조직들이 복잡한 디지털 환경으로 어려움을 겪고 있는 시대에, 공격 표면 관리(ASM) (ASM)은 현대 사이버 보안 전략의 핵심 요소로 부상하고 있습니다. ASM의 핵심은 위협 행위자에 의해 악용될 수 있는 모든 디지털 자산을 지속적으로 발견, 기록, 분류 및 모니터링하는 활동입니다. 여기에는 공개 웹 애플리케이션, 내부 네트워크, 퍼블릭 클라우드 리소스, 그리고 무엇보다도 조직의 기술 스택에 통합되거나 컴파일된 오픈소스 구성 요소가 포함됩니다.
기업이 개발 가속화와 비용 절감을 위해 오픈소스 라이브러리, 프레임워크, 도구에 의존할 때, 이러한 종속성과 관련된 보안 위험도 함께 감당해야 합니다. 오픈소스 공격 표면 관리는 과거 SolarWinds 사건과 최근 Log4j 사건 이후 그 어느 때보다 중요한 관심사가 되었습니다. 이 사건들에서 오픈소스 구성 요소 내 취약점이 발견되어 다수의 기업이 광범위한 공격을 받았습니다.
오픈소스 공격 표면 관리란 무엇인가?
오픈소스 공격 표면 관리란 조직의 기술 인프라 내 오픈소스 구성 요소로 인한 위험을 식별, 모니터링 및 완화하는 관행을 의미합니다.
기존 ASM이 경계 및 외부에서 노출되는 자산에 집중하는 반면, 오픈소스 ASM은 소프트웨어 공급망 깊숙이 파고들어 현대 애플리케이션의 구성 요소인 라이브러리, 프레임워크, 패키지를 살펴봅니다. 이는 취약점이 조직 자체 코드에만 국한되지 않고 애플리케이션이 의존하는 방대한 타사 오픈소스 종속성 생태계 전반에 내재되어 있음을 인식한 결과입니다.
기존 ASM은 일반적으로 네트워크 엔드포인트, 도메인, IP 주소 및 기타 외부 노출 자산을 발견하고 모니터링하는 데 중점을 둡니다. 오픈소스 ASM은 이 시각을 더 깊이 확장하여 애플리케이션 자체의 구성을 살펴봅니다. 이는 완전한 소프트웨어 부품 목록(SBOM)을 생성 및 업데이트하고, 종속성의 버전 정보와 알려진 취약점을 수집하며, 소프트웨어 구성 요소 간의 복잡한 관계망을 이해하는 것을 포함합니다.
오픈소스 ASM이 중요한 이유는 무엇인가?
오픈소스 소프트웨어는 현대 기업 기술 스택의 중추입니다. 일부 추정에 따르면 상용 애플리케이션의 90% 이상이 오픈소스 구성 요소를 포함하며, 평균적인 애플리케이션에는 수백 개의 오픈소스 라이브러리가 사용됩니다. 이러한 대규모 채택은 효율성을 높이고 혁신을 촉진했지만, 동시에 조직이 보호해야 할 공격 표면을 크게 확대시켰습니다.
확대되는 공격 표면
오픈소스 종속성은 보안 측면에서 심각한 함의를 지닙니다. Log4j(CVE-2021-44228)로 추적된 취약점은 수많은 조직에 경종을 울렸으며, 수백만 대의 기기에 영향을 미치고 전 세계적으로 대규모 패치 작업을 촉발했습니다. 이에 비례하여, event-stream npm 패키지 침해 사건과 같은 사고는 악의적인 의도를 가진 행위자들이 오픈 소스 라이브러리의 인기를 활용하여 다운스트림 사용자를 대상으로 공급망 공격을 수행할 수 있는 방법을 보여줍니다.
