[º¸¾È´º½º ¹®°¡¿ë ±âÀÚ] »çÀ̹ö °ø°£À» À§ÇùÇÏ´Â °ÍµéÀÌ ¸ÅÀÏ »õ·Ó°Ô µîÀåÇÏ´Â °Í¸¸ °°´Ù. ±×¸®°í ±× ¿©Æĵµ Á¡Á¡ ´õ Ä¿Áö°í ÀÖ´Ù. Á¦·Îµ¥ÀÌ Ãë¾àÁ¡µéÀÌ µîÀåÇÏ´Â ºóµµµµ ³ô¾ÆÁö°í ÀÖ°í, ¹°¸®Àû Ãæ°Ý±îÁö ÁÖ´Â ÇÏÀ̺긮µå °ø°ÝÀÌ »ó»ó ¼Ó¿¡¸¸ Á¸ÀçÇÏ´Â °ÍÀÌ ¾Æ´Ï°Ô µÇ¾úÀ¸¸ç, ·Î±×4¼Ð(Log4Shell)°ú °°Àº Ãë¾àÁ¡ÀÌ ¹ß°ßµÉ ¶§¸¶´Ù ¿ì¸®°¡ ´©¸®°í ÀÖ´Â Áö±ÝÀÇ ÀÎÇÁ¶ó°¡ ¾ó¸¶³ª ±úÁö±â ½¬¿î °ÍÀÎÁö ¼Ò¸§³¢Ä¥ Á¤µµ·Î Àû³ª¶óÇÏ°Ô ±ú´Ý°Ô µÈ´Ù.
[À̹ÌÁö = utoimage]
±×·¡¼ ¼ÒÇÁÆ®¿þ¾î º¸¾È¿¡ ´ëÇØ ´Ù½Ã ÇÑ ¹ø »ý°¢ÇØ º¸ÀÚ´Â ¿òÁ÷ÀÓÀÌ ¼¼È÷ ÀϾ±â ½ÃÀÛÇß´Ù. °³¹ßÇÏ°í, Ãâ½ÃÇÏ°í, ÆÐÄ¡ÇÏ°í, ¹«»çÇϱ⸦ ±âµµÇÏ´Â ±âÁ¸ÀÇ ¾ÖÇø®ÄÉÀÌ¼Ç »çÀÌŬº¸´Ù º¸´Ù ´Éµ¿ÀûÀÌ°í Àû±ØÀûÀÌ¸ç ±Ùº»ÀûÀÎ º¸È£ ¹æ¹ýÀ» ã¾Æ³ª¼± °ÍÀÌ´Ù. ±×¸®°í ÀÌ ¿òÁ÷ÀÓÀÌ 2022³â µ¿¾È ÁÖ¿ä ¾ÖÇø®ÄÉÀÌ¼Ç º¸¾È Æ®·»µå·Î¼ ÀÚ¸®¸¦ ÀâÀ» °ÍÀ¸·Î ¿¹»óµÈ´Ù. ÀÌ·¯ÇÑ ½Ã´ëÀÇ º£½ºÆ® ÇÁ·¢Æ¼½º´Â ´ÙÀ½°ú °°´Ù.
