SCW 플랫폼의 최신 개선 사항인 SCW 신뢰 점수에 대한 이야기를 계속 이어가게 되어 기쁩니다. 이 획기적인 기능은 5월에 공식 출시되었으며, 개발자와 조직이 안전한 코드를 작성하는 데 필요한 도구를 제공한다는 저희의 사명에서 중요한 진전을 이루었습니다.

SCW 신뢰 점수의 핵심은 조직의 보안 상태와 보안 코딩 관행의 효과에 대한 귀중한 인사이트를 제공하는 것입니다. SCW 신뢰 점수의 주요 장점과 이점을 살펴보세요.

• 가시성: 학습 및 교육 프로그램을 통해 팀 전체에서 다양한 기술과 역량이 나타나며, 성공에는 다양한 요소가 영향을 미칩니다. 동일한 보안 코드 프로그램을 받았음에도 불구하고 팀마다 최고 성과자, 평균 성과자, 추가 지원이 필요한 팀 등 다양한 전문성이 나타나는 경우가 많습니다. SCW 신뢰 점수는 조직에 개별 개발자의 보안 태세를 집계하여 보안 학습 프로그램의 효과를 데이터 기반으로 측정할 수 있는 방법을 제공합니다( Secure Code Warrior).
  
  
• 벤치마킹 지표: 조직은 개발자의 보안 상태의 종 곡선을 정의하고 최적화할 영역을 정확히 찾아내어 진정으로 보안에 대비하고 성과와 생산성이 높은 소프트웨어 팀을 만들기 위한 벤치마크가 필요합니다. SCW 신뢰 점수를 통해 조직은 업계 벤치마크 및 모범 사례와 비교하여 보안 상태를 평가할 수 있습니다. 이 종합적인 지표를 활용하면 이해관계자는 강점 영역과 개선 기회를 비교할 수 없을 정도로 정확하게 파악할 수 있습니다.
  
  
• 데이터 기반: SCW 신뢰 점수는 600개 이상의 기업과 25만 명의 개발자로부터 얻은 2천만 개의 학습 데이터 포인트의 힘을 활용합니다. 플랫폼에서 완료된 모든 학습 활동을 분석하여 알고리즘이 종합적인 점수를 생성합니다. 이 점수는 학습 활동의 폭과 깊이, 활동 이해도, 학습의 최신성, 직무 설명, 온보딩 수명 주기, 교육받은 총 개발자 수와 같은 요소를 고려합니다.
  
  

최근 RSAC에서 고객 및 잠재 고객과의 대화를 이어가며 고객, 파트너, 업계 리더 모두의 큰 관심을 받은 것을 자랑스럽게 생각합니다.

오는 6월 12일에 Facebook의 최고 기술 책임자이자 공동 창립자인 마티아스 마두가 SCW 신뢰 점수에 대한 포괄적인 개요와 실제 시나리오에서의 실제 적용 사례를 소개하는 웨비나를 개최할 예정이라는 소식을 알려드립니다. 이 자리에서 여러분을 만나 뵙기를 기대합니다.

마지막으로 SCW 신뢰 점수를 개발하고 개선하는 데 기여한 고객 및 파트너 커뮤니티의 모든 구성원에게 감사를 표합니다. 우리는 함께 조직 전반에서 우수한 보안 태세가 어떤 모습인지 이해하기 위한 여정을 시작합니다.

개발자는 자신의 기술을 날카롭게 유지하고 앞서 나가기 위해 끊임없이 도전에 직면합니다. 기술이 빠른 속도로 발전하고 새로운 도구와 프레임워크가 정기적으로 등장하면서 지속적인 학습의 필요성이 그 어느 때보다 중요해졌습니다. 손끝으로 정보를 쉽게 얻을 수 있는 디지털 시대에 개발자는 온디맨드 학습 콘텐츠의 힘을 활용하여 경력을 발전시키고 경쟁이 치열한 소프트웨어 개발 분야에서 관련성을 유지할 수 있습니다.

온디맨드 학습 콘텐츠는 개발자에게 몇 가지 주요 이점을 제공합니다. 온디맨드 리소스는 탁월한 유연성과 편의성을 제공하므로 개발자는 자신의 속도에 맞춰 학습하고 바쁜 일정과 개인적 선호도에 맞게 교육을 받을 수 있습니다. 또한 애자일 플랫폼은 개인의 목표와 기술 수준에 맞는 맞춤형 학습 경로를 제공하여 학습 효율성을 극대화하고 개발자가 경력 발전에 필요한 기술을 습득할 수 있도록 지원합니다. 궁극적으로 온디맨드 학습은 지속적인 기술 개발 문화를 조성하여 개발자가 기술 변화에 맞서 민첩성과 탄력성을 유지하고 소프트웨어 개발 분야에서 장기적인 성공을 보장할 수 있도록 지원합니다.

‍

Secure Code Warrior 에서는 개발자에게 가장 포괄적이고 강력한 콘텐츠를 제공하기 위해 최선을 다하고 있습니다. 우수한 학습 및 개발 리소스를 제공할 뿐만 아니라 개발자의 현재 요구 사항과 관련된 정보를 적시에 제공하는 것이 목표입니다. 이러한 노력은 흩어져 있는 리소스의 문제를 해결하기 위해 설계된 SCW 플랫폼 내의 콘텐츠 라이브러리인 Explore 탭에 구현되어 있습니다. Explore는 모든 교육 콘텐츠를 하나의 중앙 위치로 통합하여 사용자가 사용 가능한 콘텐츠 유형을 손쉽게 종합적으로 볼 수 있도록 합니다. 새로운 프로그래밍 언어를 익히고자 하는 학습자나 복잡한 개념을 탐구하고자 하는 학습자 모두 Explore에서 모든 것을 해결할 수 있습니다. 세심하게 선별된 콘텐츠 카탈로그는 다양한 관심사와 기술 수준을 충족하여 모든 사람에게 적합한 것을 제공합니다. Explore를 통해 학습자는 학습 경험을 향상하고 개발자의 역량을 강화하도록 설계된 풍부한 대화형 자습서, 실습 및 실제 시나리오를 발견할 수 있습니다.

