7월 13일, 더 많은 선구적인 조직이 개발 코호트의 힘을 활용하여 일반적인 취약성을 차단할 수 있도록 지원하는 다음 단계의 미션을 위해 5천만 달러를 모금한 시리즈-C 펀딩 라운드가 마감되었다고 발표했습니다. 

시장을 선도하는 애자일 학습 도구 제품군은 개발자의 안전한 코딩 기술을 향상시키는 것뿐만 아니라 개발자의 작업, 학습, 기술 향상 기회 참여 방식에 있어서도 개발자의 요구를 충족시키는 데 중점을 두고 제작되었습니다. 이번 펀딩을 통해 저희의 뛰어난 팀이 제품 로드맵에서 달성해야 할 새로운 이정표와 함께 작업을 계속할 수 있을 것입니다.

정부 규제로 인해 대부분의 조직에서 보안 문화에 대한 근본적인 변화가 필요하다는 신호를 보내고 있는 지금, 개발자 업스킬링 경로를 조기에 시작하는 기업의 미래는 어떤 모습일까요?

애자일 학습을 통한 위협 유연성 유지

중국의 전설적인 철학자 공자의 가장 유명한 명언 중 하나는 "바람에 휘어지는 푸른 갈대는 폭풍에 부러지는 거대한 참나무보다 강하다"는 것입니다. 기술이 빠른 속도로 발전하고 교묘한 사이버 위협이 한 발짝도 뒤처지지 않는 오늘날과 같은 시대에 조직은 정적인 교육 솔루션으로 시간을 낭비할 여유가 없습니다. 사이버 보안 교과서는 인쇄되기도 전에 구식이 되는 경우가 허다하며, 딱딱한 강의실 기반의 courses 은 새로운 보안 문제에 대한 최상의 기술과 접근 방식을 보여주기 위해 회전하도록 설계되지 않았습니다. 

Secure Code Warrior 는 개발자 보안 교육 분야의 시장 리더로서, 개발자를 미래의 최고 수준의 엔지니어로 육성하기 위해 민첩한 접근 방식을 활용하고 있습니다. learning platform 및 개발자 우선 툴링을 통해 훨씬 더 역동적으로 현재의 위협과 이러한 문제가 발생했을 때 가장 효율적으로 해결할 수 있는 방법에 발맞출 수 있습니다. 교육 솔루션의 뿌리가 한곳에 고정되어 있다면 개발자를 교육할 때 '바람의 방향'을 따라갈 수 없어 교육자와 학생 모두 좌절감을 느끼고 취약성 해결에 성공할 확률이 훨씬 낮아집니다. 

Gartner에 따르면 2025년까지 대기업의 70%가 애자일 학습 접근 방식을 채택할 것이라고 합니다. 마이크로러닝, 지속적인 개선, 가장 적절한 비즈니스 목표와 보안 성과에 활용할 수 있는 핵심 지식 구축으로 전환하는 데에는 엄청난 힘이 있습니다. 하지만 이를 위해서는 기존의 관행에 도전해야 합니다. 기업은 기술보다 스트레스 수준을 더 높이는 것처럼 보이는 획일적인 추가 교육이 아니라 일상적인 업무의 일부로 교육 요구 사항을 조정하기 위해 노력해야 합니다. 

동급 최고의 애자일 학습을 제공하기 위한 역량과 리더십 확대

미래를 선도하는 기업 고객을 위해 동급 최고의 애자일 학습 도구를 제공하기 위한 노력의 일환으로 최근 확대된 리더십 팀을 발표하게 되어 자랑스럽게 생각합니다. 임퍼바의 최고 고객 책임자인 난히 싱을 이사회에 임명하고, 패트릭 콜린스를 새로운 최고 제품 및 기술 책임자로 임명했습니다. 

