보안 개발을 선도하는 전문가들의 인사이트

사이버 보안 분야에서 영웅과 악당 사이의 경쟁은 불공평하기로 악명이 높습니다. 민감한 데이터는 새로운 금과 다름없으며, 공격자들은 방어 체계를 우회하기 위해 빠르게 적응하고 크고 작은 보안 취약점을 악용하여 막대한 이득을 취합니다.

정적 분석에 대해 알아보고, 5가지 IDE 기반 접근 방식 및 플러그인 예시를 통해 더 나은 코드를 작성하는 방법을 확인해 보세요.

일 년 중 (적어도 저희에게는) 특별한 이맘때가 되면, 지난 365일 동안 우리가 성장과 배움, 그리고 피할 수 없는 불확실성으로 가득할 새해를 맞이하기 위해 어떤 준비를 해왔는지 되돌아보게 됩니다.

An example scenario for a misconfiguration of Guice, which may lead to a NullPointerException being reported at runtime during testing.

우리는 2021년이 사이버 위협으로부터 우리 은하계를 안전하게 지키는 새로운 종류의 우주 경쟁을 주류로 끌어올리는 해가 될 것으로 예측하고 있습니다.

이 취약점은 사람의 문제나 관리상의 문제로, 이전 API가 보다 안전한 최신 버전으로 교체된 후에도 오랫동안 그대로 유지될 수 있습니다.

Sensei가 어떻게 지원 중단된 패턴을 식별하고 향후 사용해야 할 수정 사항을 제안하여 마이그레이션을 도울 수 있는지 알아보세요.

모의 해킹 및 정적 분석 스캔 도구(SAST)는 보안 위험을 완화하는 전체 과정의 일부일 뿐이며, 저희가 수행하는 작업과는 다소 독립적으로 운영됩니다. 물론 코드가 핫픽스를 위해 저희에게 다시 돌아오기 전까지는 말이죠!

Learn how Sensei can identify a coding pattern, and automatically generate a private constructor to make it impossible to instantiate the class.

새로운 업무 방식에 대한 막연한 불안감, 약간의 불신, 혹은 원격 근무 자체에 대한 회의감 등 그 이유가 무엇이든, 원격 근무를 꺼리는 기업들은 결국 우수 인재 확보와 글로벌 시장 확장, 그리고 시대의 흐름을 따라가는 데 뒤처지게 됩니다.

Learn how to use code reviews on pull requests to help enforce coding styles. And shorten the feedback cycle when pair programming with a more experienced programmer.

A quick example of creating a recipe to migrate from System.out.println to using a Java Logger.

로깅 및 모니터링 미흡 결함은 주로 모든 인증 실패 시도, 접근 거부, 입력값 검증 오류를 기록하는 사이버 보안 계획이 제대로 수립되지 않았을 때 발생합니다.

Sensei 쿡북을 공유하고 팀원 모두의 코드 품질과 생산성을 높이는 방법을 알아보세요.

Secure Code Warrior 플랫폼의 새로운 기능인 '미션(Missions)'을 공개하게 되어 매우 기쁩니다. 이번에 새롭게 선보이는 이 챌린지 카테고리는 개발자 중심 보안 교육의 다음 단계로, 사용자가 단순히 보안 지식을 암기하는 수준을 넘어 실제와 유사한 환경에서 이를 직접 적용해 볼 수 있도록 설계되었습니다.

API에서 조금 더 널리 퍼져 있을 가능성이 높지만 공격자는 네트워크 어디서나 패치가 적용되지 않은 결함이나 보호되지 않은 파일 또는 디렉터리를 찾으려고 시도하는 경우가 많습니다.디버깅이 활성화되거나 보안 기능이 비활성화된 API를 발견하면 악의적인 작업이 조금 더 쉬워집니다.

Sensei를 활용하여 개발자 온보딩을 돕고 새로운 라이브러리를 도입하는 방법을 알아보세요.

Learn all about the latest updates to Sensei.

Sensei를 사용하여 문제가 있는 코드 패턴을 찾고, 어노테이션 매칭 예제를 통해 이를 합의된 구현 방식으로 수정하는 방법을 알아보세요.

대량 할당(mass assignment) 취약점은 많은 최신 프레임워크가 클라이언트로부터 입력받은 데이터를 코드 변수나 내부 객체에 자동으로 바인딩하는 기능을 사용하도록 권장하면서 발생하게 되었습니다.

호주 정부가 사이버 보안을 강화하기 위해 적극적으로 나서고 있다는 점은 사이버 보안이 국가적 차원의 핵심 위험 요소로 인식되고 있음을 분명히 보여줍니다. 하지만 과연 그들의 전략이 충분한 범위를 포괄하고 있을까요?

Sensei 플러그인은 소스 코드에서 특정 코드 패턴을 쉽게 찾고, 재작성 규칙을 적용하여 일치하는 코드를 수정할 수 있는 방법을 제공합니다. 이 모든 과정은 IntelliJ IDE 내에서 실시간으로 이루어집니다.

Secure Code Warrior는 GitHub 코드 스캔에 맥락 기반 학습을 도입하는 GitHub Action을 구축했습니다. 이를 통해 개발자는 Snyk Container Action과 같은 타사 액션을 사용하여 취약점을 찾고, CWE별로 매우 관련성 높은 학습 콘텐츠를 결과에 추가할 수 있습니다.

기능 수준 접근 제어 누락 취약점은 사용자가 제한되어야 할 기능을 수행하거나 보호되어야 할 리소스에 접근할 수 있게 만듭니다.

모든 조직은 사이버 보안 인식의 달을 활용하여 보안 의식을 재정비할 수 있으며, 올해는 코딩 커뮤니티를 위한 새로운 무료 앱도 출시합니다!

이 취약점은 너무 많은 요청이 동시에 들어오고 API에 이러한 요청을 처리하기에 충분한 컴퓨팅 리소스가 없을 때 발생합니다.그러면 API를 사용할 수 없게 되거나 새 요청에 응답하지 않을 수 있습니다.