‍

‍

오늘날의 기술 생태계는 끊임없는 혁신과 파괴를 특징으로 하기 때문에 애자일 학습 플랫폼의 필요성이 점점 더 중요해지고 있습니다. 전통적인 학습 및 기술 개발 방법으로는 더 이상 기술의 급속한 발전과 업계의 역동적인 요구를 따라잡을 수 없습니다. 따라서 조직은 개발자가 주도하는 보안이 필수인 급변하는 환경에서 적응하고 성공하는 데 필요한 도구와 리소스를 개발자에게 제공하기 위해 애자일 학습 플랫폼으로 눈을 돌리고 있습니다.

애자일 학습 플랫폼이 필수적인 주된 이유 중 하나는 적시에 적절한 학습 콘텐츠를 제공할 수 있기 때문입니다. 애자일 학습 플랫폼은 마이크로러닝 모듈 및 적시성 리소스와 같은 동적 콘텐츠 전달 메커니즘을 활용하여 개발자에게 필요한 지식을 필요한 시점에 정확하게 제공합니다. 또 다른 장점은 유연성과 사용자 지정 기능을 제공하여 개발자가 개인의 필요와 선호도에 맞게 학습 환경을 맞춤화할 수 있다는 점입니다. 대화형 튜토리얼, 실습, 비디오 콘텐츠 등 개발자는 자신의 학습 스타일과 일정에 가장 적합한 형식을 선택할 수 있습니다.

종합적인 애자일 학습 플랫폼은 빠르게 변화하는 오늘날의 기술 환경에서 개발자가 성공할 수 있도록 지원하는 데 중요한 역할을 합니다. 이러한 플랫폼은 시의적절하고 관련성 있는 개인화된 학습 경험을 제공함으로써 개발자가 새로운 기술을 습득하고 업계 트렌드를 앞서가며 조직 내에서 혁신을 주도할 수 있도록 지원합니다. Secure Code Warrior 에서는 개발자를 최우선으로 생각하며 지속적으로 플랫폼을 개선하고 있습니다. 개발자가 안전한 소프트웨어를 만드는 데 있어 중추적인 역할을 한다는 점을 잘 알고 있는 저희는 개선 사항을 통해 현재의 문제를 해결할 뿐만 아니라 개발자가 자신감을 가지고 탄력적인 코드를 구축할 수 있도록 지원합니다. 이러한 노력을 강화하기 위해 최근에 구현한 개발자 중심의 플랫폼 개선 사항 중 일부를 소개합니다.

Microsoft Teams와 같은 최신 커뮤니케이션 채널을 통해 개발자를 더 효과적으로 참여시킬 수 있다고 생각합니다. Microsoft Teams와의 통합은 SCW 플랫폼 내에서 차세대 사용자 커뮤니케이션을 위한 첫 번째 단계입니다. 새로운 학습 활동에 초대하고 코스 학습 활동에 대한 사용자 지정 리마인더를 보내세요. 또한 팀 알림을 통해 코스 참가자가 코스를 완료하도록 넛지를 전달할 수 있는 채널로 팀즈를 사용할 수도 있습니다.

‍

개발자 주도의 제품 혁신에 더해 Explore 탭이 추가되었습니다. 기술을 향상시키려는 사용자든 새로운 영역에 뛰어들려는 사용자든, Explore는 자기 주도형 교육과 지식 확장을 위한 종합적인 허브를 제공하여 원활하고 풍부한 개발자 경험을 보장합니다. 64개 언어로 제공되는 7,000개 이상의 활동을 통해 사용자는 자신의 취향에 맞는 학습 활동을 손쉽게 발견하고, 플레이하고, 다시 재생할 수 있습니다. 여기를 클릭하여 Explore와 온디맨드 콘텐츠의 중요성에 대해 자세히 알아보세요.

‍

마지막으로, 보고서는 개발자 교육을 효과적이고 참여도 높게 유지하는 데 매우 중요합니다. 보고서는 진행 상황을 추적하고 보안 표준 준수를 보장할 뿐만 아니라 개발자가 개선할 수 있는 부분을 파악합니다. 이러한 인사이트를 통해 보안 방어를 강화하고 관련성 있고 목표에 맞는 학습을 제공하는 맞춤형 교육을 진행할 수 있습니다. 또한 보고서는 교육 효과를 입증하여 보안 이니셔티브에 대한 지속적인 지원을 보장함으로써 교육에 대한 투자를 정당화할 수 있도록 도와줍니다. 전반적으로 보고서는 규정 준수와 개발자 참여를 모두 향상시켜 모든 사람이 학습 여정을 추적하고 참여하도록 하는 데 필수적인 도구입니다. 곧 SCW 보고와 관련된 흥미로운 소식을 기대해 주세요!

‍

최근 출시된 기능에 대해 자세히 알아보려면 최신 제품 토크 웨비나를 확인하거나 지금 바로 문의하세요!