1. ¼ÒÇÁÆ®¿þ¾î °ø±Þ¸Á ³»¿¡¼ °ø°Ý Åë·Î°¡ °è¼ÓÇؼ ´Ã¾î³ª´Â Áß
°ø±Þ¸Á °ø°Ý¿¡ ´ëÇÑ ¾ð·ÐÀÇ º¸µµµéÀº ´ëºÎºÐ ¿ÀǼҽº ÆÐÅ°Áö ¹× »ýÅ°迡 ÃÊÁ¡À» ¸ÂÃß°í ÀÖ´Ù. ¼µåÆÄƼ ÆÐÅ°Áö¿Í, ¿©·¯ Á¶Á÷µé¿¡¼ »ç¿ëµÇ´Â(MS ÀͽºÃ¼ÀÎÁö³ª ¼Ö¶óÀ©Áî ³×Æ®¿öÅ© °ü¸® µµ±¸ µî) ½Ã½ºÅ۵鿡 ´ëÇÑ À̾߱⵵ °ðÀß ³ª¿À´Â ÆíÀÌ´Ù. ±× ¿Ü¿¡µµ »õ·Î¿î ¾àÁ¡µéÀÌ ¼Ó¼Ó ¹ß°ßµÇ°í ÀÖÀ¸´Ï, »ç½Ç»ó °ø±Þ¸Á Àüü°¡ ¸Å¿ì Ãë¾àÇÏ´Ù°í °á·ÐÀ» ³»·Áµµ ¹«¸®°¡ ¾ø´Ù. ÀÌ ¸ðµç ¿ä¼ÒµéÀÌ °ø°ÝÀÚµéÀÇ Ä§Åõ °æ·Î·Î¼ ÀÛ¿ëÇÑ´Ù.
¸ÕÀú ÆÐÅ°Áö °ü¸®ÀÚµéÀº ´©°¡ ºÁµµ ºÐ¸íÇÑ Á¢±Ù °æ·Î´Ù. ÇÏÁö¸¸ ±× Àü¿¡ ÆÐÅ°Áö¸¦ ¸¸µé¾î³»´Â °³¹ßÀÚµéÀÇ °³¹ß ȯ°æ°ú, ÄÚµå ¸®Æ÷ÁöÅ͸®, ¹èÆ÷¿Í Àû¿ëÀ» À§ÇÑ ÀåÄ¡µéµµ °ø°ÝÀÚµéÀÇ Á¢±ÙÀ» Çã¿ëÇÏ´Â ºÎºÐµéÀÌ´Ù. ¿©±â¼ ¹ß°ßµÇ´Â ´Ù¾çÇÑ Ãë¾àÁ¡µéÀ» ¼¼¾îº¸¸é ¼ö¹é °³µµ ³Ñ´Â´Ù´Â °É ¾Ë ¼ö ÀÖ´Ù. ¹«½¼ ¼Ò¸®Àϱî? ¡®°ø±Þ¸ÁÀÌ Ãë¾àÇÏ´Ù¡¯´Â ¹®±¸¸¸ °°À» »Ó, ±× ¼¼ºÎÀûÀÎ ³»¿ëÀº °è¼ÓÇؼ ¹Ù²ð °ÍÀ̶ó´Â ¶æÀÌ´Ù. °ø°ÝÀÚµéÀº °è¼ÓÇؼ »õ·Î¿î °ø°Ý ·çÆ®¸¦ °ø±Þ¸Á ³»¿¡¼ °³¹ßÇÒ °ÍÀÌ´Ù. º¸¾È °È¸¦ ½ÃµµÇÏ´Â ¸ðµç Á¶Á÷µéÀº °ø±Þ¸ÁÀ» ¹Ýµå½Ã °í·ÁÇØ¾ß ÇÑ´Ù.
º£½ºÆ® ÇÁ·¢Æ¼½º : º¸¾È °È¸¦ ²Þ²Ù´Â Á¶Á÷À̶ó¸é ¡®°ø±Þ¸Á¡¯ÀÌ ¾î¶»°Ô, ¾î¶² ¿ä¼Òµé·Î ±¸¼ºµÇ¾î ÀÖ´ÂÁö¸¦ ¿ÏÀüÈ÷ ÆľÇÇÏ°í ÀÌÇØÇØ¾ß ÇÑ´Ù. ¾îµð°¡ ¾î¶»°Ô Ãë¾àÇϸç, °ø°ÝÀÚµéÀÌ ¾î¶² ¹æ½ÄÀ¸·Î ÆÄ°íµé ¼ö ÀÖ´ÂÁö±îÁöµµ ¾Ë¾Æ³»¾ß ÇÑ´Ù. ±×·± ´ÙÀ½ ÀÌ·± ÁöÁ¡µéÀ» º¸È£Çϱâ À§ÇÑ ´ëÃ¥À» ¸¶·ÃÇØ¾ß ÇÑ´Ù. ¿¹Àü °°ÀÌ »ç°í°¡ ÅÍÁö±â¸¦ ±â´Ù·È´Ù°¡ ÆÐÄ¡ÇÏ´Â °Ç Áö³ªÄ¡°Ô À§ÇèÇÏ´Ù.