가시성 문제
대부분의 조직은 오픈 소스의 영향력에 대해 폭넓은 가시성을 확보하지 못하고 있습니다. 개발 팀은 보안 검토 없이 새로운 종속성을 도입하는 경우가 많으며, 이로 인해 보안 팀이 인지하지 못하는 이른바 "그림자 종속성"이 생성됩니다. 이러한 낮은 가시성으로 인해 패치가 제공된 지 오래되었음에도 취약점이 해결되지 않은 채 방치되어 조직이 쉽게 방지할 수 있는 공격에 노출됩니다.
규제 및 규정 준수 압박
규제 프레임워크는 조직이 정확한 소프트웨어 구성 요소 목록을 유지하고 알려진 취약점을 신속히 수정할 것을 점점 더 요구하고 있습니다. GDPR부터 PCI DSS와 같은 산업별 규정을 포함해 규정 준수는 오픈소스 ASM 원칙과 완벽히 부합하는 건전한 오픈소스 관리 관행을 필요로 합니다.
오픈소스 공격 표면 관리의 핵심 구성 요소
효과적인 오픈소스 ASM을 위해서는 기술과 프로세스를 활용하고 이를 조직에 정착시키는 체계적인 접근 방식이 필요합니다. 핵심 구성 요소들은 조직이 오픈소스 종속성으로부터 발생하는 위험을 발견하고, 우선순위를 정하며, 해결하는 데 효율적으로 작업할 수 있도록 합니다.
소프트웨어 인벤토리
오픈소스 ASM은 모든 소프트웨어 자산에 대한 잠재적으로 완전하고 정확한 목록으로 시작됩니다. 이는 사용된 모든 오픈소스 구성 요소, 버전, 라이선스 정보 및 출처를 상세히 기록한 소프트웨어 부품 명세서(SBOM)를 유지하는 것을 포함합니다. CycloneDX 및 SPDX와 같은 표준화된 형식을 통해 개발자는 이러한 종속성을 독립적으로 기술할 수 있어 가시성이 높아지고 분석이 용이하며 타인과 공유하기 쉬워집니다.
지속적인 취약점 모니터링
코드베이스를 정기적으로 스캔하고 국가 취약점 데이터베이스(NVD), GitHub 보안 권고, 언어별 취약점 피드와 같은 취약점 데이터베이스와 비교합니다. CVE 모니터링만으로는 불충분하며, 조직이 실제로 시스템을 사용하는 방식과 취약점을 연관시켜 진정으로 악용 가능한 요소를 판단해야 합니다.
위험 기반 우선순위 지정 프레임워크
모든 취약점이 동일하게 생성되는 것은 아니므로, 자원을 효과적으로 할당하기 위해 우선순위를 지정해야 합니다. 우선순위 지정은 여러 측면, 즉 취약성 정도(CVSS 점수), 환경 내 악용 가능성, 취약 구성 요소에 대한 접근성, 전반적인 비즈니스 영향 또는 사용 가능한 완화 조치 등을 기반으로 해야 합니다.
개발 파이프라인과의 원활한 통합
오픈소스 ASM을 CI/CD 파이프라인에 통합하면 ASM이 주기적인 수동 작업에서 자동화된 지속적 프로세스로 전환됩니다. 프리 커밋 훅을 통한 취약한 종속성 검사, 자동화된 빌드 시간 동안의 스캔, 컨테이너 이미지 분석을 통해 불량 종속성이 프로덕션에 도달하는 것을 방지합니다.
구제 및 완화 전략
명확하게 정의된 구제 워크플로도 발견된 취약점을 처리하기 위한 생태계의 일부입니다. 구제 전략은 패치된 버전으로 업그레이드, 가상 패치 솔루션(WAF 또는 RASP) 적용, 대체 구성 요소 사용, 패치가 제공되지 않을 경우 보상 통제 적용 등으로 구성됩니다.
오픈 소스 ASM이 해결하는 일반적인 위협
오픈소스 공격 표면 관리는 오픈소스 구성 요소를 표적으로 삼거나 이를 악용하는 다양한 보안 취약점 전반에 걸친 위협을 평가합니다. 이러한 위협을 이해함으로써 조직은 대응 조치를 보다 효과적으로 구현할 수 있습니다.