‍

금융 서비스 기관은 사용하는 소프트웨어 코드가 안전한지 확인해야 할 강력한 이유가 있습니다. 물론 가장 분명한 동기는 유출된 개인 정보, 정리 비용, 벌금 및 배상금, 조직의 평판 손상 등의 측면에서 비용이 많이 드는 데이터 침해로부터 데이터를 보호해야 한다는 것입니다. 또 다른 지속적인 이유는 다양한 업계 및 정부 규정을 준수해야 하기 때문입니다.

금융 서비스는 사람들의 돈뿐만 아니라 민감한 개인 및 금융 정보를 매우 많이 다루기 때문에 고도의 규제를 받는 산업입니다. 제공하는 서비스에 따라 기업은 여러 가지 규칙과 요구 사항을 준수해야 합니다.

예를 들어 결제 카드 업계 데이터 보안 표준(PCI DSS)은 카드 소유자 데이터 보호에 관한 규정으로 잘 알려져 있습니다. 사베인스-옥슬리 법의 요건은 금융 기록 관리에 적용됩니다. 국제적으로 사업을 운영하는 기업은 구속력 있는 위험 관리 프레임워크인 디지털 운영 복원력 법 (DORA)과 스위프트라고 하는 세계은행간 금융 통신협회에서 제정한 자금 이체에 대한 글로벌 표준을 잘 알고 있습니다.

또한 캘리포니아 소비자 개인정보 보호법 (CCPA) 및 유럽연합의 일반 데이터 보호 규정 (GDPR)과 같은 법률은 고객의 개인정보 및 개인 정보를 보호하기 위한 요건을 정하고 있습니다. 그 외에도 미국 통화감독청(OCC) 및 유럽중앙은행(ECB)에서 정한 규정 등이 있습니다.

국가 사이버 보안 전략은 무엇보다도 소프트웨어 제조업체가 비효율적인 소프트웨어 보안에 대한 책임을 져야 한다고 명시하고 있습니다. 또한 사이버 보안 및 인프라 보안 기관(CISA)은 17개 미국 및 국제 파트너와 함께 소프트웨어 개발을 위한 보안 설계 원칙에 대한 지침을 발표했습니다. 

금융 서비스 회사의 공통점은 보안 코드가 이러한 규정의 목표를 달성하는 데 중요한 요소이며, 이를 통해 규정 준수를 쉽게 입증할 수 있다는 것입니다. 또한 개발자가 개발 프로세스를 시작할 때 코드에 보안을 적용하기 위해 교육과 숙련도를 높여야 하는 이유를 강조합니다.

그 작동 방식의 예로 최신 버전의 PCI DSS를 살펴보겠습니다.

보안 코딩(및 개발자 교육)은 PCI DSS 4.0의 핵심입니다.

2024년 4월 1일부로 의무화된 PCI DSS 4.0에는 PCI DSS 3.2.1에 대한 몇 가지 중요한 업데이트가 포함되어 있으며, 특히 소프트웨어 코드 보안을 위해 개발자의 역할이 강조됩니다.

PCI는 오래전부터 보안 소프트웨어의 중요성을 인식해 왔습니다. 2017년에 발표된 버전 2.0에는 모바일 디바이스에서 안전한 거래를 보장하기 위한 개발자용 지침이 포함되어 있었습니다. 이제 버전 4.0의 지침은 소프트웨어 개발에 보안 모범 사례를 적용하는 것을 강조하며 개발자 교육에 대한 구체적인 지침을 포함하고 있습니다. 

요구 사항은 대개 포괄적으로 명시되어 있지만, 기업은 보다 철저한 접근 방식을 구현하고자 할 수도 있습니다.

예를 들어, 버전 4.0의 요구 사항 중 하나는 "보안 시스템 및 소프트웨어를 개발하고 유지 관리하기 위한 프로세스와 메커니즘을 정의하고 이해한다"고 명시하고 있습니다. 이를 보장하는 좋은 방법은 개발자가 사용 중인 프로그래밍 언어와 프레임워크에 대한 정확한 교육을 받아 지식의 공백을 메우는 것입니다.

또 다른 요건은 맞춤형 및 사용자 지정 소프트웨어를 개발하는 개발자는 12개월에 한 번 이상 다음과 같은 내용을 포함한 교육을 받아야 한다고 명시하고 있습니다:

• 직무 및 개발 언어와 관련된 소프트웨어 보안.
• 안전한 소프트웨어 설계 및 코딩 기술. 
• 보안 테스트 도구를 사용하여 소프트웨어의 취약점을 탐지하는 방법(사용 중인 경우).

하지만 현실적으로 1년에 한 번은 핵심 보안 문제를 해결하고 잘못된 코딩 습관을 고치기에는 충분하지 않습니다. 교육은 지속적이고 측정 가능한 방식으로 이루어져야 하며, 교육이 제대로 활용되고 있는지 확인하기 위한 기술 검증 프로세스가 필요합니다.

PCI DSS 4.0에는 다양한 유형의 공격 예방 및 완화, 타사 소프트웨어 구성 요소 문서화, 취약성 식별 및 관리, 기타 보안 단계 등의 영역을 다루는 6가지 이상의 요구사항이 포함되어 있습니다. 모든 경우에 조직은 이러한 조치를 철저히 이행하는 것이 현명할 것입니다. 공격 벡터에 대한 교육은 1년에 한 번이 아니라 자주 실시해야 합니다. 종종 취약점의 원인이 되는 타사 구성 요소는 소프트웨어 자재 명세서(SBOM) 프로그램을 통해 신중하게 인벤토리를 작성해야 합니다. 그리고 조직은 취약점 관리를 위한 역할을 명확하게 정의해야 합니다.