보안 수정 작업을 개발 프로세스 초기 단계로 앞당기는 것은 쉬운 일이 아니지만, 오늘날과 같이 프레젠테이션 도구처럼 단순해 보이는 기기조차 놀라울 정도로 복잡하고 모든 것이 네트워크로 연결된 환경에서는 반드시 필요한 과정입니다.

이 취약점의 실제 메커니즘은 다른 취약점과 유사하지만, 이 경우 과도한 데이터 노출은 법적으로 보호되거나 매우 민감한 데이터와 관련된 것으로 정의됩니다.

인증은 애플리케이션뿐만 아니라 네트워크 전체로 향하는 관문 역할을 하는 경우가 많아 공격자들의 주요 표적이 됩니다. 인증 과정에 결함이 있거나 취약점이 존재할 경우, 공격자가 이를 발견하여 악용할 가능성이 매우 높습니다.

저희 전문가 중 한 명인 오스카 퀸타스(Oscar Quintas)를 소개합니다. 그는 제품 콘텐츠 팀에서 수석 보안 연구원으로 활동하고 있으며, 인프라 코드(IaC) 분야의 독보적인 전문가이기도 합니다.

일반적으로 사용자의 입력을 사용하여 데이터 소스에 액세스하는 모든 함수에 대해 개체 수준 권한 부여 검사를 포함해야 하며, 이렇게 하지 않으면 큰 위험이 따릅니다.

사이버 공격은 날로 빈번해지고 있으며, 특히 리눅스 기반 인프라를 겨냥한 위협이 증가하고 있습니다. 이는 결국 클라우드에 저장된 민감한 데이터라는 보물 상자를 열기 위한 공격자의 노림수입니다.

조직의 입장에서 본인의 역할을 고려하며 다음 질문들을 생각해보세요. 귀사의 조직은 DevSec 테스트를 통과할 수 있을까요?

개발자가 실무에서 보안 모범 사례를 즉시 적용할 수 있도록, 반드시 숙달해야 할 핵심 모듈로 구성된 엄선된 교육 과정은 강력한 효과를 발휘할 것입니다.

업무로 바쁜 일상 속에서 개발자들이 굳이 강의실을 찾아가거나, 복잡한 5단계 과정을 거쳐 이론 위주의 교육을 들어야 할 이유가 있을까요?

접촉자 추적 앱의 도입 취지는 타당합니다. 이 기술이 제대로 작동한다면 감염병 확산을 막는 데 필수적인 요소인 감염 확산 지역을 신속하게 파악하고 포괄적인 검사를 시행할 수 있을 것입니다.

저희는 필요할 때 교육을 받는 데 따르는 장벽을 어떻게 낮출 수 있을지, 그리고 마이크로 러닝을 업무 흐름에 어떻게 더 자연스럽게 녹여낼 수 있을지 고민하기 시작했습니다.

6월 23일은 세계 여성 엔지니어의 날로, 공학 분야에서 특별한 의미를 갖는 날입니다. 이날을 맞아 소프트웨어 개발 분야에 기여한 여성들의 노고를 조명해 보고자 합니다.

이 취약성은 비즈니스 로직 규칙을 제대로 구현하지 못할 때 발생할 수 있으며, 악의적인 사용자가 악용할 시스템이 될 수 있습니다. 다양한 종류의 공격에 취약해질 수 있습니다.

Rust는 널리 사용되는 언어들의 검증된 기능적 요소들을 통합하는 동시에, 복잡성을 배제하고 성능과 안전성을 향상시키는 차별화된 철학을 따릅니다.

여기서 집중적으로 다룰 취약점 유발 행동은 신뢰할 수 없는 출처의 코드를 사용하는 것입니다. 이는 언뜻 보기엔 별문제 없어 보이지만, 실제로는 심각한 문제를 야기하는 관행입니다.

의료 분야는 차세대 사이버 보안의 '주요' 격전지가 될 수 있습니다. 범죄자들은 질병을 진단하고, 치료를 제공하며, 생명을 유지하는 의료 기기 자체를 공격 대상으로 삼고 있습니다.

보안 설정 오류, 특히 권한 설정이 잘못된 경우는 주로 개발자가 새로운 사용자를 생성하거나 특정 작업을 수행하기 위해 애플리케이션에 도구로서의 권한을 부여할 때 발생합니다.

때로는 애플리케이션이 전체 작업 부하의 일환으로 다른 프로그램과 데이터를 공유하기도 합니다. 전송 계층이 보호되지 않으면 외부의 도청은 물론 내부의 무단 열람에도 취약해질 수 있습니다.

요즘에는 암호, 개인 정보 및 재무 기록과 같은 중요한 데이터를 유휴 상태에서 해시하는 것이 모든 사이버 보안 방어의 초석입니다.

레거시 COBOL은 오래된 컴퓨터 언어임에도 불구하고 오늘날까지도 여전히 효과적으로 사용되고 있습니다. Secure Code Warrior에서 제공하는 COBOL 보안 애플리케이션 개발에 대해 자세히 알아보세요.

오늘날 대부분의 컴퓨터 보안의 핵심은 암호입니다.2단계 인증이나 생체 인식과 같은 다른 보안 방법을 사용하더라도 대부분의 조직은 암호 기반 보안 보호의 손아귀로 한 손해를 사용합니다.

보안을 조직 전체와 SDLC 전반에 걸친 공동의 책임으로 인식하는 단계에 도달해야 합니다. 이는 전폭적인 지원이 뒷받침되는 완전한 형태의 DevSecOps 환경을 구축함으로써 충분히 실현 가능합니다.

인프라 수준의 액세스 제어를 완벽하게 갖추지 못하면 기업 전체가 공격자에게 노출될 수 있으며, 공격자는 해당 취약점을 무단 스누핑이나 전체 공격의 게이트웨이로 사용할 수 있습니다.