스마트한 기업은 사이버 보안에 중점을 둔 실습 학습에 "모든 것에 맞는" 접근 방식이 없다는 것을 잘 알고 있으며, 개발 팀에 다양한 학습 경로를 제공할 수 있는 능력을 추구합니다. 저희는 애자일( learning platform )과 코딩 랩을 통한 실시간 피드백 옵션을 비롯한 지속적인 개선과 경험을 통해 매일 이를 실현하여 가장 매력적이고 폭넓은 학습 환경을 조성합니다. 또한 관련 없는 모듈이나 courses 에 시간을 낭비하지 않고 가장 필요한 시점에 올바른 정보를 제공하는 적시성(Just-in-Time) 방식을 사용합니다. 

팀원들의 변함없는 헌신과 투자자들의 지속적인 신뢰와 믿음이 없었다면 이러한 현실은 불가능했을 것입니다. 애자일 학습 기회는 무궁무진하며, 앞으로 몇 달 동안 귀중한 기여를 해줄 난히와 패트릭을 맞이하게 되어 매우 기쁩니다.

이 문서의 버전은 어두운 읽기에나타났다. 여기에 업데이트되고 신디케이트되었습니다.

‍

문화를 뒤흔드는 최신 AI 도구에 대한 과대 광고가 처음 등장했을 때부터 개발자와 코딩에 관심이 많은 사람들은 버튼 하나만 누르면 코드를 생성하는 데 이 도구를 사용해 왔습니다. 보안 전문가들은 많은 경우 생성되는 코드의 품질이 낮고 취약하며, 보안에 대한 인식이 거의 없는 사람들이 안전하지 않은 앱과 웹 개발을 통해 순진한 소비자를 공격할 수 있다는 점을 빠르게 지적했습니다.

그리고 보안 지식이 충분한 사람들이 이를 악용하는 경우도 있습니다. 모든 놀라운 인공지능의 업적 뒤에는 동일한 기술이 악의적인 목적으로 사용되는 카운터 펀치가 있는 것 같습니다. 피싱, 정교한 가짜 사기 동영상, 멀웨어 제작, 일반적인 스크립트 장난... 이러한 파괴적인 활동은 진입 장벽을 낮추면서 훨씬 더 빠르게 달성할 수 있습니다.

이 도구가 혁신적이거나 적어도 '평균적인' 인간의 기술과 비교했을 때 우위에 있다고 선전하는 클릭베이트는 분명 많습니다. LLM 스타일의 AI 기술이 소프트웨어 개발뿐만 아니라 업무의 여러 측면에 접근하는 방식을 변화시키는 것은 피할 수 없는 것처럼 보이지만, 한 걸음 물러서서 헤드라인 너머에 있는 위험을 고려해야 합니다. 

그리고 코딩의 동반자로서 가장 '인간적인' 속성이라는 결점도 있습니다.

잘못된 코딩 패턴으로 인해 자주 사용하는 솔루션은 다음과 같습니다.

수십 년간의 기존 코드와 지식 베이스를 기반으로 학습된 ChatGPT는 그 놀라움과 신비함에도 불구하고 사람들이 코드를 탐색할 때 직면하는 일반적인 함정을 그대로 가지고 있다는 것은 놀라운 일이 아닙니다. 잘못된 코딩 패턴은 여전히 존재하며, 올바른 질문을 하고 올바른 엔지니어링을 제공함으로써 안전한 코딩 예제를 생성하려면 보안을 인식하는 드라이버가 필요합니다. 

그럼에도 불구하고 보안 관점에서 볼 때 제공된 코드 조각이 정확하고 제대로 작동한다는 보장은 없으며, 마이크 셰마가 발견한 것처럼 이 기술은 특정 JSON 연산을 수행하라는 요청을 받으면 존재하지 않는 라이브러리를 구성하는 등 환각에 빠지기 쉽습니다. 이로 인해 위협 공격자들은 '환각 스쿼팅'을 할 수 있으며, 이들은 ChatGPT가 자신 있게 추천하는 조작된 라이브러리로 위장한 멀웨어를 기꺼이 실행할 것입니다.