또한 새 버전은 인증 제어, 비밀번호 길이, 공유 계정 및 기타 요소에 대한 새로운 요구 사항을 추가하는 동시에 확인란보다는 결과에 중점을 두어 조직이 요구 사항을 유연하게 충족할 수 있도록 합니다. 

규정 준수는 SDLC의 시작부터 시작됩니다.

이러한 규정의 공통점은 금융 서비스 업계에서 데이터와 거래를 보호하기 위한 높은 기준을 제시한다는 것입니다. 그리고 최신 PCI DSS 버전의 경우와 마찬가지로 소프트웨어 개발 수명 주기(SDLC) 초기에 보안 코드의 중요성을 점점 더 강조하고 있습니다. 또한 국가 사이버 보안 전략과 CISA의 보안 설계 원칙은 소프트웨어가 출시되기 전에 보안에 대한 책임을 소프트웨어 제조업체에 부여하므로 금융 서비스 규정의 직접적인 적용을 받지 않는 기업도 이를 준수해야 합니다.

조직은 개발 속도에 집중하는 DevOps 팀과 보안을 프로세스에 도입하기 위해 서두르는 AppSec 팀 사이에 존재하는 격차를 해소하기 위해 개발자를 교육하여 보안을 접근 방식에 내재화할 수 있도록 해야 합니다. 그러나 이를 위해서는 복잡한 기술이 필요하며, 1년에 한 번 이상의 교육 세션이나 정체된 표준 교육 프로그램으로는 이를 제공할 수 없습니다. 교육은 지속적이고 민첩해야 하며, 실제 시나리오를 통해 학습자의 참여를 유도하고 업무 일정에 맞게 단기간에 제공되어야 합니다.

금융 서비스 기업은 보안 침해를 방지하고 점점 더 엄격해지는 규정을 준수하기 위해 보안을 확보해야 합니다. 규정 미준수로 인한 비용은 기업의 평판과 금전적 비용에 미치는 영향 측면에서 유출 사고만큼이나 큰 피해를 줄 수 있습니다. 예를 들어, IBM의 2023 데이터 유출 비용 보고서에 따르면 규정 미준수 수준이 높은 조직은 평균적으로 총 505만 달러의 벌금 및 기타 비용을 부담했으며, 이는 실제 데이터 유출로 인한 평균 비용보다 50만 달러 더 많은 금액입니다.

클라우드 기반 환경과 디지털 거래의 지속적인 성장으로 인해 금융 서비스 업계에서 소프트웨어 보안이 가장 중요해졌으며, PCI DSS와 같은 규정에서도 이를 인정하고 있습니다. 소프트웨어 보안을 보장하는 가장 좋은 방법은 SDLC를 시작할 때 시큐어 코딩을 하는 것입니다. 그리고 이를 달성하는 방법은 개발자에게 보안 코딩 방법을 효과적으로 교육하는 것입니다. 

시큐어 코딩이 금융 서비스 회사의 성공, 보안 및 수익 보장에 어떻게 도움이 되는지 종합적으로 살펴보려면 새로 출시된 Secure Code Warrior 전자책을 읽어보세요: 금융 서비스의 보안 트렌드에 대한 최고의 가이드입니다.

사이버 보안에 대한 자세한 내용은 Secure Code Warrior 블로그 페이지에서 사이버 보안과 점점 더 위험해지는 위협 환경에 대한 자세한 인사이트를 확인하고 혁신적인 기술과 교육을 활용하여 조직과 고객을 더 잘 보호할 수 있는 방법에 대해 알아보세요.

‍

교묘한 소프트웨어 공급망 침해가 발견되면서 사이버 보안 업계는 다시 한 번 높은 경계 태세에 돌입했습니다. 주요 Linux 배포판과 함께 제공되는 XZ Utils 데이터 압축 라이브러리에 영향을 미치는 이 취약점은 CVE-2024-3094로 기록되며, 한때 신뢰할 수 있었던 자원봉사 시스템 관리자가 의도적으로 삽입한 백도어에서 비롯된 것으로 밝혀졌습니다. 성공적으로 악용될 경우 원격 코드 실행(RCE)을 허용하며, 기존 소프트웨어 빌드 프로세스에 심각한 피해를 입힐 수 있는 심각한 문제입니다.

다행히 다른 관리자가 이 악성 코드가 안정적인 Linux 릴리스에 들어가기 전에 이 위협을 발견했지만, Fedora Rawhide의 일부로 XZ Utils 5.6.0 및 5.6.1 버전을 실행한 사용자에게는 여전히 문제가 되고 있으므로 조직은 긴급 수준의 우선 순위로 이 패치를 적용할 것을 촉구하고 있습니다. 이 발견이 제때 이루어지지 않았다면, 위험 프로필을 고려할 때 사상 가장 파괴적인 공급망 공격 중 하나가 될 것이며 아마도 SolarWinds를 능가할 수도 있습니다.

중요한 시스템을 유지하기 위해 커뮤니티 자원 봉사자에 대한 의존도는 널리 문서화되어 있지만 이번 사건과 같이 큰 영향을 미치는 문제가 표면으로 드러날 때까지는 거의 논의되지 않습니다. 오픈 소스 소프트웨어의 유지 관리에 있어 이들의 지칠 줄 모르는 노력은 필수적이지만, 이번 사건은 소프트웨어 리포지토리에 대한 액세스 제어 강화는 물론 개발자 수준에서 보안 기술과 인식에 대한 진지한 강조가 필요하다는 점을 강조합니다.

XZ Utils 백도어란 무엇이며 어떻게 완화할 수 있나요?

