증가하는 방산분야 대상 사이버 공격, 보안 강화 방법은?

1. 북한 해킹조직, SW 공급망을 통해 주요 기관·기업 노린다

국가정보원 등 관계부처가 공동 발간한 「2026 국가정보보호백서」에 따르면 북한 해킹조직은 다수 기업이 공통으로 사용하는 문서관리·그룹웨어 등 중앙관리형 소프트웨어의 취약점을 악용하는 공급망 공격을 적극적으로 활용하고 있습니다. 또한 공격 대상도 기존 정부기관과 방산·금융 분야를 넘어 제약·바이오 등 민간 첨단산업으로 확대되는 양상을 보이고 있습니다.

이처럼 공격 대상과 수법이 다양해지는 가운데 방산 분야 역시 북한 해킹조직의 주요 공격 대상 중 하나입니다. 국가정보원과 독일 헌법보호청은 2024년 북한의 방산 분야 사이버 공격에 대한 합동 사이버보안 권고문을 발표하고, 북한의 대표적인 방산 해킹 사례 2가지에 대한 공격 전략·기술·절차 등을 분석해 공격 주체와 실제 공격 수법을 소개했습니다. 북한 라자루스를 비롯한 기타 해킹조직이 북한의 국방력을 강화하고자 방산 첨단기술을 절취하는 공격을 감행하고 있으며 전 세계 기관들을 지속적으로 공격하고 있는 만큼 국정원과 헌보청은 유사 공격을 막기 위해 위협 정보를 제공한 것인데요.

이번 글에서는 이 가운데 소프트웨어 공급망을 통해 방산 연구기관을 노린 사례를 살펴보고, 방산 소프트웨어의 보안약점을 개발 단계에서 점검하는 방법까지 알아보겠습니다.

2. 웹사이트 유지보수 업체를 통한 SW 공급망 공격

국가정보원과 독일 헌법보호청이 공개한 사례에 따르면 북한 해킹조직은 2022년 말 해양·조선 기술을 연구하는 기관을 공격하면서 해당 기관을 직접 공략하지 않고 홈페이지 유지보수 업체를 먼저 해킹했습니다.

해커는 홈페이지 유지보수 업체에 침투해 기관의 SSH 접속 계정을 절취했고 여러 서버에 접근해 직원들의 계정정보까지 획득했습니다. 그리고 해당 정보를 활용해 기관의 PMS 운영 방식을 수집한 뒤, PMS 유지보수 업체 직원에게 사칭 메일을 보내 악성 패치파일을 배포하려고 했습니다. 담당자의 사전 인지로 공격에 실패하자 웹사이트 파일 업로드 취약점을 이용해 웹쉘을 업로드 하는 등 공격을 지속 시도했습니다.

위 사례는 기관에 직접 침투하는 것보다 상대적으로 보안에 취약한 기관의 협력업체를 우회해 공격을 한 것으로 ‘소프트웨어 공급망 공격’으로 볼 수 있습니다. 기관과 유지보수 업체 간의 신뢰를 악용한 것인 만큼 공급망 공격을 예방하기 위해서는 유지보수 업체의 접근에 대한 무조건적인 신뢰는 지양해야 합니다. 또한 원격 유지보수를 할 경우에는 지정된 시스템에만 접근을 허용하고 인증 후 접근 권한에 따른 통제가 필요합니다. 시스템 접속 이력 등 감사로그를 저장 및 관리해야 하며 웹사이트 구축 시에는 항상 SSL/TLS 통신을 구현해 중요 정보의 노출을 방지해야 합니다.

3. 방산 분야 보안 취약점 점검은 Sparrow SAST로!

방위사업청에서는 국가 방위 개선사업으로 획득하는 소프트웨어의 체계적인 개발 및 관리를 위한 프로세스와 산출물 작성 표준 등을 규정한 ‘무기체계 소프트웨어 개발 및 관리 매뉴얼’을 발간해 운영 중인데요. 해당 매뉴얼에는 해킹 등과 같은 사이버 공격의 원인인 보안약점을 개발 단계에서 제거하기 위해 소프트웨어 개발보안 가이드를 준수하였는지 확인하는 ‘소프트웨어 보안성 시험’이 명시되어 있습니다.

해당 매뉴얼에서는 무기체계 소프트웨어의 개발과 품질관리를 위한 절차와 기준을 다루고 있으며, 소프트웨어 보안성 시험과 보안약점 점검과 관련된 기준도 포함하고 있습니다. 방위사업청은 무기체계 소프트웨어 개발 과정에서 보안 취약점을 점검해 소프트웨어의 신뢰성과 보안성을 확보할 수 있도록 관련 기준을 지속적으로 운영하고 있습니다.

스패로우는 방산 분야의 기업 및 기관에서 ‘무기체계 소프트웨어 개발 및 관리 매뉴얼’을 준수할 수 있도록 소스코드 보안약점 분석 도구인 Sparrow SAST를 제공하고 있습니다. 방산 분야의 보안 담당자는 Sparrow SAST를 활용해 C/C++, Java, Python, php, VB.net, ASP 등의 언어와 프레임워크로 개발된 소스코드를 진단할 수 있으며 무기체계 소프트웨어 보안약점 점검 목록을 비롯한 소프트웨어 보안약점 진단가이드, 주요정보통신기반시설 취약점 분석·평가 기준, OWASP 등의 보안 규정으로 취약점을 점검할 수 있습니다. 또한, ‘네이버게이터’ 기능을 활용해 실제로 보안약점이 발견된 소스코드 라인을 확인하고 안전하게 수정하는 방법을 확인해 보다 편리하게 취약점을 조치할 수 있습니다. 공공 시큐어코딩 부문 조달 1위인 Sparrow SAST로 소스코드 취약점을 점검해 보안을 강화하세요!