공격자는 항상 쉽게 악용될 수 있는 취약점을 먼저 찾으려고 시도하며 스크립트를 사용하여 일반적인 약점을 찾아낼 수도 있습니다.도둑이 거리의 모든 차를 뒤져 문이 열렸는지 확인하는 것과 다르지 않습니다. 창문을 부수는 것보다 훨씬 쉽습니다.

본 콘텐츠 는 조직 내 PCI-DSS 규정 준수를 다루는 미니 시리즈의 2부입니다. 이번 마지막 장에서는 CTO와 CISO가 리더십을 발휘하여 사이버 위험을 줄이고, 규정 준수 과정을 원활하고 성공적으로 이끄는 방법, 그리고 개발자들에게는 조금 더 즐거운 경험이 될 수 있도록 만드는 방법을 상세히 설명합니다.

본 내용은 조직 내 성공적인 PCI-DSS 규정 준수를 다루는 2부작 시리즈 중 1부입니다. 이번 장에서는 AppSec 전문가가 개발 관리자와 긴밀히 협력하여 개발자의 역량을 강화하고, SSDLC를 견고히 하며, 일반적인 법규로부터 구체적인 성과를 도출하는 방법을 상세히 설명합니다.

우리 업계에서는 많은 보안 전문가들이 올해의 주요 문제를 예측하기 시작했지만, 2019년에 50억 개 이상의 민감한 데이터 기록이 도난당했기 때문에 가까운 미래에 사이버 보안에서 일어나지 않을 일을 예측하는 것이 더 정확할 것이라고 생각했습니다.

개발 초기 단계부터 보안을 도입하는 이른바 '시프트 레프트(shifting left)' 전략은 대부분 실질적인 변화를 이끌어내기에 역부족입니다.

GDPR의 도래와 독일 연방 정부의 서버뿐만 아니라 많은 유명 인사의 민감한 데이터를 노출시킨 다단계 공격에 따른 전략이 수정됨에 따라 DACH 지역의 리더들은 사이버 보안에 대한 인식과 조치를 최우선으로 여긴다는 것이 분명해졌습니다.

세상은 이제 워터폴(Waterfall), 애자일(Agile), 그리고 데브옵스(DevOps)를 넘어 다음 단계로 나아가고 있습니다. 그렇다면 그다음 솔루션은 무엇일까요? 그리고 개발자로서 이러한 변화의 흐름에 발맞추기 위해 당신은 어떤 역할을 해야 할까요?

작년 말, MITRE의 훌륭한 커뮤니티에서 2019년 전 세계에 영향을 미친 'CWE 상위 25대 위험 소프트웨어 오류' 목록을 발표했습니다. 대부분 예상했던 결과였습니다.

이 글을 시작하며 우리 스타트업이 얼마나 폭발적으로 성장하고 있는지 보여주는 수치와 통계들을 나열할 수도 있었습니다. 그 성과는 부정할 수 없을 만큼 인상적이며, 우리 회사의 성장세는 지금도 견고합니다. 하지만 제게 있어 이러한 숫자들은 2019년 한 해 동안 제가 가장 자랑스럽게 여기는 가치를 온전히 담아내지 못합니다.

DevOps를 성공적으로 구현하는 기업은 드뭅니다. 하지만 비즈니스 전반에 걸쳐 올바른 지원과 육성, 그리고 이해가 뒷받침된다면 귀사의 프로세스를 완전히 변화시킬 수 있습니다.

미국 국립표준기술연구소(NIST)는 소프트웨어 취약점과 사이버 위험을 줄이기 위한 여러 실행 계획을 상세히 담은 업데이트된 백서를 발표했습니다.

개발자를 위한 이 행사들은 제가 가장 좋아하는 연례 행사 중 하나입니다. 소프트웨어 엔지니어와 전문가들이 업무 현장에서 보안을 최우선으로 생각할 수 있도록 끊임없이 교육하고 지원하는 커뮤니티의 노력을 다시 한번 되새기게 해주는 뜻깊은 자리이기 때문입니다.

규제 관련 이니셔티브는 시간이 지남에 따라 분명히 개선되고 확대되겠지만, 조직이 지금 당장 당황하여 서둘러 교육을 도입한다면 미래에 필요한 역량을 제대로 갖추지 못할 수도 있습니다.

개발자는 다양한 배경과 삶의 궤적을 가진 사람들로 구성되어 있으며, 우리가 하는 모든 일에는 항상 공동체 의식이 깃들어 있습니다.

보안 코딩은 대학 수준의 소프트웨어 공학 교육에서 필수 과정이 되어야 하지만, 이미 일부 대학에서는 최고 수준의 교육을 제공하고 개발 초기 단계부터 보안을 최우선으로 고려하는 문화를 선도하고 있습니다.

최근 당사의 고객 성공 부문 부사장인 파테마 베이둔(Fatemah Beydoun)이 "미래를 위한 멘토링: 여성 사이버 보안 인재 육성을 위해 우리가 더 나은 방향으로 나아가는 방법"이라는 주제로 강연을 진행하여 청중들의 큰 호응을 얻었습니다. 그녀는 사이버 보안 업계 내에서 긍정적인 변화를 이끄는 데 핵심적인 역할을 해왔습니다.

역직렬화 과정에서 데이터를 신뢰할 수 있는 것으로 간주할 경우 보안 취약점이 발생할 수 있습니다. 사용자가 재구성된 데이터를 임의로 수정할 수 있다면 코드 주입, 서비스 거부 공격(DoS), 권한 상승 등 다양한 악의적인 행위를 수행할 위험이 있습니다.

많은 곳에서 새로운 이니셔티브를 최대한 활용하기 위해 여전히 강의실, 마른 교과서, 정신을 마비시키는 비디오 교육에 의존하고 있다는 사실은 정말 놀랍습니다. 특히 훨씬 더 훌륭하고 매력적이며 가치 있는 학습 방법이 있다면 더욱 그렇습니다. 바로 상황에 맞는 교육입니다.

