0일 차는 개발 1일 차였습니다

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

컬럼비아 대학교의 최근 연구에 따르면 우리는 하루에 70가지가 넘는 결정을 내리느라 지쳐 있다고 합니다. 이는 중요한 결정만 집계한 수치로, 코넬 대학교의 이전 연구에서는 우리가 음식에 관해서만 하루에 200가지가 넘는 결정을 내리는 것으로 나타났습니다.

우리가 하루 동안 내리는 많은 결정은 장기적으로 별다른 영향을 미치지 않습니다. 그 영향은 미미하며, 대부분은 "좋은" 결정이나 "나쁜" 결정으로 분류할 수도 없습니다. 그저 우리가 내린 선택일 뿐입니다. 하지만 어떤 선택은 중대한 결과를 초래합니다. 어떤 선택은 신중히 생각한 끝에 의도적으로 내린 것이지만, 또 어떤 선택은 의도치 않게 이루어져 나중에 돌이켜 보고서야 그 결과가 분명해집니다.

돌이켜 보면 명백해 보이는 몇몇 의도치 않은 결과는 애플리케이션 보안과 관련이 있습니다.

선택: 플랫폼, 프레임워크 및 구성 요소

개발 첫날부터 여러 선택이 이루어집니다. 이러한 선택 중 상당수는 플랫폼과 프레임워크, 라이브러리 및 타사 구성 요소와 관련됩니다. 개발 과정에서는 이와 같은 선택을 수없이 하게 됩니다. 현재 애플리케이션의 80~90%가 오픈 소스 및 타사 소스 구성 요소로 이루어진 것으로 추정됩니다. 오픈 소스 또는 타사 소스 구성 요소를 포함하기로 하는 각각의 선택은 잠재적인 결과를 초래할 수 있으며, 특히 애플리케이션 보안 측면에서 그러합니다. Black Duck Software의 분석에 따르면 상용 소프트웨어 제품 하나당 평균 105개의 오픈 소스 구성 요소가 포함되어 있습니다.

겉으로 보기에 그러한 결과는 그다지 심각해 보이지 않습니다. 실제로 Contrast Security의 연구에 따르면 소프트웨어 라이브러리에서 발생하는 취약점은 전체의 7%에 불과합니다. Black Duck은 애플리케이션당 평균 22.5개의 오픈 소스 취약점이 발견된다고 밝혔습니다. 이러한 취약점 중 40%는 '심각' 등급으로 평가되었습니다. 하지만 애플리케이션의 나머지 10~20%를 차지하는 사용자 정의 코드가 애플리케이션 취약점의 대부분을 유발한다는 점을 고려하면, 이는 여전히 미미한 수준입니다.

안타깝게도 대부분의 취약점은 CVE와 공격자가 쉽게 이용할 수 있는 샘플 익스플로잇 코드를 통해 공개되지 않습니다. 동일한 구성 요소와 라이브러리가 수많은 웹 애플리케이션에서 사용되는 환경에서는 악의적인 공격자가 표적을 찾기 위해 그리 애쓸 필요도 없습니다. 현재 앱과 웹사이트 구축에 사용되는 기술의 이용 현황을 추적하는 builtwith.com에 따르면, Apache Struts를 사용하는 운영 중인 사이트가 약 40,000개에 달합니다. Apache Struts 2에서 공개된 취약점이 실제 공격에 악용되어 인터넷상에 적지 않은 혼란을 일으켰던 사실은 대부분 알고 있을 것입니다. OpenSSL과 같이 널리 사용되는 다른 오픈 소스 및 서드파티 라이브러리의 심각한 취약점이 공개되었을 때도 이와 비슷한 혼란이 발생했습니다.

하지만 잠재적으로 문제가 될 수 있는 것은 라이브러리나 타사 구성 요소를 포함할지, 또는 오픈 소스 프레임워크를 기반으로 애플리케이션을 구축할지에 대한 선택만이 아닙니다. 개발 과정에서 내리는 다른 선택들도 심각한 결과를 초래할 수 있으며, 특히 안전하지 않은 개발 관행으로 이어질 경우 더욱 그렇습니다.

선택: 속도를 위해 보안을 희생하다

속도를 위해 보안을 희생했다는 이야기는 전혀 놀랍지 않습니다. 늘 그래 왔기 때문입니다. 보안 전문가 504명을 대상으로 한 2014년 McAfee 설문조사에 따르면, "설문에 참여한 조직 중 약 3분의 1에서 운영자들이 네트워크 성능을 높이기 위해 방화벽 보안 기능을 일상적으로 비활성화한다고 인정했습니다."

알고 보니 개발도 다르지 않습니다. 개발자들이 중점을 두는 것은 실행 속도가 아니라 파이프라인 속도입니다. 애플리케이션과 업데이트를 더 신속하게 시장에 출시해야 한다는 요구에 부응하기 위해, 많은 개발자가 개발 과정에서 보안을 완전히 생략한다고 인정합니다. 모바일 및 IoT 개발자를 대상으로 한 2017년 Arxan | IBM 설문조사에 따르면, 응답자의 26%는 모바일 앱의 보안 문제를 전혀 테스트하지 않으며, 거의 절반(48%)은 IoT 앱을 테스트하지 않는 것으로 나타났습니다. 응답자의 69%는 보안을 생략하는 경우가 많은 이유로 출시 압박을 꼽았습니다.

올여름 당사의 고객 행사인 Agility에서 참석자들을 대상으로 실시한 설문조사를 통해 이것이 현실임을 다시 한번 확인했습니다. 절반이 넘는 62%가 조직 내에서 속도를 위해 보안을 희생한 적이 있다고 인정했습니다.

그리고 발견된 취약점에 조직이 어떻게 대응할지를 두고 내리는 선택도 있습니다. Black Duck의 분석에 따르면 2018년에 검사한 애플리케이션 중 10%가 여전히 2014년에 발견된 Heartbleed 취약점에 노출되어 있었습니다. Ponemon이 수행한 ServiceNow 연구에서는 침해 피해자의 무려 57%가 제공된 패치를 설치했다면 침해를 예방할 수 있었다고 답한 것으로 나타났습니다.

선택에는 대가가 따른다

개발 첫날부터 배포 이후까지, 전체 애플리케이션 스택의 보안과 관련해 내리는 선택은 매우 중요합니다. 이는 점심으로 햄버거를 먹을지 샐러드를 먹을지 고르는 것과는 차원이 다릅니다. 그 여파가 IT와 비즈니스에만 그치지 않고, 앱 제공업체가 보안을 진지하게 다룰 것이라 믿는 고객에게까지 미칠 수 있는 결정이기 때문입니다.

데이터가 유출되었다는 사실을 알리는 "앱 사용자님께"라는 안내문을 한 번도 받아본 적이 없다고 말할 수 있는 사람은 거의 없습니다. 그렇다고 보안을 소홀히 해도 된다는 뜻은 아닙니다. 오히려 고객의 개인 정보와 사적인 정보를 보호하기 위해 우리 모두가 더욱 노력해야 합니다.

이를 위한 가장 좋은 방법은 개발 첫날부터 내리는 모든 선택이 우리가 개발하는 애플리케이션의 보안을 강화할 기회임을 인식하는 것입니다. 신중하고 현명하게 선택하세요.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물