2. ¼ÒÇÁÆ®¿þ¾î ¹°ÀÚÇ¥°¡ ´ë¼¼°¡ µÉ ÇØ
¼ÒÇÁÆ®¿þ¾î ¹°ÀÚÇ¥¶ó´Â °³³äÀº ÀÌ¹Ì ¼ö³â ÀüºÎÅÍ Á¸ÀçÇØ ¿Ô¾ú´Ù. ¼ÒÇÁÆ®¿þ¾î¸¦ ±¸¼ºÇÏ´Â ¸ðµç ¿ä¼ÒµéÀ» Åõ¸íÇÏ°Ô ¹àÈ÷¸ç °ø±ÞÇÑ´Ù´Â ÃëÁö¿¡¼ Á¦¾ÈµÈ °ÍÀÌ ¹Ù·Î ÀÌ ¼ÒÇÁÆ®¿þ¾î ¹°ÀÚÇ¥ÀÌ´Ù. ¸¶Ä¡ À½½Äµé¿¡ »êÁö¿Í ¿µ¾ç¼ººÐÀÌ Ç¥±âµÇ´Â °Í°ú °°´Ù. ÀüÀÚÁ¦Ç°µé¿¡µµ ÀÌ·¯ÇÑ Ç¥½ÃµéÀÌ ºÙ¾î¼ À¯ÅëµÇ´Ï ¼ÒÇÁÆ®¿þ¾î¸¦ ÀÌ·± ½ÄÀ¸·Î °ü¸®ÇÑ´Ù´Â °Ô ¾ÆÁÖ ¾û¶×ÇÑ °Ç ¾Æ´Ï´Ù.
¸®´ª½ºÀç´Ü(Linux Foundation)°ú ¿ÀÇÂÀ¥¾ÖÇø®ÄÉÀ̼Ǻ¸¾ÈÇÁ·ÎÁ§Æ®(OWASP)Àº ÀÌ¹Ì ÀÌ ¡®¼ÒÇÁÆ®¿þ¾î ¹°ÀÚÇ¥¡¯¸¦ ±¸ÇöÇÏ´Â µ¥ ÇÊ¿äÇÑ ±â¼úÀ» º¸À¯ÇÏ°í ÀÖ´Ù. ¸®´ª½ºÀç´ÜÀÌ °³¹ßÇÑ °ÍÀº ¼ÒÇÁÆ®¿þ¾î ÆÐÅ°Áö µ¥ÀÌÅÍ ÀͽºÃ¼ÀÎÁö(Software Package Data Exchange, SPDX)¶ó°í Çϸç, OWASPÀÇ ±×°ÍÀº »çÀÌŬ·Ð(Cyclone)À̶ó°í ÇÑ´Ù. ÇÏÁö¸¸ ¼ÒÇÁÆ®¿þ¾î ¹°ÀÚÇ¥¸¦ µµÀÔÇÏ·Á¸é ±â¼ú¸¸ À־ ¾È µÈ´Ù. Ç¥ÁØ ¶ÇÇÑ ¸¶·ÃµÇ¾î¾ß ÇÑ´Ù. ÇöÀç ¹Ì±¹ ¿¬¹æ Á¤ºÎ´Â ¼ÒÇÁÆ®¿þ¾î ¹°ÀÚÇ¥ µµÀÔÀÇ ½Ãµ¿À» °É¾úÀ¸¸ç, Á¶¸¸°£ »ê¾÷ ³» Àû¿ëµÇ´Â °ÍÀ» º¼ ¼ö ÀÖÀ» °ÍÀ¸·Î º¸ÀδÙ.