소프트웨어 보안 업계는 따뜻하고 다정한 감성이나 기발한 관찰, 인생에 대한 통찰과는 거리가 먼 곳으로 알려져 있지만, 나이가 들면서 우리 모두가 세상에 미칠 수 있는 영향력에 대해 다시금 생각하게 됩니다.

민감한 데이터 노출은 인가된 사용자만 열람해야 할 정보가 암호화되지 않았거나, 보호되지 않았거나, 혹은 취약하게 보호된 상태로 인가받지 않은 사람에게 노출될 때 발생합니다.

십 대 보안 연구원 빌 데미르카피(Bill Demirkapi)가 학교에서 사용하는 소프트웨어의 주요 취약점을 폭로했던 일은 저에게도 옛 추억을 떠올리게 했습니다. 저 역시 소프트웨어의 내부가 어떻게 작동하는지, 그리고 제가 그것을 해킹할 수 있을지 궁금해하며 겉면을 뜯어보곤 했던 호기심 많은 아이였으니까요.

VxWorks는 일반 소비자들에게는 생소한 이름일지 모르지만, 이 소프트웨어 제품은 매일 우리 모두에게 많은 혜택을 주고 있습니다. 그런데 이제 수억 대의 VxWorks 기반 기기들이 해킹 위험에 노출될 가능성이 제기되었습니다.

간단히 XXE 인젝션이라고도 하는 XML 외부 엔티티 인젝션 (External Entity Injection) 공격은 비교적 새로운 공격이지만, 현재 해킹 커뮤니티에서 매우 인기가 있으며 성공을 거두면서 그 수가 더욱 증가하고 있습니다.

공격자가 기존 애플리케이션에 CR 또는 LF 코드를 삽입할 수 있게 되면, 때때로 애플리케이션의 동작을 변경할 수 있습니다. 이러한 공격의 영향은 다른 공격들에 비해 예측하기 어렵지만, 대상 조직에 미치는 위험성은 결코 작지 않습니다.

창의적이고 영감을 주는 CISO와 CIO는 디지털 세상을 혁신하고 만들어갈 힘을 가지고 있으며, 조직의 보안 문화를 변화시키는 데에도 중추적인 역할을 할 수 있습니다.

여러 면에서 원격 파일 포함 취약점은 로컬 파일에 대응하는 취약점보다 훨씬 위험하고 악용하기도 쉽습니다.따라서 가능한 한 빨리 발견하여 해결해야 합니다.

올해 PCI 보안 표준 위원회(PCI Security Standards Council)는 PCI 소프트웨어 보안 프레임워크의 일환으로 완전히 새로운 소프트웨어 보안 가이드라인을 발표했습니다. 이번 업데이트는 소프트웨어 보안 모범 사례를 현대적인 소프트웨어 개발 방식에 맞게 조정하는 것을 목표로 합니다.

많은 취약점과 달리, 로컬 파일 포함(LFI) 및 경로 탐색 프로세스를 악용하여 부정한 목적을 달성하려면 상당한 기술을 갖춘 공격자와 충분한 시간, 그리고 약간의 운이 필요합니다.

애플리케이션 서버와 그 기반이 되는 백엔드 시스템을 완벽하게 보안 처리했더라도, 전송 계층 보호가 미흡하면 통신 과정에서 정보가 유출될 위험이 있습니다.

XML 인젝션 공격은 해커가 XML 데이터베이스를 호스팅하는 시스템을 손상시키기 위해 고안한 아주 작은 익스플로잇입니다.여기에는 의약품부터 영화에 이르기까지 모든 것에 대한 정보를 자세하게 저장하는 기존 데이터베이스를 생각할 때 떠오르는 것들이 포함됩니다.

최근 영국 화웨이 사이버 보안 평가 센터(HCSEC)의 보고서에 따르면 화웨이의 소프트웨어 엔지니어링 프로세스에서 중대한 보안 결함이 발견되었습니다. 하지만 이는 충분히 해결 가능한 문제입니다.

Leaders in AppSec 패널은 조직의 AppSec 예산을 최대한 활용하는 방법과 같은 중요한 문제뿐만 아니라 청중으로부터 제기되는 몇 가지 복잡한 질문을 다루면서 보안 전문가가 조직 내에서 실행 가능한 프로그램을 구축하는 데 도움이 될 진정한 아침 마법을 제시했습니다.

로깅 및 모니터링 미흡은 애플리케이션 방어 체계에서 가장 위험한 요소 중 하나입니다. 이러한 취약점이나 상태가 방치될 경우, 어떠한 고도화된 공격이라도 결국 성공할 가능성이 매우 높습니다.

검증되지 않은 리다이렉트 및 포워딩을 처리할 수 있는 웹사이트나 애플리케이션을 코딩하는 것은 사용자뿐만 아니라 조직 전체에 매우 위험할 수 있습니다.

공식 발표합니다. 저희는 Bugcrowd와 힘을 합쳐 개발자들이 안전한 코딩을 배우고, 역량을 강화하며, 더 나은 통찰을 얻을 수 있도록 지원하는 데 앞장설 것입니다.

코드 인젝션 공격은 많은 웹 사이트와 애플리케이션에서 발생하는 가장 흔하고 가장 위험한 공격 중 하나입니다.이러한 공격은 정교함과 위험 측면에서 모두 뛰어나지만 사용자 입력을 받아들이는 거의 모든 사이트나 앱이 취약할 수 있습니다.

최근 발생한 GitHub 저장소 공격은 보안 업계의 고질적인 문제를 여실히 보여줍니다. 대다수의 개발자가 보안에 대한 인식이 부족하며, 이로 인해 소중한 데이터가 언제든 위험에 노출될 수 있다는 점입니다.

비즈니스 애플리케이션을 구축할 때는 내부용이든 고객 외부용이든 관계없이 모든 사용자가 모든 기능을 수행하도록 허용하지 않는 것이 일반적입니다. 만약 그렇게 한다면, 접근 제어 취약점(Broken Access Control)에 노출될 위험이 있습니다.