3월 29일, Red Hat은 긴급 보안 경보를 발표하여 Fedora Linux 40 및 Fedora Rawhide 사용자에게 최신 버전의 "XZ" 압축 도구 및 라이브러리에 무단 타사 액세스를 용이하게 하기 위해 특별히 제작된 것으로 보이는 악성 코드가 포함되어 있음을 알렸습니다.이 악성 코드가 어떻게 삽입되었는지는 향후 집중적인 연구의 대상이 될 것이지만 위협 행위자인 "Jia Tan"이라는 익명의 공격자가 정교하고 인내심을 가지고 수년간 사회 공학적으로 수행한 것으로 추정됩니다. 이 공격자는 다른 관리자들의 신뢰를 얻기 위해 수많은 시간을 투자했고, 2년 넘게 XZ Utils 프로젝트와 커뮤니티에 합법적으로 기여했으며, 결국 여러 개의 사칭 계정으로 인해 자원 봉사 프로젝트 소유자인 Lasse Collin에 대한 신뢰가 약화된 후 '신뢰할 수 있는 관리자' 자격을 얻게 되었습니다:

‍

‍

이 이례적인 시나리오는 고도의 기술력을 갖춘 사람이 일반적으로 덜 숙련된 사람을 대상으로 사용하는 전술의 희생양이 된 대표적인 사례로, 정밀한 역할 기반 보안 인식 교육이 필요함을 보여줍니다. Microsoft 소프트웨어 엔지니어이자 PostgreSQL 유지 관리자인 안드레스 프룬드의 호기심과 빠른 판단 덕분에 백도어를 발견하고 버전을 롤백하여 최근 역사상 가장 파괴적인 공급망 공격이 될 수 있었던 것을 막을 수 있었습니다.

이 백도어 자체는 공식적으로 NIST의 레지스트리에서 가장 심각도가 높은 취약점으로 추적되고 있습니다. 처음에는 SSH 인증 우회를 허용하는 것으로 생각되었지만, 추가 조사 결과 이 취약점을 통해 Fedora Rawhide, Fedora 41, Kali Linux, 오픈수세 마이크로OS, 오픈수세 텀블위드 및 일부 버전의 데비안을 포함한 취약한 Linux 시스템에서 인증되지 않은 원격 코드 실행이 가능한 것으로 밝혀졌습니다.

Jia Tan은 악성 패키지의 난독화를 위해 많은 노력을 기울인 것으로 보이며, 빌드 프로세스 중에 트리거되면 시스템드를 통해 SSHd에서 인증을 방해합니다. 레드햇이 자세히 설명했듯이, 적절한 상황에서는 이러한 간섭을 통해 공격자가 SSHd 인증을 깨고 전체 시스템에 대한 원격 무단 액세스를 얻을 수 있습니다.

Microsoft는 시스템에서 이 익스플로잇의 인스턴스를 검사하고 그 효과를 완화하기 위한 포괄적인 지침을 발표했으며, CISA가 권장하는 즉각적인 조치는 영향을 받는 개발자와 사용자가 XZ Utils를 XZ Utils 5.4.6 Stable과 같은 손상되지 않은 버전으로 다운그레이드하는 것입니다.

특히 소프트웨어에서 오픈 소스 구성 요소를 사용하는 경우 공급망의 보안에 대한 확신과 투명성이 거의 없기 때문에 이러한 공격 유형을 방지하는 것은 매우 어렵습니다. 우리는 이미 소프트웨어 공급망에서 우발적인 결함에 맞서 싸워왔지만, 오픈소스 보안을 손상시키기 위해 악의를 가지고 의도적으로 심은 보안 버그로 인해 이러한 위험이 높아졌습니다.

대부분의 개발자는 강력한 보안 의식, 건전한 보안 지식, 약간의 편집증이 없다면 이러한 유형의 공격을 막을 수 없습니다. 거의 위협 행위자의 사고방식이 필요한 경우입니다. 그러나 가장 중요한 고려 사항은 항상 내부적으로 제어되는 (즉, 오픈 소스가 아닌) 소스 코드 리포지토리를 중심으로 이루어져야 합니다. 이러한 리포지토리는 검증된 관련 보안 기술을 보유한 사람만 액세스할 수 있어야 합니다. 앱 보안 전문가는 보안 기술이 있는 개발자만 최종 마스터 브랜치에 변경 사항을 커밋할 수 있도록 하는 브랜치 수준 보안 제어와 같은 설정을 고려할 수 있습니다.

자원 봉사자 유지 관리자는 영웅이지만, 안전한 소프트웨어를 유지하려면 마을이 필요합니다.

소프트웨어 엔지니어링의 영역 밖에 있는 사람들에게는 열정적인 자원봉사자 커뮤니티가 중요한 시스템을 열심히 유지 관리한다는 개념이 이해하기 어려운 개념이지만, 이것이 바로 오픈소스 개발의 본질이며 공급망을 보호하는 보안 전문가에게는 계속해서 중요한 위험의 영역입니다.

오픈소스 소프트웨어는 거의 모든 기업의 디지털 에코시스템에서 중요한 부분을 차지하고 있으며, 신뢰할 수 있는 유지관리자(대부분 선의로 활동하는)는 사심 없이 기술 발전과 무결성을 추구하는 진정한 영웅이지만, 이들을 고립된 상태로 유지하는 것은 우스꽝스러운 일입니다. 데브섹옵스 중심의 시대에 보안은 공동의 책임이며, 모든 개발자는 업무 중에 직면할 수 있는 보안 문제를 해결할 수 있는 지식과 적절한 도구로 무장해야 합니다. 보안 인식과 실무 기술은 소프트웨어 개발 프로세스에서 타협할 수 없는 필수 요소이며, 전사적 차원의 변화에 영향을 미치는 것은 보안 리더의 몫입니다.
‍

↪cf_200D↩심층적인 내용을 통해 조직에서 번창하는 보안 문화를 지금 바로 구축하세요. Courses 에서 Secure Code Warrior.