알려진 취약점의 악용
잘 보호된 시스템에 대한 가장 쉬운 진입 경로로서, 공격자들은 흔히 널리 사용되는 오픈소스 구성 요소의 알려진 취약점을 노립니다. 2017년 Equifax 침해 사건에서 드러난 지속적인 위험은 공격자들이 Apache Struts의 알려진 패치되지 않은 취약점을 악용한 사례입니다. 해당 취약점은 수개월 전 패치되었으나 Equifax 시스템에는 적용되지 않았습니다. Log4j, Spring4Shell, OpenSSL과 같은 일반적인 오픈소스 취약점이 구현 규모로 인해 공격자들의 주요 표적이 되면서, 이러한 패턴은 산업 전반에 걸쳐 지속되고 있습니다.
공급망 침해
소프트웨어 공급망은 정교한 공격자들에게 최우선 표적이 됩니다. 단일 공격 경로로 다수의 피해자를 공격할 수 있기 때문입니다. SolarWinds 사건은 이러한 공격이 초래할 수 있는 피해를 입증했으며, event-stream npm 패키지 조작과 같은 소규모 사건들은 공격자들이 표적 피해자들이 사용하는 오픈 소스 패키지를 집중적으로 노리기 시작했음을 증명했습니다. 다른 유형의 공격은 합법적인 패키지나 저장소에 코드를 삽입하거나, 빌드 서버를 해킹하거나, 개발자 계정을 탈취하는 방식입니다.
의존성 혼동 공격
의존성 혼동은 공개 저장소와 사설 저장소 간에 이름 충돌이 발생했을 때 패키지 관리자의 동작을 악용하는 공급망 공격의 한 유형입니다. 공격자는 조직의 내부 패키지와 이름이 동일한 공개 패키지를 등록할 수 있으며, 빌드 시스템은 자동으로 공개 버전(악성 버전)을 가져옵니다. 이 공격 벡터는 2021년 연구원 Alex Birsan이 대규모 조직 다수에 대해 이 공격이 얼마나 효과적인지 보여준 이후 주목받기 시작했습니다.
방치된 패키지의 위험성
오픈소스 프로젝트가 성장함에 따라 일부 패키지는 원개발자에 의해 더 이상 유지보수되지 않거나 폐기됩니다. 이러한 '사망한' 종속성은 보안 업데이트나 버그 수정을 받지 못하므로, 새로 발견된 취약점이 조직을 공격에 노출시키는 주요 보안 위험 요소가 됩니다. 악의적인 행위자들이 버려진 패키지를 장악하여 악성 코드를 주입하는 사례도 있습니다.
라이선스 준수 위반
라이선스 준수 문제는 정확히 보안 위협은 아니지만, 오픈 소스 소프트웨어 사용자에게 중대한 법적·재정적 위협이 될 수 있습니다. 일부 라이선스는 조직의 수익 모델이나 지적 재산 전략과 상충될 수 있는 요구 사항을 포함합니다. 안타깝게도 호환되지 않는 라이선스로 패키징된 코드가 의도치 않게 포함될 경우, 기업은 저작권 침해 주장, 생산 소프트웨어 체인 내 코드 강제 공개, 그리고 비용이 많이 드는 시정 조치에 직면할 수 있습니다.
오픈소스 ASM의 과제
오픈소스 ASM을 도입하는 조직은 여러 가지 과제에 직면합니다. 오픈소스 구성 요소 사용이 지속적으로 가속화됨에 따라 보안 팀은 데이터 유출 데이터 유출 및 서비스 중단으로 인한 재정적 손실이나 규제 벌금으로 이어질 수 있는 취약점으로부터 조직을 보호해야 합니다.의존성의 복잡성
현대 애플리케이션은 깊게 중첩된 의존성 구조를 지니며, 단일 애플리케이션이 수백 또는 수천 개의 직접적 및 전이적 의존성에 의존할 수 있습니다. 이는 보안 팀이 더 이상 소프트웨어가 무엇으로 구성되었는지 파악할 수 없는 "의존성 풀"을 생성합니다. 이러한 계층들은 복잡한 관계망을 형성하며, 조직 전반에 걸친 취약점의 영향을 정확히 파악하는 것은 매우 어렵습니다. 초고도 기술적 3차 또는 4차 의존성에서 발생한 중대한 취약점이 조직 내 다수 시스템으로 연쇄적으로 확산될 수 있습니다.