모든 산업 분야의 조직을 가리지 않고 사이버 공격이 급증함에 따라, 막대한 비용과 이미지 실추, 수익성 악화로 이어지는 데이터 유출의 위협은 매우 현실적인 문제가 되었습니다. 이 문제는 줄어들기는커녕 종양처럼 계속해서 커지고 있습니다.

웹 앱이 너무 많은 정보를 노출하면 공격자가 더 쉽게 침입할 수 있습니다. 이 게시물에서는 정보 노출의 정의, 위험한 이유, 방지 방법에 대해 알아보겠습니다.

모든 애플리케이션은 직접 작성하지 않은 구성 요소를 사용하므로, 해당 구성 요소의 취약점은 곧 보안 위험이 될 수 있습니다. 알려진 취약점이 있는 구성 요소를 사용하는 것이 무엇을 의미하는지, 얼마나 위험한지, 그리고 이를 어떻게 해결해야 하는지 알아보겠습니다.

개발팀과 보안 전문가 양쪽 모두에서 일해본 경험자로서, 보안 모범 사례를 준수하는 과정에서 두 팀 사이에 발생할 수 있는 갈등을 누구보다 잘 알고 있습니다. 하지만 더 나은 방법이 있습니다.

웹 사이트를 운영하거나 직원들이 컴퓨터 리소스에 원격으로 액세스할 수 있도록 하는 조직, 즉 거의 모든 사람이 직면하는 가장 일반적인 문제 중 하나를 다루겠습니다.네, 아마도 우리가 인증에 대해 이야기할 것이라고 짐작하셨을 것입니다.

애플리케이션에 자동화 방지 기능이 미흡하면 공격자가 비밀번호를 알아낼 때까지 무작위로 대입하는 공격을 지속할 수 있습니다. 이를 방지하는 방법을 소개합니다.

코딩 문제가 원인의 일부일 수는 있지만, 비즈니스 로직 오류는 대부분 앱을 처음 설계할 때 발생한 설계 결함이나 잘못된 논리적 가정에서 비롯됩니다.

사이버 보안 분야에서 우리는 종종 사냥꾼과 같습니다. 다음번에 터질 취약점을 찾아내기 위해 지평선 너머를 끊임없이 살피죠. 하지만 이렇게 앞만 보고 달리는 태도는 역설적으로 전반적인 보안 인식 수준을 떨어뜨리는 결과를 초래할 수 있습니다.

웹 사이트와 애플리케이션에서는 사용자가 이메일을 사용하여 애플리케이션을 통해 피드백 및 기타 다양한 정보를 보낼 수 있도록 하는 것이 일반적입니다.그리고 대부분의 사람들은 잠재적인 보안 위험 측면에서는 이에 대해 생각조차 하지 않습니다.

직접 객체 참조란 애플리케이션 내에서 특정 레코드(객체)를 참조하는 방식을 의미합니다. 이는 일반적으로 고유 식별자 형태를 띠며 URL에 포함되어 나타날 수 있습니다.

소프트웨어 보안은 항상 제 머릿속을 떠나지 않는 화두입니다. 점점 더 디지털화되고 개인 정보를 공유하며 살아가는 우리 일상이 직면한 실질적인 위험도 마찬가지죠. 결국 우리는 규제도, 감독도 없이 방치된 무법지대, 즉 서부 개척 시대와 같은 환경에 살고 있습니다.

오늘날의 디지털 사회에서 개발자는 안전하지 않은 암호화 저장 방식으로부터 정보와 비즈니스를 보호해야 할 책임이 있습니다. Secure Code Warrior와 함께 그 방법을 알아보세요.

대다수의 웹사이트는 사용자 로그인 자격 증명, 고객 정보, 개인 식별 정보, 기밀 또는 민감한 데이터를 보관하는 등 중요한 기능을 수행하기 위해 XML 데이터베이스를 사용하며, 이로 인해 XQuery 공격에 노출될 수 있는 범위가 상당히 넓습니다.

Kamer van Koophandel은 역할 기반 인증, Trust Score 벤치마킹, 그리고 보안에 대한 공동 책임 문화를 통해 일상적인 개발 과정에 안전한 코딩을 어떻게 내재화했는지 공유합니다.

Paysafe와 Secure Code Warrior의 파트너십을 통해 개발자 생산성이 45% 향상되고 코드 취약점이 크게 감소한 사례를 확인해 보세요.

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Devlympics 2023의 결과를 이 보고서에서 확인해 보세요. Secure Code Warrior가 주최한 이번 연례 글로벌 이벤트에 참여한 각 산업별 개발자 참여도, 기술 스택 및 언어 트렌드, 그리고 주요 취약점과 CWE에 대해 자세히 알아보실 수 있습니다.

Sage가 유연하고 관계 중심적인 접근 방식을 통해 보안을 강화하고, 200명 이상의 보안 챔피언을 양성하며 실질적인 위험 감소를 달성한 사례를 확인해 보세요.

Workday가 Secure Code Warrior의 애자일 학습을 통해 개발자 교육을 어떻게 혁신했는지 확인해 보세요. Workday는 개발자에게 실습 중심의 언어별 교육을 제공함으로써 SDLC 초기 단계에서 취약점을 줄일 수 있었습니다. 안전한 코드 문화를 구축하기 위한 Workday의 놀라운 성과와 핵심 교훈을 살펴보세요.

이 사례 연구를 통해 Thales가 개발자를 능동적인 보안 챔피언으로 육성하기 위해 어떻게 민첩한 보안 코드 학습 프로그램을 위한 인력, 프로세스, 기술적 접근 방식을 구축했는지 알아보세요.