소프트웨어 개발자들은 코드를 작성하는 데 생성형 인공 지능(AI)을 사용할 준비가 되어 있으며, 대체로 긍정적인 결과를 얻었습니다. 그러나 그들이 위험한 게임을 하고 있다는 징후도 많이 있습니다.

GitHub의 최근 설문조사에 따르면 미국 개발자의 90% 이상이 AI 코딩 도구를 사용하고 있으며, 그 이유로 빠른 완료 시간, 빠른 인시던트 해결, 보다 협업적인 환경 등의 이점을 꼽았습니다. AI 도구를 사용하면 개발자는 일상적인 업무에서 벗어나 회사에 도움이 되는 더 창의적인 작업에 집중할 수 있으며, 부수적으로 업무상 번아웃의 가능성도 줄어듭니다.

그러나 연구 결과에 따르면 AI 도구는 코드를 작성할 때 결함을 유발하는 경향이 있는 것으로 나타났습니다. Snyk의 설문조사에 따르면 응답자의 75.8%가 AI 코드가 사람의 코드보다 더 안전하다고 답했지만, 56.4%는 AI가 때때로 코딩 문제를 일으킨다는 사실을 인정했습니다. 놀랍게도 응답자의 80%는 개발 중에 AI 코드 보안 정책을 우회한다고 답했습니다.

2022년 11월 OpenAI의 ChatGPT가 출시된 이후, 다른 많은 분야에서와 마찬가지로 금융 서비스의 코드 개발 프로세스 전반에 걸쳐 제너레이티브 AI 모델의 사용이 빠른 속도로 확산되고 있습니다. GitHub Copilot, OpenAI Codex 등 다른 모델들이 빠르게 등장하는 것을 보면 제너레이티브 AI가 무엇을 할 수 있고 어떤 영향을 미칠 수 있는지는 이제 겨우 표면적으로 드러난 것일 뿐입니다. 그러나 이러한 영향력을 긍정적으로 활용하기 위해서는 생성 AI가 생성하는 코드가 안전한지 확인해야 합니다.

코딩 버그는 빠르게 확산될 수 있습니다.

인간 개발자가 만들었든 AI 모델이 만들었든 코드에는 어느 정도의 오류가 포함될 수밖에 없습니다. 고도로 분산된 클라우드 기반 컴퓨팅 환경에서 계속 증가하는 수요를 충족하기 위해 AI가 코드 개발을 가속화하는 데 도움을 주면서 잘못된 코드가 발견되기 전에 널리 전파될 가능성이 높아질 수 있습니다. 

코드 작성 훈련을 받는 AI 모델은 다양한 작업을 수행하는 수천 개의 코드 예제를 수집한 다음, 이러한 예제를 바탕으로 자신만의 코드를 만들 수 있습니다. 그러나 작동 중인 샘플에 원래 사람이 만든 것이든 다른 AI가 만든 것이든 결함이나 취약점이 포함되어 있는 경우 모델은 이러한 결함을 새로운 환경으로 옮길 수 있습니다. 

AI 모델이 사용 중인 코드의 결함을 안정적으로 인식하지 못한다는 연구 결과를 고려할 때, 결함 및 취약성의 확산에 대한 기본 방어 기능은 거의 없습니다. AI는 코딩 과정에서 실수를 할 뿐만 아니라, 자신이 만든 소프트웨어를 사용하는 회사가 성공적으로 침해당하는 등의 형태로 취약점이 확인될 때까지 자신과 다른 출처의 실수를 반복할 것입니다.

코딩 결함의 확산에 대한 진정한 방어책은 인간과 AI 모델이 함께 일하는 것입니다. 인간 개발자는 AI 코드 작성을 감독하고 안전하지 않은 코딩 관행과 취약한 코드에 대한 견제 역할을 해야 합니다. 그러나 이를 위해서는 개발자가 안전한 코드 작성 모범 사례에 대한 철저한 교육을 받아 AI의 코딩 실수를 식별하고 신속하게 수정할 수 있어야 합니다.

AI 코드 생성 및 수정의 과제

ChatGPT와 같은 대규모 언어 모델(LLM)의 갑작스러운 폭발적인 증가는 양날의 검과도 같았습니다. 한편으로 기업과 일반 사용자들은 시간이 많이 걸리거나 번거롭거나 어려운 업무를 처리하는 데 AI를 사용함으로써 엄청난 생산성 향상을 경험했습니다. 다른 한편으로는 AI를 맹목적으로 믿고 업무를 처리할 때 어떤 일이 일어날 수 있는지에 대한 수많은 사례가 있었습니다.

AI 모델은 눈에 띄는 실수를 저지르고, 편견을 드러내며, 황당한 환각을 일으켰습니다. 대부분의 경우 문제의 근원은 부적절하거나 무책임한 학습 데이터였습니다. 모든 AI 모델은 학습한 데이터만큼만 성능이 향상되므로 학습 데이터를 포괄적이고 신중하게 검증하는 것이 중요합니다. 하지만 그럼에도 불구하고 실수가 발생할 수 있습니다.