제한된 전체 가시성
대부분의 조직은 완전한 소프트웨어 부품 명세서(SBOM)를 보유하고 있지 않아, 환경 전반에서 사용 중인 모든 오픈소스 구성 요소를 식별할 수 없습니다. 분산된 개발 관행과 섀도우 IT, 그리고 DevOps가 소프트웨어 배포 속도를 높이는 경향으로 인해 가시성 격차는 더욱 커지고 있습니다. 구성 요소는 다양한 소스, 패키지 관리자, 컨테이너 이미지, 웹 페이지에서 복사한 내용 또는 공급업체가 제공하는 소프트웨어에서 추가될 수 있으며, 이로 인해 보안 모니터링에 사각지대가 발생합니다.
자원 부족 및 기술적 제약
효과적인 오픈 소스 ASM을 구현하려면 전문 도구와 숙련된 인력이 필요하지만, 둘 다 부족할 수 있습니다. 많은 조직은 오픈소스 보안 관리를 위한 전담 자원이 부족하며, 대신 이미 부담이 큰 개발팀과 보안팀에 책임을 분산합니다. 컨테이너화된 애플리케이션, 서버리스 함수, 동적 컴파일 코드 스캔의 기술적 어려움은 탐지 노력을 더욱 복잡하게 만듭니다.
개발 워크플로와의 통합
기존 개발 워크플로에 보안 관행을 사후 적용하는 것은 마찰을 일으켜 오픈소스 ASM 도입을 방해할 수 있습니다. 기능 제공에 집중하는 개발자들은 릴리스 주기를 늦추거나 기존 구현을 재작업해야 하는 추가 보안 게이트를 거부할 수 있습니다. 기존 보안 도구는 종종 맥락 없는 대량의 발견 사항을 생성하여 경보 피로와 효과 저하를 초래합니다.
공격 표면 관리를 위한 주요 오픈소스 도구
오픈소스 공격 표면 관리는 조직이 오픈소스 구성 요소 내 취약점을 발견, 모니터링 및 해결하는 데 도움을 주는 다양한 도구로 뒷받침됩니다.
CrowdStrike Falcon
CrowdStrike Falcon은 핵심 엔드포인트 보호 기능을 넘어 오픈소스 보안 위험 관리를 위한 강력한 기능을 제공합니다. 이 플랫폼의 애플리케이션 보안 모듈은 개발 환경을 지속적으로 스캔하여 개발 라이프사이클 초기 단계에서 취약한 오픈소스 구성 요소를 식별합니다.
RiskIQ
현재 Microsoft의 일부인 RiskIQ는 취약한 오픈소스 구성 요소에 의존하는 자산을 포함하여 조직이 외부 노출 자산을 식별하는 데 도움이 되는 강력한 공격 표면 발견 기능을 제공합니다. 이 플랫폼의 인터넷 인텔리전스 그래프는 조직의 인터넷에 노출된 인프라를 매핑하여, 구식 시스템, 잘못 구성된 서비스, 알려진 취약한 구성 요소를 실행하는 애플리케이션을 탐지합니다. RiskIQ는 내부 인벤토리에서는 종종 누락되지만 공격자에게는 접근 가능한 섀도우 IT 및 잊혀진 자산을 발견하는 데 탁월합니다.