유통 대기업 콜게이트-팜올리브(Colgate-Palmolive)가 디지털 전환 과정에서 어떻게 애플리케이션 보안을 재설계했는지 확인해 보세요. 보안 코딩 문제에 직면했던 이들은 개발자 워크플로우에 맞춤형 소규모 학습 과정을 통합하는 혁신적인 방식을 도입했습니다.

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAG 그룹은 아시아 태평양 지역의 주요 보험사들을 이끄는 기업으로, 매년 약 114억 호주 달러 규모의 보험료를 인수하며 수백만 고객의 보험을 책임지고 있습니다.

머신러닝과 사이버 보안을 비롯한 다양한 분야에서 수천 명의 직원이 실무에 바로 활용할 수 있는 최신 기술을 습득할 수 있도록 지원하는 사내 기술 교육 이니셔티브를 어떻게 구축했는지 알아보세요.

이 종합 사례 연구를 통해 Secure Code Warrior의 토너먼트를 활용하여 개발자의 참여를 유도하고, 자동차 소프트웨어에 영향을 미치는 주요 취약점에 대한 인식을 높이며, 다양한 언어와 프레임워크 전반에서 지표를 확보한 방법을 자세히 알아보세요.

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

Cyber Security Action Month (known as Cyber Security Awareness Month globally) is an annual Australian awareness campaign held in October to encourage people and businesses to improve their online security through simple everyday habits.

최근 메디케어(Medicare) 데이터 유출 사례에서 볼 수 있듯이, 기계 속도로 이루어지는 사이버 공격은 더 이상 미래의 시나리오가 아닌 현실이 되었습니다. 정부는 이제 이를 심각한 당면 과제로 인식해야 합니다.

‍

‍

10월은 사이버 보안 인식의 달입니다. 지난 1년을 돌아보면 사이버 위협은 잠시도 멈추지 않았습니다. AI 기반 피싱 캠페인과 딥페이크를 이용한 사회 공학적 해킹부터 병원, 학교, 지방 자치 단체를 겨냥한 끊임없는 랜섬웨어 공격까지, 2026년 보안 팀은 쉴 틈 없는 한 해를 보냈습니다. 30년째를 맞이한 이 연례 행사는 잠시 멈춰 서서 우리가 정말 안전해지고 있는지, 아니면 그저 바빠지기만 한 것인지 자문해 볼 수 있는 중요한 기회입니다.

OpenAI has abandoned an update of Astra planned for release in October after internal testing found safety and alignment problems - an increasing source of concern at the company.

OpenAI 에이전트가 비교적 평범한 조사 업무를 수행하던 중 호주 정부 웹사이트에 "침투"하는 사건이 발생했으며, 이는 이러한 유형의 첫 사례 중 하나로 기록되고 있습니다.

이번 사건은 앞서 발생한 AI 에이전트 침해 사고들의 연장선상에서 정렬되지 않은 AI의 위험성, 개발자의 책임, 그리고 미흡한 사고 공개 프로토콜이라는 중대한 문제들을 다시 한번 부각시켰습니다. 전문가들은 향후 발생할 수 있는 치명적인 사고를 예방하기 위해 기술적 한계 설정, 철저한 모니터링, 그리고 의무적이고 신속한 보고 체계가 시급하다고 강조합니다.

지난 6월, 메디케어(Medicare)를 포함한 최소 3개의 정부 시스템이 AI 에이전트에 의해 해킹당했습니다. 업계 관계자들은 뒤늦게 밝혀진 이번 사태에 큰 충격을 받고 있습니다.

전 세계적인 AI 규제 속도를 따라잡는 것은 기술 발전 속도를 따라잡는 것만큼이나 어려워지고 있습니다. 보안 리더들에게는 매주 새로운 기술 발전, 규제 제안, 정책 변화가 쏟아지며, 이는 이미 복잡한 위험 환경을 더욱 가중시키고 있습니다.

위협 모델링은 심층 방어 체계를 갖춘 성숙한 사이버 보안 조직에게는 결코 새로운 개념이 아닙니다. 이는 오랫동안 예방적 보안의 핵심 요소로서, 기업이 취약점을 악용당하기 전에 미리 파악하고 대응할 수 있도록 지원해 왔습니다.

Secure Code Warrior는 비개발직군 임직원이 책임감 있게 AI를 도입하고 활용할 수 있도록 돕는 AI 리터러시 교육 프로그램인 'Citizen AI'를 출시했습니다.

새로운 AI 리터러시 프로그램은 비개발직군 직원들이 AI 기반 워크플로우를 안전하게 도입하는 데 필요한 판단력, 위험 인식 능력, 책임감 있는 사용 습관을 갖추도록 지원합니다.

Secure Code Warrior는 Citizen AI by Secure Code Warrior를 발표했습니다. 이는 비개발직군 임직원을 대상으로 한 새로운 AI 리터러시 프로그램으로, 기업이 책임감 있는 AI 도입을 준비할 수 있도록 돕습니다. Citizen AI는 조직의 AI 관련 인적 리스크를 줄이고, 전사적 AI 거버넌스 이니셔티브를 지원하며, 임직원의 AI 활용 자신감을 높여 안전한 AI 워크플로우 도입을 가속화합니다.

‍

AI 소프트웨어 거버넌스 및 개발자 보안 역량 강화 분야의 선두 주자인 Secure Code Warrior는 오늘 비개발직군 임직원을 위한 새로운 AI 리터러시 프로그램인 'Citizen AI by Secure Code Warrior'를 발표했습니다. 이 프로그램은 조직이 책임감 있는 AI 도입을 준비할 수 있도록 지원하기 위해 설계되었습니다.

새로운 AI 리터러시 프로그램은 비개발직군 직원들이 AI 기반 워크플로우를 안전하게 도입하는 데 필요한 판단력, 위험 인식 능력, 책임감 있는 사용 습관을 갖추도록 지원합니다.

기업들은 AI 기반 소프트웨어 개발을 위한 거버넌스 및 개발자 교육 프로그램을 마련할 때 중요한 핵심을 놓치고 있습니다.

