웹 애플리케이션 보안 결함을 유발하는 간과된 인적 요소
2018년 Verizon 데이터 침해 조사 보고서는 사이버 보안의 최신 동향과 사이버 범죄 추세, 사고 원인 등을 파악하고 조직의 보안 프로그램을 성숙시키는 데 도움을 주는 통찰력을 제공하는 훌륭한 자료입니다. 올해 Verizon 조사관들은 53,000건 이상의 사고와 2,200여 건의 침해 사례를 분석했으며, 주의해야 할 점과 피해야 할 점, 보안 역량을 집중해야 할 분야에 대한 가치 있는 권고 사항을 제시합니다. 2018년 보고서는 보안의 영향력이 확대됨에 따라 더 넓은 비즈니스 영역과 관련성을 갖게 되었으며, 이제는 주요 비즈니스 문제로 인식되고 있습니다.
2018년 보고서의 여러 흥미로운 결과 중 하나는 대부분의 해킹이 여전히 웹 애플리케이션 침해를 통해 발생한다는 점을 확인했다는 것입니다(이를 보여주는 유용한 대화형 차트도 있습니다).
웹 애플리케이션 공격은 웹 애플리케이션이 공격 경로로 사용된 모든 사고를 의미합니다. 여기에는 애플리케이션의 코드 수준 취약점 악용과 인증 메커니즘 무력화가 포함됩니다. 주목할 점은 고객 소유 기기에서 탈취한 자격 증명을 사용하여 웹 애플리케이션을 공격하는 봇넷 관련 공격이 필터링됨에 따라 이 유형의 침해 건수가 감소했다는 것입니다. 탈취된 자격 증명 사용은 여전히 웹 애플리케이션 관련 침해에서 가장 흔한 해킹 방식이며, SQL 인젝션(SQL에 대해서는 나중에 자세히 다룹니다)이 그 뒤를 잇고 있습니다.
올해 보고서에서 두드러지는 주제 중 하나는 보안 문제에서 '인적 요소'가 문제의 원인이자 해결책으로서 얼마나 중요한가 하는 점입니다. 보고서는 외부 및 내부 행위자를 모두 다루며, 전체 침해 사고의 약 5분의 1(17%)이 실수로 인해 발생했다고 보고합니다. 직원이 기밀 정보를 제대로 파기하지 않거나, 잘못된 사람에게 이메일을 보내거나, 웹 서버를 잘못 설정했을 때 침해가 발생했습니다. 보고서는 이러한 실수가 고의적인 악의는 아니었지만, 모두 큰 비용을 초래할 수 있다고 지적합니다.
하지만 많은 보안 침해를 유발하는 간과된 인적 요소가 하나 있습니다. 바로 개발자들이 보안 결함이 있는 코드를 빈번하게 작성한다는 점입니다. 이러한 결함은 웹 애플리케이션 취약점으로 이어지고, 결국 침해 사고를 초래하게 됩니다.
지난 5년간 애플리케이션 테스트 결과를 보면 발견된 취약점 수에 큰 개선이 없었으며, 동일한 결함이 반복적으로 나타나고 있습니다. 40만 건의 애플리케이션 스캔을 기반으로 한 2017년 Veracode 보고서에 따르면, OWASP Top 10 정책을 통과한 애플리케이션은 30%에 불과했습니다. 놀랍게도 지난 5년간 새로 스캔한 애플리케이션 3개 중 1개꼴로 SQL 인젝션이 발견되었습니다. SQL 인젝션은 1999년부터 존재해 왔기에 이는 매우 놀라운 사실입니다. SQL 인젝션을 포함한 동일한 결함이 지속적으로 발견된다는 것은 개발자들 사이의 이러한 '인적 요소' 문제가 제대로 해결되지 않고 있음을 보여줍니다.
이 지점에서 저는 개발자들의 편에서 목소리를 높여야겠습니다. 개발자에게 보안의 중요성과 보안 취약점이 초래하는 결과, 그리고 무엇보다 각 프로그래밍 프레임워크에서 이러한 취약점이 발생하지 않도록 예방하는 방법을 가르치지 않는다면, 어떻게 안전한 코드를 작성하길 기대할 수 있을까요?
그것이 바로 Secure Code Warrior가 하는 일이며, 우리는 실습 위주의 보안 코딩 교육을 개발자의 일상에 도입한 기업들이 웹 애플리케이션 취약점 발생 건수를 줄이고 있다는 강력한 증거를 확인하고 있습니다. 개발자가 안전한 코드를 작성하려면 보안 코딩 기술을 적극적으로 구축할 수 있는 실습형 학습 기회를 정기적으로 제공받아야 합니다. 개발자는 실제 코드와 자신이 사용하는 언어 및 프레임워크를 바탕으로 최근 식별된 취약점에 대해 배워야 합니다. 이러한 학습 경험은 알려진 취약점을 찾고, 식별하며, 수정하는 방법을 이해하는 데 도움이 되어야 합니다. 또한 개발자에게는 보안을 간편하게 만들고, 업무 속도를 저해하지 않으며, 올바른 코딩 패턴과 잘못된 코딩 패턴을 실시간으로 안내하는 고품질 도구가 필요합니다.
이것이 바로 우리가 웹 애플리케이션 침해 건수를 실질적이고 긍정적으로 줄일 수 있는 방법입니다.
저는 전사적인 보안 인식 교육을 강화해야 한다는 Verizon의 의견에 전적으로 동의합니다. CIO와 CISO에게 전하고 싶은 말은 "개발자를 잊지 마십시오!"입니다. 현대 비즈니스를 설계하는 이들은 해커에게 접근 경로를 제공하는 중요한 '인적 요소'가 될 수도 있고, 반대로 최전방 방어선이자 보안 영웅이 될 수도 있습니다.
개발자를 위한 효과적인 보안 역량 강화는 향후 Verizon 보고서의 결과에 실질적인 변화를 가져올 수 있습니다. 2019년 보고서에는 개발자 보안 교육이 기업이 취할 수 있는 핵심 위험 감소 전략으로 반영되기를 바랍니다. 저는 낙관론자이지만, 기업들이 개발자에게 인젝션 결함을 방지하는 방법을 교육한다면 이 보고서에 나타난 웹 애플리케이션 취약점 수가 크게 감소할 것이라고 확신합니다.
게임화된 이상적인 교육 환경에서 개발자가 어떻게 빠르게 역량을 강화할 수 있는지 플랫폼을 직접 확인해 보세요:
개발자에게 보안의 중요성과 보안 취약점이 초래하는 결과, 그리고 무엇보다 각 프로그래밍 프레임워크에서 이러한 취약점이 발생하지 않도록 예방하는 방법을 가르치지 않는다면, 어떻게 안전한 코드를 작성하길 기대할 수 있을까요?
배포 전 AI 기반 개발 거버넌스 확보
AI 기반 위험을 측정하고, 커밋 시점에 보안 코딩 정책을 적용하며, SDLC 전반에 걸쳐 안전한 소프트웨어 제공 속도를 높이세요.
더 많은 블로그 살펴보기
보안 코딩, AI 거버넌스, 소프트웨어 리스크 관리에 관한 전문가 콘텐츠를 확인해 보세요.
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
.avif)
배포 전 AI 기반 개발 보안 확보
소프트웨어 개발 수명 주기 전반에서 개발자 리스크를 파악하고, 정책을 시행하며, 취약점을 예방하세요.