코딩에 AI를 사용할 때에도 동일한 장애물이 많이 있습니다. AI로 생성된 코드에는 사이트 간 스크립팅 및 코드 삽입에 대한 취약성, 프롬프트 인젝션과 같은 AI 및 머신러닝(ML) 전용 공격과 같은 다양한 결함이 있는 것으로 나타났습니다. 또한 AI 모델은 프로세스가 투명하지 않기 때문에 보안팀이나 개발팀이 AI가 어떻게 결론에 도달하는지 볼 수 없기 때문에 블랙박스처럼 작동합니다. 결과적으로 모델은 동일한 실수를 계속해서 반복할 수 있습니다. 코드 작성에 영향을 미칠 수 있는 동일한 단점은 코드 수정 및 규정 준수 요건 충족을 위해 AI를 사용할 때도 마찬가지입니다. 

AI 모델에 의해 결함이 생성되거나 반복될 가능성은 이제 LLM이 자체적으로 상위 10가지 취약점에 대한 OWASP(오픈 웹 애플리케이션 보안 프로젝트) 목록을 보유할 정도로 커졌습니다.

개발자와 AI가 협력하여 안전한 코드를 만들 수 있습니다.

AI로 생성된 코드의 잠재적 결함에 대한 우려로 인해 일부 조직에서는 잠시나마 기술 도입을 주저할 수 있습니다. 하지만 AI 개발자가 계속해서 모델을 혁신하고 개선해 나간다면 잠재적인 이점은 무시하기에는 너무 큽니다. 우선 금융 서비스 업계는 지니를 다시 병 속에 넣지 않을 것입니다. 은행과 금융 서비스 회사는 이미 기술 중심적이며, 항상 경쟁 우위를 확보하기 위해 노력하는 분야에서 사업을 운영하고 있습니다. 

핵심은 위험을 최소화하는 방식으로 AI 모델을 구현하는 것입니다. 즉, 보안을 인식하고 보안 코딩 모범 사례에 대한 철저한 교육을 받은 개발자가 직접 보안 코드를 작성하고 AI 모델이 생성하는 코드를 면밀히 모니터링할 수 있어야 합니다. AI 엔진과 인간 개발자가 긴밀한 파트너십을 통해 협력하고 개발자가 최종 결정권을 갖도록 함으로써 기업은 생산성과 효율성을 향상하는 동시에 보안을 개선하고 위험을 제한하며 규정 준수를 보장하는 이점을 누릴 수 있습니다. 

시큐어 코딩이 금융 서비스 회사의 성공, 보안 및 수익 보장에 어떻게 도움이 되는지에 대한 종합적인 개요는 새로 공개된 Secure Code Warrior 가이드에서 확인할 수 있습니다: 금융 서비스의 보안 트렌드에 대한 최고의 가이드입니다.

‍

‍

사이버 보안에 대한 자세한 내용은 Secure Code Warrior 블로그 페이지에서 사이버 보안과 점점 더 위험해지는 위협 환경에 대한 자세한 인사이트를 확인하고 혁신적인 기술과 교육을 활용하여 조직과 고객을 더 잘 보호할 수 있는 방법에 대해 알아보세요.

‍

최근 저는 저희의 CTO 마티아스 마두와 Mednd.io의샤론 코체브스키가 취약성 알림을 다루는 웨비나를 주최할 수 있는 영광을 누렸습니다. 이 세션에서 두 사람은 보안 취약성 알림을 처리할 때의 어려움과 해결책을 모두 살펴봤습니다. 웨비나를 놓치신 분들을 위해 두 사람이 나눈 대화의 핵심 내용을 정리해 보았습니다. 물론 웨비나의 자세한 내용은 여기에서 온디맨드 방식으로도 시청할 수 있습니다. 

AI가 보안에 미치는 영향

마티아스는 안전한 소프트웨어를 만드는 AI의 현재 상태를 설명하기 위해 자율 주행 자동차의 비유를 사용했습니다. 자율 주행 자동차는 기술적으로 스스로 주행할 수 있지만 도로를 달리는 동안에는 여전히 문제에 직면합니다. 예를 들어, 그는 자율주행차가 도로에서 이전에 경험하지 못한 문제에 직면하여 고스트 브레이크가 발생했던 한 가지 상황을 언급했습니다. 문제는 언제나 발생하며, 이를 해결해야 하는 것은 인간 기술자입니다. 마찬가지로 개발자가 인공지능을 맹목적으로 따라가다 보면 코드 오류와 취약점이 발생할 수 있습니다.  

마티아스는 AI가 더 나은 결과물을 만들어내기 위해서는 개발자가 AI 모델을 학습할 수 있는 규칙성과 수많은 좋은 코드 예제가 필요하다고 강조했습니다. 현재 AI는 일반적인 프레임워크에서는 잘 작동하지만, 수백만 개의 코드 라인에서 작동하는 실제 애플리케이션에서는 부족합니다.

또한 숙련된 개발자는 코딩 가속화를 위해 생성형 AI의 이점을 누릴 수 있지만, 훈련되지 않은 개발자는 잘못된 코드를 빠른 속도로 재생산하고 붙여넣을 수 있어 위협이 될 수 있다고 설명했습니다. 

사전 대응으로 전환

토론을 주도한 한 가지 주제는 사전 예방적 조치로의 전환이었습니다. 샤론 코체브스키는 기업과 앱보안 프로그램이 보안 문제를 계속 주시하는 대신 보안 보고에 중점을 둔 사후 대응 방식 대신 실제 코드 수정을 통해 보다 사전 예방적인 접근 방식을 취해야 한다고 주장합니다. 마티아스와 마찬가지로 그는 단순한 관리 관행을 뛰어넘어 결과적인 성과에 집중해야 한다고 강조합니다. 패널에서는 실시간 대시보드 및 이슈 추적과 통합된 보안 제품 활용과 함께 보고서 작성의 주요 영역에 대해서도 논의했습니다. 