AI 소프트웨어 개발은 개발자와 팀을 위해 빠른 속도로 계속 진화하고 있습니다. Secure Code Warrior의 CEO이자 공동 창립자인 <aux translate="no">{{wf ... }}</aux>는 사람이 직접 작성하던 코드에서 AI 보조 코딩 및 에이전트 워크플로우로 표준이 변화함에 따라, 많은 보안 팀이 자율 시스템이 초래하는 새로운 위험을 관리해야 하는 중대한 과제에 직면해 있다고 주장합니다.

‍

‍

소프트웨어 개발 업체들이 직면한 문제는 생성형 AI를 코딩에 활용할지 여부나 생성형 AI가 작성하는 코드 비중이 조만간 늘어날 것인지가 아닙니다. 이는 이미 지난 24개월 동안 돌이킬 수 없는 흐름이 되었습니다. 지금의 핵심 과제는 생성형 AI와 AI 에이전트가 소프트웨어 코드를 생성하는 환경에서 어떻게 보안과 규정 준수를 유지할 것인가입니다.

매년 9월은 '내부자 위협 인식의 달'로서, 가장 치명적인 보안 사고 중 일부는 외부 공격자의 침입이 아닌 내부에서 발생한다는 사실을 상기시켜 줍니다. 악의적인 의도든, 부주의든, 단순한 인적 오류든, 시스템과 데이터, 시설에 대한 정당한 접근 권한을 가진 내부자는 오늘날 조직이 직면한 가장 지속적이고 탐지하기 어려운 위험 요소 중 하나입니다. 하이브리드 업무 환경, AI 기반 도구, 점점 더 복잡해지는 IT 환경이 업무 방식을 변화시킴에 따라, 내부자 위협 환경 또한 보안 전문가들의 새로운 주의를 요구하는 방식으로 계속 진화하고 있습니다.

에이전트형 AI가 생산성을 더욱 높이면서, 사람의 코드 리뷰가 심각한 병목 현상이 되고 있습니다. 개발자들은 더 상위 단계로 이동하여 AI가 규칙을 준수하도록 기본 원칙을 수립해야 합니다.

지난 10년 넘게 '설계 단계부터의 보안(security by design)' 원칙을 강조해 온 사이버 보안 업계는 인공지능(AI)이 초래하는 위험에 경악을 금치 못하고 있습니다. 기업들이 앞다투어 AI 도입을 서두르는 상황에서, 최고정보보호책임자(CISO)의 가장 시급한 과제는 조직의 걸림돌이 되지 않는 것입니다. 하지만 효과적인 AI 활용 및 거버넌스, 가시성, 추적성이 뒷받침되지 않는다면 기업은 AI 리스크에 속수무책으로 당할 수 있습니다.

Secure Code Warrior는 기존의 소프트웨어 개발 수명 주기(SDLC)에서 이른바 에이전트 기반 개발 수명 주기(ADLC)로 산업이 변화함에 따라, 조직이 소프트웨어 개발 과정에서 AI 사용을 관리할 수 있도록 돕는 프레임워크인 SCW AI 도입 모델을 발표했습니다.

많은 소프트웨어 엔지니어링 팀이 AI 코딩 어시스턴트를 넘어 본격적인 에이전트형 AI 코드 생성으로 전환하며 코드 생산량을 기하급수적으로 늘리고 있는 가운데, 코드 보안을 확보하는 것이 최우선 과제가 되었습니다. 본 연구는 AI 보조 또는 에이전트형 코드 개발을 도입하려는 조직을 위한 실질적인 지침을 제시합니다.

토큰 사용량은 기업에 예상치 못한 막대한 비용 부담을 안겨줄 수 있습니다.

AI는 개발 주기를 단축하고 개발자가 더 가치 있는 업무에 집중할 수 있도록 돕습니다. 많은 기업에게 이러한 효율성은 경쟁력을 유지하기 위한 필수 요소가 되고 있습니다. 따라서 당면한 과제는 AI 도입 여부가 아니라, 어떻게 책임감 있게 도입하느냐입니다. 개발자 교육, 거버넌스 프레임워크, AI 관측 가능성 및 강력한 보안 제어에 투자하는 기업은 관련 위험을 최소화하면서 AI의 이점을 효과적으로 누릴 수 있을 것입니다.

이제 문제는 단순히 AI 모델 자체를 보호하는 차원을 넘어섰습니다. 공격자들은 조직이 매일 의존하는 개발 도구, 미들웨어, 오픈소스 라이브러리, 자동화된 배포 파이프라인 등 AI 모델을 둘러싼 소프트웨어 생태계를 점점 더 집중적으로 노리고 있습니다.

함께 살펴보겠지만, 전 세계적으로 많은 변화가 일어나고 있으며 국가 간 협력도 이루어지고 있습니다. 하지만 특히 포괄적인 안전장치가 마련되기 전에 AI 도입이 의무화되는 비즈니스 환경에서는 앞으로 나아갈 길이 결코 일관되거나 명확하지 않습니다.  

한 전문가는 AI 가드레일이 '보안 경계'가 아닌 행동 유도를 위해 설계되었다고 지적합니다. 하지만 그 행동이 업계 파트너를 해킹하는 것이라면 어떨까요?

‍

사이버 보안 전문가들은 OpenAI의 보안 평가 과정에서 발생한 Hugging Face 인프라 침해 사고가 자율형 AI 에이전트가 초래하는 위험의 중대한 전환점이 되었다고 경고했습니다. 이번 사건에서 AI 모델은 통제된 테스트 환경을 벗어나 AI 플랫폼을 대상으로 실제 다단계 침입을 감행했습니다.

Secure Code Warrior가 발표한 연구에 따르면, AI가 생성한 코드에서는 코드베이스당 평균 15개의 보안 취약점이 확인되었습니다.

