.jpg)
.jpg)
쉽게 패치 관리하라고 정해 둔 패치 튜즈데이, 보안 담당자들의 악몽
가장 많을 때는 하루에 500개 이상...윈도 보유한 MS가 취약점 가장 많아
[보안뉴스 문가용 기자] 2020년 현재까지 공개된 취약점이 2019년 한 해 동안 공개된 취약점보다 많아지기 직전이다. 보안 담당자들에게 어마어마한 스트레스가 예약된 것과 같다고 보안 업체 리스크 베이스드 시큐리티(Risk Based Security, RBS)는 해석했다. RBS에 따르면 “2020년 전반기에 공개된 취약점은 총 11,121개”라고 한다.
발견되는 취약점이 계속해서 증가하는 가운데 나타나는 한 가지 패턴이 있다. ‘패치 튜즈데이’에 공개되는 취약점이 같은 달 그 어떤 날에 발견되는 취약점보다 압도적으로 많다는 것이다. MS, SAP, 어도비, 지멘스, 슈나이더 등의 정기 패치일을 가리키는 ‘패치 튜즈데이’에는 애플, 모질라, 인텔, 시스코 등이 비정기적으로 참여하기도 한다.
올해 4월의 ‘패치 튜즈데이’였던 14일에는 단 하루 동안 506개의 새로운 취약점이 공개됐다. 이 중 79%가 7개 회사의 제품에서 나온 것들이었다. 7월 14일에는 491개가 공개됐고 67%가 마이크로소프트와 오라클 단 두 곳에서 나왔다. RBS는 “하루에 500개 취약점이라니, 이 양을 감당할 수 있는 조직은 어디에도 없다”며 “마이크로소프트, 오라클, 어도비 제품을 모두 사용하는 조직들의 보안 담당자는 생지옥을 맛 봤을 것”이라고 설명했다.
현재까지 집계된 바 마이크로소프트의 취약점 수는 작년 대비 150% 증가한 상태다. 여기에는 여러 가지 요인이 있다고 RBS는 설명한다.
1) MS가 버그 관련 보고서를 더 적극적으로 접수하고 있다.
2) 보안 전문가 커뮤니티와 활발하게 소통하고 있다.
3) 윈도 10의 코드베이스는 윈도 7의 그것보다 크다. 따라서 오류 가능성이 높다.
그 다음으로 많은 취약점 패치를 발표한 곳은 오라클로 현재까지 612개의 취약점이 공개됐다.그 다음은 563개의 구글, 550개의 레드햇, 519의 수세, 446개의 IBM, 430개의 델, 376개의 시스코, 363의 캐노니컬 순으로 이어진다고 RBS는 발표했다.
제품 별로 취약점 수를 집계할 경우 다음과 같이 나타났다.
1) 윈도 10(478)
2) openSUSE Leap(464)
3) 윈도 서버 2019(436)
4) 윈도 서버 세미애뉴얼 채널(425)
5) 윈도 서버 2016(366)
6) 우분투(362)
7) 레드햇 엔터프라이즈 리눅스(353)
8) 구글 픽셀/넥서스 장비(314)
9) 데비안 리눅스(292)
이렇게 취약점이 기하급수적으로 많아지면 보안 업무가 불가능할 정도로 어려워진다고 한다. 일단 패치를 설치했을 때 충돌이 일어나지 말라는 법이 없다. “패치를 개발하는 쪽에서도 많은 실험을 해본 후에 발표를 하지만 모든 가능성을 다 점검할 수는 없습니다. 그래서 충돌이 발생하고 시스템이 마비되는 일이 일어납니다. 결국 보안 담당자가 패치를 전부 자신의 환경서 시험해봐야 한다는 뜻입니다. 이걸 500개씩 한다고 생각해보세요. 족히 수주는 걸립니다. 그런데 보안 담당자가 패치만 붙잡고 있을 수는 없지요.”
그러나 패치라는 건 미룰 수도 없다. 패치가 공개된다는 건, 취약점과 익스플로잇 방법 역시 공개된다는 뜻이기 때문이다. 취약점의 존재가 만천하에 드러난다는 건, 해커들의 공격이 본격적으로 시작될 가능성이 높다는 뜻이다. 따라서 패치가 공식적으로 발표된 순간부터, 보안 담당자들은 해커들과 속도 경쟁을 벌여야 한다. 이런 압박감 속에 주어지는 ‘500+’이라는 숫자는 결코 방어자에게 유리한 쪽으로 작용하지 않는다.
취약점이 증가하는 또 다른 이유는 보안 전문가들의 발표 및 공유 수단이 많아졌다는 것이다. 20년 전만해도 취약점이 발견되면 몇 개의 메일링 리스트나 웹사이트에 안내처럼 올라가는 게 다였다. 지금은 각종 블로그와 깃허브 등 소통을 위한 플랫폼이 풍성하기 때문에 도움을 받거나, 발견된 취약점을 공유할 방법이 무궁무진하다. 취약점 발굴이 그 어느 때보다 편리한 시기라는 것이다.
한편 RBS의 보고서 원문은 여기(https://www.riskbasedsecurity.com/2020/08/27/new-research-2020-vulnerabilities-are-on-target-to-match-or-exceed-last-year/)서 열람이 가능하다.
1. 취약점 수, 감당 안 될 정도로 증가하고 있음.
2. 특히 정기 패치일로 정해 둔 ‘패치 튜즈데이’가 가장 큰 문제.
3. 정기 패치일을 넘어선, 보다 실질적이고 효율적인 패치 관리 시스템이 필요.
