에 더 잘 대응하고 있습니다. 그러나 보안 설계 미흡(Insecure Design)이 OWASP Top 10에 포함되고, 단일 보안 버그가 아닌 아키텍처 보안 문제의 범주로 다뤄짐에 따라 개발자들은 기초를 마스터한 이후에도 더 높은 수준의 역량을 요구받게 될 것입니다. 보안 팀의 지원을 받아 위협 모델링을 다루는 학습 환경은 개발자의 역량을 성공적으로 끌어올리는 데 큰 도움이 되지만, 현재로서는 대부분의 소프트웨어 엔지니어에게 상당한 지식 격차가 존재하는 상황입니다.

이러한 문제를 해결하려면 '모두의 노력'이 필요합니다. 조직은 개발자의 워크플로우를 크게 방해하지 않으면서도 그들의 호기심을 자극하여 긍정적인 보안 문화를 조성하는 역할을 해야 합니다.