Palo Alto Xpanse
Xpanse는 오픈 소스 취약점 탐지를 위한 전문 기능을 갖춘 포괄적인 외부 공격 표면 관리를 제공합니다. 이 플랫폼은 웹 서버 및 애플리케이션부터 네트워크 서비스와 IoT 기기에 이르기까지 취약한 오픈소스 소프트웨어를 실행하는 시스템을 식별하기 위해 인터넷에 노출된 자산을 지속적으로 모니터링합니다. Xpanse의 강점은 취약한 오픈소스 구성 요소가 종종 숨어 있는 클라우드 공급자, 자회사 및 최근 인수된 기업 전반에 걸쳐 알려지지 않거나 잊혀진 자산을 발견하는 능력에 있습니다.
Nuclei Cloud
Nuclei Cloud는 널리 사용되는 오픈소스 Nuclei 취약점 스캐너를 활용하여 조직의 외부 공격 표면에 존재하는 취약한 오픈소스 구성 요소를 지속적으로 모니터링합니다. 이 플랫폼은 템플릿 기반 스캐닝을 통해 웹 애플리케이션, API, 인프라 구성 요소 전반에 걸쳐 특정 취약점 패턴을 탐지합니다. Nuclei가 오픈소스 ASM에 특히 가치 있는 이유는 일반적인 오픈소스 취약점 검사를 포함하는 방대한 템플릿 라이브러리와 새로 발견된 문제에 대한 신속한 대응을 보장하는 커뮤니티 주도 접근 방식 때문입니다.
오픈소스 ASM 모범 사례
아래에 나열된 모범 사례는 조직이 위험 감소와 혁신 사이의 균형을 맞추는 건전한 오픈소스 ASM 프로그램을 구축하는 데 도움이 될 것입니다..
위험 기반 분류
취약점 우선순위 지정의 표준화된 접근 방식을 수립하여 단순한 CVSS 점수를 넘어서는 접근을 취하십시오. 다음과 같은 사항을 고려하십시오: 취약한 기능이 실제로 사용되고 있는가? 해당 컴포넌트가 외부 사용자에게 직접 접근 가능한가? 컴포넌트에서 처리하는 데이터가 민감한가? 보완 통제 수단이 마련되어 있는가? 이 프레임워크에 대한 문서를 작성하고 모든 팀에서 유사한 적용을 강제하십시오. 다행히 자동화 도구를 사용하면 취약점 데이터에 컨텍스트별 위험 정보를 자동으로 보강할 수 있습니다.
개발자 프로세스에 보안 내재화하기
오픈소스 ASM을 기존 개발자 도구 및 관행에 통합하여 보안을 개발 프로세스의 자연스러운 확장으로 만드십시오. 코드 작성 시 취약한 구성 요소에 대해 개발자에게 알리는 IDE 플러그인 구축 등 다양한 방법으로 구현할 수 있습니다. 애플리케이션 패키징 전 빌드 시스템을 통해 종속성을 자동으로 검사하십시오. 개발자가 보안 전문가가 아니더라도 신속하게 수정할 수 있도록 간결한 수정 지침을 마련하십시오.
거버넌스 정책 및 표준
위험 허용 수준을 허용 가능한 라이선스와 의존성에 대한 최소 유지보수자 요구사항에 매핑하는 공식적인 오픈소스 사용 정책을 수립하십시오. 이러한 정책을 적용하여 기술적 통제를 통해 CI/CD 파이프라인에서 검사를 자동화하십시오. 보안, 법무, 개발 담당자로 구성된 거버넌스 위원회를 구성하여 예외 사항과 정책 진화를 관리하십시오. 이러한 거버넌스 프레임워크는 조직 전체에 걸쳐 공통된 위험 관리 접근 방식을 허용하는 동시에, 잘 문서화된 예외 처리 프로세스를 통해 비즈니스 핵심 애플리케이션에 유연성을 부여합니다.
취약점 수정 자동화에 투자하기
발견된 취약점에 대한 대응을 간소화하기 위해 수정 프로세스에서 인적 개입을 최소화하십시오. 허용되는 경우 도구가 취약한 종속성을 안전한 대안으로 반응적으로 업데이트하는 풀 리퀘스트를 생성할 수 있도록 합니다. 개발자가 다양한 유형의 취약점에 대해 가장 빠른 해결책을 찾을 수 있도록 일반적인 수정 패턴에 대한 템플릿을 마련하십시오. 새로운 변경 사항이 기존 기능을 손상시키지 않도록 자동화된 테스트를 구현하십시오.