º£½ºÆ® ÇÁ·¢Æ¼½º : ÀÌ¹Ì ¼ÒÇÁÆ®¿þ¾î ¹°ÀÚÇ¥¸¦ µµÀÔÇØ È°¿ëÇÏ°í ÀÖ´Â ±â¾÷µéÀÌ Á¸ÀçÇÑ´Ù. ¹°·Ð ´ëºÎºÐ ¡®ÆÄÀÏ·µ ÇÁ·ÎÁ§Æ®¡¯·Î¼´Ù. ÇÏÁö¸¸ Áö±ÝºÎÅÍ ÁøÇàµÇ´Â ÀÌ·¯ÇÑ ½ÃµµµéÀÌ Á¶¸¸°£ ¼ÒÇÁÆ®¿þ¾î ¹°ÀÚÇ¥ Á¦µµ°¡ Á¤½Ä µµÀԵǸé Å« ÈûÀ» ¹ßÈÖÇÒ °ÍÀÌ´Ù. ±×·¯´Ï ¹Ì¸® ÀÌ ºÎºÐ¿¡ ´ëÇØ ¾Ë¾Æº¸°í, ½Ã¹üÀû ȤÀº ºÎºÐÀûÀ¸·Î¶óµµ µµÀÔÇغ¸´Â °ÍÀÌ ÇÊ¿äÇÏ´Ù.
3. Á¦·Î Æ®·¯½ºÆ®, ÀÌÁ¦´Â ¼ÒÇÁÆ®¿þ¾î ¿£Áö´Ï¾î¸µ¿¡ ³ì¾Æµé °Í
º¸¾È Á¾»çÀÚ¶ó°í ÇÑ´Ù¸é ¡®Á¦·Î Æ®·¯½ºÆ®¡¯¶ó´Â °Í¿¡ ³¸¼³Áö ¾ÊÀ» °ÍÀÌ´Ù. ÇÏÁö¸¸ ¿ì¸®°¡ ¸»ÇÏ´Â Á¦·Î Æ®·¯½ºÆ®´Â ´ëºÎºÐ ¾ÆÅ°ÅØó¿Í ÀÎÁõ, µ¥ÀÌÅÍ Á¢±ÙÀ̶ó´Â ¸Æ¶ô¿¡¼ ³íÀǵǴ °³³äÀÌ´Ù. ¼ÒÇÁÆ®¿þ¾î °³¹ß°ú °ø±Þ¸Á º¸¾ÈÀ̶ó´Â Â÷¿ø¿¡¼ Á¦·Î Æ®·¯½ºÆ®°¡ À̾߱âµÇ´Â °æ¿ì´Â ±×¸® ¸¹Áö ¾Ê´Ù. ±×µµ ±×·² °ÍÀÌ ¾ÆÁ÷ ¼ÒÇÁÆ®¿þ¾î º¸¾ÈÀ̶ó´Â °ÍÀÌ Çö½Ç ¼Ó¿¡¼ ¡®±â´É °³¹ß ´Ù ¸¶Ä¡°í ³ªÁß¿¡ ¸¶¹«¸® ÇÒ ¶§ µ¡ºÙÀÌ´Â °Í¡¯À¸·Î ÀÌÇصǰí Àֱ⠶§¹®ÀÌ´Ù.