프런티어 AI가 홍보 위기를 맞고 있습니다. 7월 16일 허깅페이스가 블로그 게시물을 통해 자율 에이전트가 내부 환경을 침해했다고 주장한 후, 오픈AI는 7월 21일 게시글을 통해 GPT 5.6 Sol과 '출시 전 모델'이 통제된 테스트 환경을 벗어나면서 발생한 사건이라고 밝혔습니다.

Secure Code Warrior의 연구에 따르면, AI가 생성한 코드에는 코드베이스당 평균 15개의 취약점이 포함되어 있는 것으로 나타났습니다.

‍

Secure Code Warrior는 AI 코딩 보안을 위한 실시간 벤치마크인 SCW AI Trust Index를 도입했습니다. 이 지표는 새로운 모델이 등장할 때마다 함께 성장하며, 기업이 AI 생성 코드로 인한 보안 위험을 파악하고 관리할 수 있도록 돕습니다. 호주 RMIT 대학교와 공동 개발한 방법론을 기반으로 Secure Code Warrior가 확장한 이 연구는 주요 LLM이 얼마나 자주 보안 취약점이 있는 코드를 생성하는지에 대한 포괄적인 벤치마크를 제시하며, AI 기반 개발을 확장하는 모든 기업에 중요한 시사점을 제공합니다.

AI가 생성한 코드는 코드베이스당 평균 15개의 취약점을 포함하지만, 실제 위험은 사용된 모델보다 어떤 프레임워크와 결합하느냐에 따라 더 크게 좌우됩니다.

새로운 SCW AI Trust Index에 따르면 AI가 생성한 코드의 보안 위험은 무작위가 아니라 모델과 프레임워크에 따라 예측 가능하며, 보안 리더는 이를 통해 AI 지원 개발을 안전하게 확장할 수 있는 데이터를 확보할 수 있습니다.

AI 도입의 어려움, 끊임없는 업데이트, 그리고 업계 주도권 경쟁이 거세게 몰아치고 있으며, 보안 전문가들은 이러한 AI의 방대한 위험 요소로 인해 가장 큰 영향을 받는 직군 중 하나입니다.

호주 정부는 AI가 국가의 미래 이익에 매우 중요하다고 밝혔습니다. 그렇다면 현재 AI의 위치는 어디일까요? 업계 최고의 전문가들이 말하는 인공지능과 현대 기업에서의 역할에 대해 알아봅니다.

‍

에이전트형 AI의 등장은 소프트웨어 개발의 구조적 변화를 의미합니다. 이는 단순히 생산 주기를 가속화하는 것을 넘어, 인간의 직접적인 통제를 벗어나 자율적으로 추론하고 행동하는 시스템을 도입합니다.

AI로 생성된 코드가 보편화됨에 따라, CISO는 개발자 관행을 측정하고, AI 도구 사용을 관리하며, 소프트웨어가 운영 환경에 배포되기 전에 위험 요소를 식별할 수 있는 새로운 감사 전략을 수립해야 합니다.

2026년, 이 분야가 새로운 긴급성을 띠게 된 데에는 지금 이 순간에만 해당하는 특별한 이유가 있습니다. AI 코딩 도구와 에이전트가 코드 작성량을 비약적으로 늘리면서 배포, 테스트, 프로비저닝의 빈도 또한 급증하고 있기 때문입니다. 플랫폼 엔지니어링은 이러한 속도 향상이 실제 가치 창출로 이어질지, 아니면 혼란으로 이어질지를 결정짓는 핵심 계층입니다.

가트너의 최근 보고서에 따르면, 섀도우 AI와 무분별한 자동화의 확산이 AI 취약점을 더욱 심화시키고 있습니다. 가트너는 업무용 생성형 AI 도구를 사용하는 IT 종사자의 32%가 이를 사이버 보안 팀에 알리지 않고 있다고 지적했습니다. 로우코드/노코드 플랫폼 및 바이브 코딩(vibe coding) 관행과 결합된 AI 코파일럿은 기업의 공격 표면을 크게 확장하고 있습니다.

이번 기사에서는 보안 및 리스크 관리 책임자들에게 다음과 같은 핵심 질문을 던졌습니다. "기업의 리스크를 실질적으로 완화하는 정책과 단순히 AI 리스크를 인지하고 있음을 보여주기 위한 정책을 구분 짓는 것은 무엇인가?"

Secure Code Warrior의 Pieter Danhieux가 전하는 AI 기반 개발 리스크 관리 전략

생성형 AI가 엔터프라이즈 소프트웨어 개발 분야에 확고히 자리 잡으면서, 익숙한 분야인 리스크 관리가 그 어느 때보다 중요해지고 있습니다.

Secure Code Warrior는 오늘 업계 최초의 거버넌스 솔루션인 SCW Trust Agent: AI를 발표했습니다. 이 솔루션은 소프트웨어 개발 과정에서 인공지능(AI)의 영향을 커밋 시점에 가시화하고, 귀속시키며, 강제할 수 있도록 설계되어 기업이 소프트웨어 리스크를 측정 가능한 수준으로 통제하면서 AI 코딩 도구를 확장할 수 있도록 지원합니다.

가장 영향력 있는 애자일 방법론 요소를 중심으로 SDLC를 재편하고 DevSecOps 중심의 보안 고려 사항을 신중하게 통합하고 있음에도 불구하고, 우리가 알고 있는 AppSec은 이제 끝난 것일까요?

2026년 글로벌 정보보안 어워드(Global InfoSec Awards), Secure Code Warrior 사이버 보안 리스크 관리 및 컴플라이언스 우수 부문 수상

새로운 AI 소프트웨어 거버넌스 솔루션은 커밋 시점에 AI 생성 코드를 가시화하고, 프로덕션 이전에 정책을 강제하며, 실제 개발 활동을 측정 가능한 위험 감소로 연결합니다.

Secure Code Warrior(SCW)는 이번 주 AI 코딩 도구로 생성된 코드를 식별하고 적절한 거버넌스 정책을 자동으로 적용하는 인공지능(AI) 에이전트를 추가했습니다.