종속성 공급망 추적
오픈소스 공급망의 보안 상태를 평가하기 위해 더 넓은 시각을 가져야 합니다. 패키지별 유지보수자 활동, 코드 품질, 코드 보안성, 커뮤니티 지원 등을 기준으로 의존성을 평가하십시오. 의존성 저장소에서 새로운 유지보수자 추가, 비정상적인 커밋 패턴, 침해 가능성을 드러낼 수 있는 권한 변경 등 이상 활동에 경계하십시오. 체크섬이나 서명을 사용하여 무결성을 확인하고 패키지를 안전하게 다운로드하십시오.
결론
오픈 소스 공격 표면 관리는 현대 조직의 보안 관행 도입에 있어 중요한 발전입니다. 기업들이 혁신 가속화와 개발 기간 단축을 위해 오픈소스 구성 요소에 점점 더 의존함에 따라, 이러한 종속성이 야기하는 고유한 보안 문제에도 대처해야 합니다. 가시성, 모니터링 및 수정 기능을 갖춘 올바른 오픈소스 ASM을 통해 개발 속도와 이러한 위험 관리 필요성 사이의 균형을 유지할 수 있습니다.
오픈소스 ASM의 위협 사가(已知 취약점 악용부터 공급망 공격까지)는 이 분야가 성숙한 보안 프로그램을 보장하기 위한 필수 요소가 된 이유를 보여줍니다. 그러나 강력한 오픈소스 ASM 관행을 채택한 조직은 공격 표면과 신규 취약점 노출 시간을 극적으로 축소하고 새로운 위협에 대한 복원력을 강화할 기회를 더 많이 창출합니다.
"오픈 소스 공격 표면 관리(ASM)에 관한 자주 묻는 질문
오픈 소스 공격 표면 관리(ASM)는 조직의 소프트웨어 생태계 내 오픈 소스 구성 요소와 관련된 위험을 식별, 모니터링 및 완화하는 데 중점을 둔 전문 보안 분야입니다. 이는 애플리케이션 구성을 더 깊이 파고들어 현대 애플리케이션의 구성 요소를 이루는 라이브러리, 프레임워크 및 패키지를 검토함으로써 기존 ASM을 확장하여 취약점이나 규정 준수 문제를 유발할 수 있는 종속성에 대한 가시성을 제공합니다.
"공격 표면 관리를 위한 오픈 소스 도구 사용은 여러 이점을 제공합니다: 상용 솔루션 대비 비용 효율성, 특정 조직 요구사항에 맞게 도구를 맞춤화할 수 있는 유연성, 신종 위협에 신속히 대응하는 커뮤니티 주도 혁신에 대한 접근성, 보안 팀이 도구 작동 방식을 검증할 수 있는 투명성, API 기반 통합을 통한 DevOps 관행과의 호환성입니다.
"오픈 소스 및 상용 ASM 솔루션은 각각 고유한 장점을 지닙니다. 오픈 소스 도구는 일반적으로 더 높은 맞춤화, 커뮤니티 지원, 비용 절감 효과를 제공하지만 구현 및 유지 관리에 더 많은 기술 전문성이 필요할 수 있습니다. SentinelOne과 같은 상용 솔루션은 전문적인 지원, 더 정교한 자동화, 엔터프라이즈급 확장성을 갖춘 통합 플랫폼을 제공하며, 종종 런타임 보호와 같은 추가 기능을 포함합니다.
"공격 표면 관리에 널리 사용되는 도구로는 CrowdStrike Falcon, Cycode ASPM, RiskIQ, Palo Alto Xpanse 및 Nuclei Cloud가 있습니다. 각각은 런타임 보호부터 외부 공격 표면 발견 및 지속적인 모니터링에 이르기까지 취약한 오픈 소스 구성 요소를 탐지하기 위한 전문 기능을 제공합니다.
"