¼ÒÇÁÆ®¿þ¾î °ø±Þ¸Á °ø°ÝÀº °ÅÀÇ Ç×»ó °ø±Þ¸Á ³»¿¡ Á¸ÀçÇÏ´Â ½Å·Ú¸¦ ±úºÎ¼ö´Â °Í°ú °ü·ÃÀÌ ÀÖ´Ù. ¸®Æ÷ÁöÅ͸®¿¡¼ ´Ù¿î·Îµå ¹ÞÀº ÆÐÅ°Áö, ÆÐÅ°Áö¿¡ Ç¥±âµÈ ¹öÀü, µ¿·á °³¹ßÀÚ°¡ »ç¿ëÇÏ´Â ID µî ¿ì¸®´Â »ý°¢º¸´Ù ¸¹Àº °ÍÀ» ½Å·ÚÇϸç, ÀÖ´Â ±×´ë·Î ¹Þ¾ÆµéÀδÙ. ÀÌÁ¦ °³¹ß¿¡ °ü¿©µÈ ÀÌ·± ¸ðµç ¿ä¼ÒµéÀ» ÇϳªÇϳª ÀǽÉÇÏ°í Á¡°ËÇÒ ¼ö ÀÖ¾î¾ß ÇÑ´Ù. º¸¾È ÆÀµéÀÌ ÀÌ·± ÁöÁ¡µéÀ» ¹ß±¼ÇØ¾ß ÇÒ °ÍÀÌ´Ù.
º£½ºÆ® ÇÁ·¢Æ¼½º : ¼ÒÇÁÆ®¿þ¾î °³¹ß °ø±Þ¸ÁÀÇ ¸ðµç ¿ä¼Òµé¿¡ ÀÌÁß ÀÎÁõÀ» Àû¿ëÇÏ´Â °ÍÀÌ Áö±ÝÀ¸·Î¼´Â ÃÖ¼±Ã¥ÀÌ´Ù. ±×·¡¼ ±× ´©±¸µµ ´Ü¼ø ºñ¹Ð¹øÈ£ ÀԷ¸¸À¸·Î °³¹ß°ú À¯Åë °úÁ¤¿¡ Âü¿©ÇÒ ¼ö ¾øµµ·Ï ÇØ¾ß ÇÑ´Ù. ÀÌÁß ÀÎÁõÀ¸·Î ¸ðÀÚ¶ó´Ù¸é ´õ ¸¹Àº ¿ä¼ÒµéÀ» Ãß°¡ÇÏ´Â °Íµµ ÁÁÀº ¹æ¹ýÀÌ´Ù.
°á·Ð
»çÀ̹ö º¸¾ÈÀ̶ó´Â ºÐ¾ß´Â Ç×»ó °ø°ÝÀÇ Æ®·»µå¸¦ ÆľÇÇÏ°í, ±×¿¡ ¸Â°Ô ´ëÀÀÃ¥À» ¸¶·ÃÇÏ´Â °ÍÀ¸·Î Àڱ⠿ªÇÒÀ» ´ã´çÇØ¿Ô´Ù. ±×·¯¸é¼ °ú°Å¿¡ ÀÖ¾ú´ø °Íµé°ú, ¾ÕÀ¸·Î ³ª¿Ã °Íµé¿¡ ´ëÇÑ ´ëÀÀµµ º¸¾È ¾÷°èÀÇ °úÁ¦·Î ÁÖ¾îÁö°í ÀÖ´Ù. Áö±ÝÀÇ È帧 »ó 2022³â º¸¾È ÆÀµéÀº ¼ÒÇÁÆ®¿þ¾î °ø±Þ¸Á¿¡ Á» ´õ ÁýÁßÇÏ°Ô µÉ °ÍÀÌ À¯·ÂÇØ º¸À̸ç, ƯÈ÷ ¼ÒÇÁÆ®¿þ¾î ¹°ÀÚÇ¥ Á¦µµÀÇ ÃâÇö°ú Á¦·Î Æ®·¯½ºÆ®ÀÇ µµÀÔÀ̶ó´Â Å« ȹÀ» ¸ñ°ÝÇÒ Àü¸ÁÀÌ´Ù. ÇÏÁö¸¸ ÀÌ °úÁ¤À» Áö³ª°¡¸é º¸´Ù Æ°Æ°ÇÏ°í ¾ÈÀüÇÑ Á¦Ç°À» °³¹ßÇÒ ¼ö ÀÖ°Ô µÉ °ÍÀÌ´Ù.
±Û : üź ÄÚ´ÏÅ°(Chetan Conikee), CTO, ShiftLeft
[±¹Á¦ºÎ ¹®°¡¿ë ±âÀÚ(globoan@boannews.com)]
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>