오픈소스 보안 대응 방법: SBOM과 SCA로 취약점 관리하기

오픈소스는 빠른 개발과 혁신을 가능하게 하지만 관리되지 않으면 취약점의 온상이 될 수 있다는 점 알고 계신가요? 이번 글에서는 폭발적으로 성장하고 있는 오픈소스 소프트웨어 시장의 현황과 Log4j, XZ 유틸즈 등 실제 오픈소스 보안 위협 사례를 소개해드립니다! 더불어 이러한 보안 위협에 어떻게 선제적으로 대응할 수 있을지 소프트웨어 자재명세서(SBOM)와 SCA(Software Component Analysis) 도구를 통한 전략도 함께 준비했습니다.

🔊 국내 오픈소스 시장 성장과 보안 중요성

과학기술정보통신부와 정보통신산업진흥원(NIPA)이 발간한 ‘2024 오픈소스 SW 실태조사’에 따르면 국내 전체 응답 기업 가운데 82.7%가 오픈소스 소프트웨어를 실제 업무에 적용하고 있다고 합니다. 국내 오픈소스 SW 시장 규모도 8854억원에 달하는 것으로 집계됐어요. 이제 오픈소스가 선택이 아닌 필수로 자리 잡았습니다.

​하지만 해당 오픈소스 도입 시 ‘보안 및 검증 취약'(63.2%), ‘라이선스 제약'(57.6%) 등 기술적 우려를 나타내는 목소리도 높았습니다. 오픈소스는 누구나 사용할 수 있는 만큼 누구도 책임을 지지 않는 경우가 발생할 수 있습니다.

​

​🚨 대표적인 오픈소스 보안 위협 사례

실제로 오픈소스의 취약점을 악용해 다양한 공격이 발생했습니다. 대표 사례를 알아볼까요?

​⚠️ 로그포제이(Log4j) : 사상 최악의 원격 코드 실행 취약점

▶ Log4j란?

아파치 재단의 오픈소스 프로그램으로 자바 언어 기반의 로깅 라이브러리 입니다. 이는 프로그램의 유지 및 관리 목적으로 로그를 남길 때 사용하는 도구로 자바 기반 서비스에서 활용되고 있습니다.

▶ Log4j에서 발생한 취약점은?

2021년 11월 발생한 이 취약점은 Log4Shell로, 공식적으로는 Log4j 원격 코드 실행 취약점(CVE-2021-44228)입니다. 이를 악용해 공격자는 서비스 권한을 획득할 수 있습니다. 자바는 가장 많이 사용하는 프로그래밍 언어이며, Log4j는 자바 사용 시 가장 널리 사용 중인 라이브러리 입니다. 따라서 수많은 IT 서비스에서 사용되고 있어 위협이 일파만파로 퍼졌고, 클라우드플레어에 따르면 취약점 발생 후 3년이 지난 시점에도 여전히 위협이 지속되고 있다고 합니다.

⚠️ XZ 유틸즈(XZ Utils) : 커뮤니티의 신뢰를 악용한 백도어 취약점

▶ XZ 유틸즈란?

리눅스 OS 운영체제에서 기본적으로 제공되며, 데이터의 압축 및 해제를 위해 널리 사용되는 리눅스 오픈소스 압축 프로그램입니다.

▶ XZ 유틸즈에서 발생한 취약점은?

XZ 유틸즈에서 백도어(CVE-2024-3094) 취약점이 발생했습니다. 공격자는 2021년부터 오픈소스 프로젝트에 참여하며 운영자와 신뢰를 쌓아 의도적으로 악성 코드를 삽입해 배포한 것으로 알려졌습니다. 해당 백도어가 동작하면 피해 서버에 인증 없이 로그인할 수 있어 주의가 필요합니다.

​

그렇다면 오픈소스 취약점 발생 시 기업 및 기관들은 어떤 조치를 취했을까요? 빠르게 취약점을 해결하기 위해 노력했을까요? 아닙니다. 바로 내가 사용 중인 제품이나 서비스에 취약점이 발생한 오픈소스가 사용되고 있는지부터 확인했어요. 오픈소스에 대한 지속적 관리가 이루어지지 않는다면 제2의 Log4j사태는 언제든지 재발할 수 있어요. 따라서 어떤 오픈소스를 어디에 사용하고 있는지 파악하고, 선제적으로 관리하는 것이 중요해졌습니다.

✅ 전략1 : 소프트웨어 자재명세서(SBOM) 활용하기!

SBOM은 말 그대로 소프트웨어에 포함된 구성 요소들이 나열되기 때문에 현재 사용 중인 오픈소스가 무엇인지, 위험한 오픈소스를 쓰고 있는지 빠르게 식별할 수 있습니다. 이는 CycloneDX, SPDX, NIS-SBOM 등 다양한 표준 형식이 있으며, 미국, 유럽 등 많은 나라들에서 제출을 의무화하고 있습니다.

✅전략2 : 자동화된 도구로 알려진 오픈소스 보안 취약점 관리!

SCA(SW Component Analysis) 도구는 오픈소스 구성 요소를 자동으로 분석해 보안 리스크를 확인하고 선제적으로 관리할 수 있습니다.

​

💡 오픈소스 보안은 Sparrow SCA로 대응하세요

스패로우의 오픈소스 리스크 및 취약점 분석 도구, Sparrow SCA는 이 모든 것을 제공합니다. 먼저, 소프트웨어에 사용 중인 오픈소스를 식별합니다. 그리고 보안 취약점 데이터 베이스(National Vulnerability Database, NVD)와 연계해 알려진 취약점을 탐지하며, CVSS 점수 기반 분석 결과와 구체적인 대응 방안 및 최신 패치 정보를 제공해요. 뿐만 아니라 CycloneDX, SPDX 등의 표준 형식으로 SBOM을 생성하고 관리할 수 있습니다. Sparrow SCA와 함께한다면 조직 내에서 어떤 오픈소스를 사용하고 있는지 편리하게 파악할 수 있어요.

한편, 최근 과기정통부 주최로 오픈소스 개발자 대회가 열렸습니다. 스패로우 장일수 대표이사님께서는 해당 대회의 조직위원으로 위촉되셨는데요! 스패로우는 오픈소스 보안과 더불어 오픈소스 시장 활성화에도 적극적으로 기여하며 오픈소스를 안전하게 누릴 수 있는 세상을 만들어나가겠습니다.