격차 해소 

또한 샤론과 마티아스는 개발자와 보안 관리자 간의 단절이라는 해결해야 할 중요한 문제도 파악했습니다. 이제 조직과 기업은 이 격차를 해소하기 위해 보안 챔피언을 추가하고 있습니다. 보안 챔피언은 엔지니어링 팀 내에 배치된 보안 전문가로, 사전 예방적 보안 조치를 촉진하는 데 도움을 줍니다.

물론 이번 웨비나에서는 이 주제에 대한 표면적인 논의만 다루었을 뿐이며, 끊임없이 진화하는 업계에서는 지속적인 토론과 참여가 매우 중요합니다. 더 자세히 알아보거나 세션을 다시 보고 싶다면 지금 바로 온디맨드로 시청할 수 있습니다.

‍

에 Secure Code Warrior우리의 모토는 항상 개발자에게 실습 애자일 학습 경험을 제공하여 일상 업무 경험의 일부로 실제적이고 실용적인 보안 교육을 제공하는 것이었습니다. 우리는 그것을 "행동에 의한 학습"이라고 부르고 싶습니다. 

우리는 개발자가 현재 작업하고 있는 것에 초점을 맞춘 표적 교육이 기업에 훨씬 더 의미 있는 결과를 제공하는 데 도움이 되는 보람 있는 경험을 제공한다는 것을 알고 있습니다 – 전투 테스트를 거치고 품질을 관리하며 적시에 시장에 출시할 준비가 된 더 빠른 코드 릴리스. 어떤 기업이 그 소리를 좋아하지 않습니까?  

AWS는 AppSec 팀과 리더가 중요한 애플리케이션 위험의 우선 순위를 지정하고, 수정하고, 예방하고, 관리하는 데 필요한 가시성을 제공하는 선도적인 애플리케이션 보안 태세 관리(ASPM) 플랫폼인 Apiiro와의 흥미로운 새로운 통합을 통해 이러한 경험을 개선하고 있습니다.  두 플랫폼을 통합한 통합은 개발자가 보안 위험을 해결할 때 관련성이 높은 컨텍스트 및 실시간 보안 교육을 제공하므로 컨텍스트를 전환하거나 매일 사용하는 개발 도구의 익숙한 환경을 벗어나지 않고도 학습할 수 있습니다.  

그렇다면 이 마법은 어떻게 일어날까요? Apiiro는 Apiiro에서 감지하거나 타사 보안 도구에서 수집한 애플리케이션 보안 결과를 유형 및 언어별로 관련 교육에 매핑합니다. Secure Code Warrior그런 다음 티켓, 문제 또는 관련 개발자 또는 팀에 대한 메시지를 통해 이를 표시합니다. Apiiro와 Secure Code Warrior 소프트웨어 개발 수명 주기의 중단을 최소화하여 다른 시점에 별도의 도구에서 조치를 취할 필요가 없습니다. 이는 기업이 향상된 개발자 효율성으로 고품질 코드를 더 빠르게 릴리스할 수 있도록 지원하는 또 다른 방법일 뿐입니다.

이 새로운 통합 및 파트너십에 대해 자세히 알아보려면 여기에서 Apiiro의 블로그를 확인하세요.

‍

최근 신제품 혁신의 세계에서 우리가 무엇을 하고 있는지 궁금하십니까? 최근에는 다양한 세부 사항을 다루는 제품 토크 세션을 개최했습니다. 꼭 확인해 보시고, 관심을 끌기 위해 간단한 개요를 소개해 드리겠습니다. 여기에서는 가장 최근 릴리스에 대한 개요와 2025년 비전 로드맵을 제공합니다.

교육 경로를 사용자 지정하는 더 많은 방법

우리는 귀를 기울였고 여러분의 귀에 귀를 기울였습니다. 개발자 경험을 위해 특별히 개선하여 사용자가 교육 경로를 사용자 지정할 수 있는 방법을 혁신했습니다. 도전 과제는 접근성 표준을 준수하면서 원활한 고정 단계를 보장하기 위해 정밀 검사되며, 탐색 메뉴는 다양한 활동을 제공하여 자기 주도 및 대화형 학습을 촉진합니다.

기업 경험 강화

또한 보고, 분석, SCIM 통합 및 향상된 관리 기능을 강조하는 엔터프라이즈 중심의 개선 사항도 자세히 살펴봅니다. 간소화된 보고는 관리자에게 포괄적인 통찰력을 제공하는 반면, SCIM은 사용자 프로비저닝을 자동화하여 온보딩 및 오프보딩을 간소화합니다. 전자 메일 및 Microsoft Teams를 통한 "넛지"를 추가하면 전반적인 관리 환경이 완성됩니다. 

앞으로 다가올 소식

마지막으로, 따라잡기 Secure Code Warrior의 2024년 비전에서는 6가지 핵심 이니셔티브를 공개합니다.

• Executive Value Benchmark Reporting 및 Comprehensive Program Reporting은 회사 성과에 대한 심층적인 통찰력을 제공합니다.
• 개발자 역량 강화는 자기 주도적 학습 경험을 향상시키는 데 중점을 둡니다.
• 콘텐츠 개발 투자가 증가하면 강력한 콘텐츠 라이브러리가 보장됩니다.
• 코드 리포지토리와의 긴밀한 통합은 개발자 활동에 대한 탁월한 통찰력을 제공합니다.
• Administrator Productivity Enhancement는 커뮤니케이션 채널을 간소화합니다.

이러한 흥미로운 발전에 대해 더 자세히 알아보려면 전체 녹음을 듣고 미래를 형성하는 데 참여하는 방법을 배우십시오. Secure Code Warrior의 미래 혁신.

‍