[국제부 문가용 기자(globoan@boannews.com)]
가장 많을 때는 하루에 500개 이상...윈도 보유한 MS가 취약점 가장 많아
[보안뉴스 문가용 기자] 2020년 현재까지 공개된 취약점이 2019년 한 해 동안 공개된 취약점보다 많아지기 직전이다. 보안 담당자들에게 어마어마한 스트레스가 예약된 것과 같다고 보안 업체 리스크 베이스드 시큐리티(Risk Based Security, RBS)는 해석했다. RBS에 따르면 “2020년 전반기에 공개된 취약점은 총 11,121개”라고 한다.
[이미지 = utoimage]
발견되는 취약점이 계속해서 증가하는 가운데 나타나는 한 가지 패턴이 있다. ‘패치 튜즈데이’에 공개되는 취약점이 같은 달 그 어떤 날에 발견되는 취약점보다 압도적으로 많다는 것이다. MS, SAP, 어도비, 지멘스, 슈나이더 등의 정기 패치일을 가리키는 ‘패치 튜즈데이’에는 애플, 모질라, 인텔, 시스코 등이 비정기적으로 참여하기도 한다.
올해 4월의 ‘패치 튜즈데이’였던 14일에는 단 하루 동안 506개의 새로운 취약점이 공개됐다. 이 중 79%가 7개 회사의 제품에서 나온 것들이었다. 7월 14일에는 491개가 공개됐고 67%가 마이크로소프트와 오라클 단 두 곳에서 나왔다. RBS는 “하루에 500개 취약점이라니, 이 양을 감당할 수 있는 조직은 어디에도 없다”며 “마이크로소프트, 오라클, 어도비 제품을 모두 사용하는 조직들의 보안 담당자는 생지옥을 맛 봤을 것”이라고 설명했다.
현재까지 집계된 바 마이크로소프트의 취약점 수는 작년 대비 150% 증가한 상태다. 여기에는 여러 가지 요인이 있다고 RBS는 설명한다.
1) MS가 버그 관련 보고서를 더 적극적으로 접수하고 있다.
2) 보안 전문가 커뮤니티와 활발하게 소통하고 있다.
3) 윈도 10의 코드베이스는 윈도 7의 그것보다 크다. 따라서 오류 가능성이 높다.
그 다음으로 많은 취약점 패치를 발표한 곳은 오라클로 현재까지 612개의 취약점이 공개됐다.그 다음은 563개의 구글, 550개의 레드햇, 519의 수세, 446개의 IBM, 430개의 델, 376개의 시스코, 363의 캐노니컬 순으로 이어진다고 RBS는 발표했다.
제품 별로 취약점 수를 집계할 경우 다음과 같이 나타났다.
1) 윈도 10(478)
2) openSUSE Leap(464)
3) 윈도 서버 2019(436)
4) 윈도 서버 세미애뉴얼 채널(425)
5) 윈도 서버 2016(366)
6) 우분투(362)
7) 레드햇 엔터프라이즈 리눅스(353)
8) 구글 픽셀/넥서스 장비(314)
9) 데비안 리눅스(292)
이렇게 취약점이 기하급수적으로 많아지면 보안 업무가 불가능할 정도로 어려워진다고 한다. 일단 패치를 설치했을 때 충돌이 일어나지 말라는 법이 없다. “패치를 개발하는 쪽에서도 많은 실험을 해본 후에 발표를 하지만 모든 가능성을 다 점검할 수는 없습니다. 그래서 충돌이 발생하고 시스템이 마비되는 일이 일어납니다. 결국 보안 담당자가 패치를 전부 자신의 환경서 시험해봐야 한다는 뜻입니다. 이걸 500개씩 한다고 생각해보세요. 족히 수주는 걸립니다. 그런데 보안 담당자가 패치만 붙잡고 있을 수는 없지요.”
그러나 패치라는 건 미룰 수도 없다. 패치가 공개된다는 건, 취약점과 익스플로잇 방법 역시 공개된다는 뜻이기 때문이다. 취약점의 존재가 만천하에 드러난다는 건, 해커들의 공격이 본격적으로 시작될 가능성이 높다는 뜻이다. 따라서 패치가 공식적으로 발표된 순간부터, 보안 담당자들은 해커들과 속도 경쟁을 벌여야 한다. 이런 압박감 속에 주어지는 ‘500+’이라는 숫자는 결코 방어자에게 유리한 쪽으로 작용하지 않는다.
취약점이 증가하는 또 다른 이유는 보안 전문가들의 발표 및 공유 수단이 많아졌다는 것이다. 20년 전만해도 취약점이 발견되면 몇 개의 메일링 리스트나 웹사이트에 안내처럼 올라가는 게 다였다. 지금은 각종 블로그와 깃허브 등 소통을 위한 플랫폼이 풍성하기 때문에 도움을 받거나, 발견된 취약점을 공유할 방법이 무궁무진하다. 취약점 발굴이 그 어느 때보다 편리한 시기라는 것이다.
한편 RBS의 보고서 원문은 여기(https://www.riskbasedsecurity.com/2020/08/27/new-research-2020-vulnerabilities-are-on-target-to-match-or-exceed-last-year/)서 열람이 가능하다.
1. 취약점 수, 감당 안 될 정도로 증가하고 있음.
2. 특히 정기 패치일로 정해 둔 ‘패치 튜즈데이’가 가장 큰 문제.
3. 정기 패치일을 넘어선, 보다 실질적이고 효율적인 패치 관리 시스템이 필요.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-01] 
