취약점을 아는 것은 전투의 절반에 불과합니다

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

지속적 IT를 향한 여정을 이어가는 가운데, 보안에 많은 관심이 집중되고 있습니다. 이는 당연한 일입니다. 보안 침해가 끊이지 않고, 취약점은 매일 발견되며, 패치 격차도 좀처럼 줄어들 기미가 보이지 않기 때문입니다.

더 안전한 코드를 만들기 위해 흔히 제안되는 해결책 중 하나는 소스 코드를 스캔하는 것입니다. 정적 및 동적 보안 스캔은 지속적 배포 프로세스의 필수 요소로 자리 잡았습니다. 사내 파이프라인에도 이러한 스캔이 포함되어 있어, 저는 언제든지 대시보드를 통해 스캔에서 발견된 모든 내용을 확인할 수 있습니다.

하지만 G.I. Joe가 일깨워 주듯이, 소스 코드에 취약점이 있다는 사실을 아는 것은 전투의 절반에 불과합니다. 나머지 절반이 정말 파란색과 빨간색 레이저라면 흥미롭겠지만, 애플리케이션 보안의 현실에서 나머지 절반은 "그러한 취약점에 대해 조치를 취하는 것"입니다. 안타깝게도 이러한 당연한 일이 현실에서 실현되지는 않고 있습니다. 응답자의 17%가 취약한 컨테이너를 보유하고 있고 어떤 컨테이너인지도 알고 있었지만 그대로 배포했다고 인정한 Tripwire 보고서(2019년 컨테이너 보안 현황)를 기억하실 것입니다. 또한 응답자의 53%가 모바일 앱에 정적 보안 테스트를, 51%가 동적 보안 테스트를 사용한다는 사실을 밝힌 2017년 Arxan/IBM 모바일 및 IoT 애플리케이션 보안 보고서도 기억하실 것입니다. 보안 침해에 대한 우려가 상당했음에도 불구하고, 거의 절반(44%)은 이를 방지하기 위한 조치를 전혀 취하지 않고 있었습니다.

테스트를 하지 않고 알려진 취약점에 아무런 조치도 취하지 않는 문제는 거의 항상 가치 실현 시간을 단축해야 한다는 압박과 관련이 있습니다. 개발자의 거의 절반(48%)은 보안에 할애할 시간이 충분하지 않다고 답했습니다(2018 DevSecOps 커뮤니티 설문조사). 다른 설문조사에서도 같은 결과가 나타났습니다. 개발자들은 더 빠르고 더 자주 코드를 만들어 내야 한다는 엄청난 압박을 받고 있습니다. 데이터 경로든 전송 경로든 속도가 중요해지면 보안은 여전히 뒷전으로 밀리는 "요소"인 것으로 드러났습니다.

사람들은 평가받는 기준에 맞춰 일한다는 사실이 잘 알려져 있습니다. 개발자도 사람이므로 이 원칙에서 예외가 아닙니다. 시장 출시 속도를 기준으로 평가받는다면 보안을 위협하는 단계를 건너뛰더라도 빠른 출시에 집중하게 됩니다. 안전한 애플리케이션을 시장에 제공하려면 안전한 시장 출시를 신속한 시장 출시만큼 중요하게 평가하고 중시하는 문화로 전환해야 합니다.

그렇게 되기 전까지는 취약점 대응을 개발자에게 맡기는 것이나 빨간색과 파란색 레이저에 의존하는 것이나 안전성 면에서는 다를 바 없습니다.

작성자 소개

Lori Mac Vittie수석 엔지니어 겸 최고 에반젤리스트 | F5

Lori MacVittie는 F5 CTO 오피스의 수석 엔지니어이자 최고 에반젤리스트로, 애플리케이션 딜리버리, 자동화 전략 및 인프라 분야에서 깊이 있는 전문성을 보유하고 있습니다. AI 에이전트를 위한 가드레일을 정의하고, 취약한 멀티클라우드 아키텍처를 분석하며, 확장 가능한 시스템의 한계를 탐구하는 등 복잡한 문제를 명확하게 풀어내는 것으로 잘 알려져 있습니다. 애플리케이션 개발, IT 아키텍처, 네트워크 및 시스템 운영 전반에 걸쳐 30년 이상의 업계 경험을 쌓았습니다. F5에 합류하기 전에는 수상 경력이 있는 기술 편집자로 활동했습니다. MacVittie는 컴퓨터 과학 석사 학위를 보유하고 있으며, 보안, 클라우드 및 엔터프라이즈 아키텍처 분야를 아우르는 다수의 저서를 집필한 작가입니다. 또한 보드게임과 비디오 게임을 열정적으로 즐기며, 치즈에 대해서는 거리낌 없이 확고한 견해를 갖고 있습니다.

Lori Mac Vittie의 다른 블로그 게시물