‘N²SF 규제 대응 소프트웨어 공급망 통합 보안 세미나’ 개최...실시간 자동화 소스 코드 보안 검증 및 악성코드 차단 체계 구축 방안 소개
인섹시큐리티(대표 김종광)는 9월 11일, 주요 인프라 보호(CIP) 분야의 글로벌 리더인 옵스왓(OPSWAT)과 오는 10월 14일(수) 서울 독산동 인섹시큐리티 교육센터에서 ‘N²SF 규제 대응을 위한 소프트웨어 공급망 통합 보안 세미나’를 개최한다고 밝혔다.
이번 세미나는 국가 망 보안체계(N²SF) 전환에 따라 중요성이 높아지고 있는 소프트웨어 공급망 보안과 망간 데이터 전송 보안을 주제로 마련됐다. 소프트웨어가 개발되고 배포되는 과정에서 어떤 보안 위험이 발생할 수 있는지 살펴보고, 위험을 사전에 확인·검증한 뒤 실제 운영환경으로 안전하게 전달하는 실무적인 대응 방안을 소개한다는 설명이다.
특히 이번 세미나에서는 옵스왓의 통합 악성코드 대응 플랫폼인 메타디펜더(MetaDefender)를 활용해 소프트웨어 공급망의 위험을 확인하는 방법부터 파일의 안전성을 검증하고, 서로 다른 보안 영역 간 데이터를 안전하게 이동시키는 방법까지 실제 보안 업무에 적용할 수 있는 사례 중심의 내용을 다룰 예정이다.
개발 단계에서 시작되는 소프트웨어 공급망 보안 관리 방안 제시
첫 번째 발표에서는 소프트웨어 개발 과정에서 발생할 수 있는 공급망 보안 위험을 어떻게 발견하고 관리할 것인지를 살펴본다.
오픈소스 소프트웨어(OSS)와 외부 구성요소에 포함된 취약점부터 소프트웨어 저장소(Repository)와 컨테이너(Container)의 위험요소, CI/CD 파이프라인을 통한 빌드·배포 과정까지 소프트웨어 공급망을 구성하는 주요 영역을 단계별로 점검한다는 것이다.
또한 소프트웨어 자재 명세서(SBOM)를 활용해 소프트웨어 구성요소와 의존성을 파악하고, 개발 과정에서 발생할 수 있는 비밀정보(API Key, Token, 아이디, 암호 등)와 라이선스 관련 위험을 확인하는 방법을 소개한다. 이를 통해 개발이 완료된 이후에 문제를 찾는 것이 아니라 개발과 빌드, 배포 과정에서 위험요소를 조기에 발견하고 통제하는 소프트웨어 공급망 보안 접근방식?을 제시한다.
검증된 파일만 안전하게 이동시키는 검증 방법 소개
두 번째 발표에서는 개발·배포 과정에서 생성되거나 외부에서 유입되는 파일 자체의 안전성을 어떻게 검증할 것인지를 다룬다.
실제 업무환경에서는 정상적인 파일처럼 보이더라도 악성코드나 취약점, 민감정보 등이 포함될 가능성이 있기 때문에 파일을 내부 환경으로 전달하기 전에 안전성을 확인하는 과정이 필요하다.
세미나에서는 멀티 안티바이러스 검사(Multi A/V), 콘텐츠 무해화 및 재구성(CDR), 중요정보 탐지(Secrets Detection), 파일 분석(File Analysis) 등을 활용해 파일의 악성 여부와 위험요소를 확인하고, 필요한 경우 보안정책에 따라 파일의 전달 여부를 결정하는 과정을 소개한다. 또한 민감정보 유출을 방지하는 선제적 데이터 유출 방지(Proactive DLP) 등 파일을 단순히 탐지하는 것을 넘어 실제 업무환경에서 안전하게 사용할 수 있는지를 검증하는 방법도 함께 다룬다고 업체 측은 전했다.
N²SF 환경의 핵심 과제, 망간 데이터의 안전한 이동
마지막 발표에서는 보안 영역이 서로 분리된 환경에서 필요한 데이터를 어떻게 안전하게 이동시킬 것인지를 살펴본다. N²SF 환경에서는 업무 특성에 따라 서로 다른 보안 수준의 네트워크 사이에서 파일과 데이터를 이동해야 하는 상황이 발생할 수 있다. 이때 단순히 데이터를 전송하는 것이 아니라 어떤 데이터를, 어떤 정책에 따라, 어느 방향으로 이동시킬 것인지?를 함께 통제하는 것이 중요하다.
업체 측에 따르면, 옵스왓은 데이터 다이오드(Data Diode, 데이터의 단방향 이동을 강제해 역방향 접근을 차단)을 활용해 데이터의 이동 방향을 한쪽으로 제한하고, MetaDefender의 파일 보안 기능을 결합해 전송되는 파일의 안전성을 사전에 검증하는 방안을 제시한다.
또한 정책(Policy)·필터링(Filtering)·감사(Audit)를 기반으로 파일 전송 권한과 보안검사, 승인, 로그 및 모니터링 등을 관리해 망간 데이터 이동 과정 전체에 대한 보안 통제 체계를 구축하는 방법을 소개한다.
이를 통해 외부 인터넷과 클라우드, SaaS(Software as a Service), 개발 도구 등에서 유입되는 파일을 검사한 후 보안정책에 따라 허용·차단하고, 필요한 경우 서로 다른 보안 영역으로 안전하게 전송하는 통합 체계를 구축할 수 있다는 설명이다.
N²SF 시대, 소프트웨어와 데이터 자체 보안 검증 지원
옵스왓은 이번 세미나를 통해 N²SF 환경에서의 보안이 단순한 네트워크 분리를 넘어 소프트웨어와 데이터 자체의 안전성을 검증하고, 위험이 발견된 경우 실제 이동과 사용을 통제하는 방향으로 확대되고 있다는 점을 강조할 예정이다.
특히 소프트웨어 개발 단계의 OSS, Repository, Container, CI/CD Pipeline, SBOM 및 Secrets 검사부터 파일 악성코드 분석, CDR, DLP, 그리고 데이터 다이오드를 활용한 망간 데이터 이동 통제까지 소프트웨어 공급망에서 생성된 데이터가 보안 경계를 넘어가는 전 과정에 대한 통합적인 보안 대응 방안을 제시한다.
옵스왓 국내 공식총판인 인섹시큐리티 김종광 대표는 “소프트웨어 개발 환경에서 오픈소스와 외부 구성요소의 활용이 증가하면서 소프트웨어 공급망 자체에 대한 보안 검증이 중요해지고 있다”며, “이번 세미나에서는 소프트웨어 구성요소와 취약점, 악성코드, 비밀정보 등을 확인하는 방법부터 검증을 완료한 파일을 망간 안전하게 전송하는 방법까지 실제 업무환경에서 활용할 수 있는 대응 방안을 소개한다”라고 말했다.
<저작권자(c)스마트앤컴퍼니. 무단전재-재배포금지>
