가장 위험한 공격 유형으로 알려진 소프트웨어 공급망 공격 방어를 위해 소프트웨어 자재 명세(SBOM)가 요구된다. 그런데 SBOM의 무결성을 어떻게 검증할 것인지, SBOM에 대한 형상관리 문제는 어떻게 할 것인지, SBOM 유출·악용될 가능성은 없는지 확인해야 한다.

윤종원 스패로우 CTO는 “SBOM은 소프트웨어 공급망 보안의 시작이라고 할 수 있다. 그러나 SBOM이 개발된 소프트웨어 구성요소를 다 담았는지, 무결성이 지켜지면서 배포·운영되고 있는지, 유출·악용 가능성은 없는지 반드시 검증해야 한다”며 “안전한 SBOM 유통과 관리를 위한 플랫폼이 필요하다”고 강조했다.

윤종원 CTO는 그 방안으로 스패로우가 준비하고 있는 시큐어체인(Secure Chain) 서비스를 제안한다. 이 서비스는 소프트웨어 공급사가 제공한 SBOM의 투명성을 증명하고, 안전하게 공유할 수 있도록 SBOM을 클라우드로 전달하는 서비스로, 공급사와 수요사의 신뢰를 보장하고 모두가 투명하고 안전한 소프트웨어 공급망을 보장하기 위한 것이다.

스패로우는 자체 소프트웨어 구성 분석(SCA) 도구를 통해 SBOM을 생성하며, 생성된 SBOM이 안전하게 공유될 수 있도록 지원한다. 수요기업이 SBOM 리포지토리를 구성, 운영하면서 지속적으로 최신성을 유지할 수 있도록 돕는다.

안전한 SBOM 생성·관리로 SW 공급망 보호

스패로우는 애플리케이션 보안 테스트(AST) 도구를 공급하는 국내 전문기업으로, 정적분석(SAST), 동적분석(DAST), 오픈소스 리스크와 취약점 분석을 위한 SCA를 지원한다. 개발중인 소스코드와 외부에서 가져온 컴포넌트, 웹 취약점을 분석하며, 외부 취약점 데이터베이스와 연계해 새로운 취약점의 영향을 받는 구성요소를 빠르게 식별해 조치할 수 있도록 돕는다.

윤종원 CTO는 “소프트웨어 공급망 보안을 이야기할 때, 오픈소스 취약점 관리와 SBOM을 주로 이야기하는데, 그것만이 문제는 아니다. 사용하는 모든 코드의 취약점을 지속적으로 관리해야 하며, 개발 단계에서 생성한 SBOM이 지속적으로 관리되는지도 살펴봐야 한다”며 “스패로우는 정부 시범사업을 통해 SBOM 생성과 관리 프로세스를 점검했다. 앞으로 소프트웨어 공급망 전반을 보호할 수 있는 프로세스도 검증해 나갈 것”이라고 밝혔다.

애플리케이션 가시성 확보해 SW 라이프사이클 보호

윤 CTO는 앞으로 AI가 작성한 코드의 취약점으로 인한 문제가 심각하게 대두될 것이라고 전망했다. AI가 직접 코딩하거나, 코딩 과정에서 AI를 이용해 오류와 취약점을 찾아내는 것이 대세를 이루고 있다. 그런데 AI 코딩과 품질·보안성 점검 역시 오픈소스를 이용하거나 기존 코드를 학습한 것이기 때문에 오류와 취약점이 없을 수 없다. 따라서 AI가 작성하거나 검증한 것에도 취약점이 있다는 것을 전제로 공급망 보안 전략을 수립해야 한다.

API 보안에도 코드 취약점 점검이 반드시 필요하다. API의 논리적 오류와 취약점을 이용한 공격이 늘어나고 있기 때문에 이를 보호하는 도구가 필요하다. API 취약점 점검, API 자재 명세(API-BOM)과 API 보안 태세관리(API-SPM), 그리고 API 모의해킹 등이 필수다.

윤 CTO는 “AI 코딩, API 모두 소프트웨어 개발·운영과 관련된 보안 취약점, 설계상 오류가 문제가 된다. 스패로우는 이러한 문제를 해결할 수 있는 여러 도구와 기술을 지속적으로 개발하고 플랫폼화 해 애플리케이션 보안 태세 관리(ASPM)으로 확장해나갈 계획이다”라며 “애플리케이션의 모든 구성요소와 자산 현황에 대한 가시성을 지원하며, 식별된 취약점에 대한 정확한 가이드를 제공해 취약점 관리를 효율화 할 것”이라고 밝혔다.

그는 “소프트웨어 취약점 공격은 지금보다 한층 더 심각한 피해로 이어질 것이다. 스패로우는 AI를 이용해 실제로 악용 가능한 취약점을 찾아내고, 영향도에 따른 우선순위를 제안해 취약점 조치 업무를 효율화하고 있다. 이를 앞으로 더욱 고도화해 보안팀의 업무를 증가시키지 않으면서 소프트웨어 라이프사이클 전체를 안전하게 지원하겠다”고 덧붙였다.