궁극적으로, 우리는 일반적으로 개발자들이 보안에 대해 충분히 인식할 것으로 기대하지 않았고, 업계에서도 개발자들이 보안 코드를 기본 상태로 작성할 수 있도록 충분히 준비하지 않았다는 현실을 직시해야 합니다. 이는 ChatGPT에 입력되는 방대한 양의 학습 데이터에서 분명하게 드러나며, 적어도 초기에는 그 결과물에서 이와 유사한 보안 취약점이 발견될 것으로 예상할 수 있습니다. 개발자는 보안 버그를 식별하고 이를 직접 수정하거나 더 나은 프롬프트를 설계하여 보다 강력한 결과를 얻을 수 있어야 합니다.

스탠포드 대학의 연구진이 수행한 다양한 보안 관련 기능을 해결하기 위해 사용자가 AI 코딩 어시스턴트와 어떻게 상호 작용하는지를 조사한 최초의 대규모 사용자 연구는 이러한 개념을 뒷받침하는 한 가지 관찰 결과를 제시합니다:

"AI 어시스턴트에 액세스할 수 있는 참가자는 대부분의 프로그래밍 작업에서 보안 취약점을 노출할 가능성이 더 높았지만, 안전하지 않은 답변을 안전하다고 평가하는 비율도 대조군에 비해 더 높았습니다."

이는 AI 코딩 도구의 결과물이 항상 본질적으로 안전한 코드를 생성할 것이라고 기본적으로 신뢰하는 수준을 말하는데, 실제로는 그렇지 않습니다.

이러한 위협은 물론, 미래에 닥칠 피할 수 없는 AI 기반 위협까지, 개발자는 그 어느 때보다 보안 기술을 연마하고 출처에 관계없이 코드 품질 기준을 높여야 합니다.

데이터 유출 재해로 가는 길은 좋은 의도로 포장되어 있습니다.

특히 개발자가 더 많은 책임과 촉박한 마감일, 그리고 회사의 혁신에 대한 야망을 어깨에 짊어지고 있는 상황에서 AI 코딩 컴패니언이 인기를 끌고 있는 것은 놀라운 일이 아닙니다. 하지만 아무리 좋은 의도를 가지고 있다고 해도 코딩에 AI를 사용할 때 보안에 대한 인식이 부족하면 필연적으로 보안 문제가 발생할 수밖에 없습니다. AI/ML 툴을 사용하는 모든 개발자는 더 많은 코드를 생성하게 되며, 그 보안 위험 수준은 개발자의 기술 수준에 따라 달라집니다. 조직은 교육을 받지 않은 사람들이 코드를 더 빨리 생성하는 것은 분명하지만, 그만큼 기술 보안 부채의 속도도 빨라진다는 점을 분명히 인식해야 합니다.

저희의 예비 테스트(2023년 4월)에서도 ChatGPT는 치명적인 결과를 초래할 수 있는 아주 기본적인 실수를 생성하는 것으로 나타났습니다. MySQL 데이터베이스를 사용하여 PHP로 로그인 루틴을 구축하도록 요청했을 때 기능적인 코드가 빠르게 생성되었습니다. 하지만 기본적으로 비밀번호를 데이터베이스에 일반 텍스트로 저장하고, 데이터베이스 연결 자격 증명을 코드에 저장하고, SQL 인젝션을 초래할 수 있는 코딩 패턴을 사용했습니다(물론 입력 매개 변수를 어느 정도 필터링하고 데이터베이스 오류를 뱉어내긴 했지만요). 모든 루키 오류:
‍

추가 프롬프트를 통해 실수를 수정할 수 있었지만, 이를 바로잡으려면 상당한 보안 지식이 필요합니다. 이러한 도구를 확인하지 않고 광범위하게 사용하는 것은 주니어 개발자를 프로젝트에 투입하는 것과 다를 바 없으며, 이 코드가 민감한 인프라를 구축하거나 개인 데이터를 처리하는 것이라면 시한폭탄을 안고 있는 것과 같습니다.

물론 주니어 개발자가 시간이 지남에 따라 실력이 향상되는 것처럼 AI/ML 기능도 향상될 것으로 기대합니다. 1년 뒤에는 지금처럼 명백하고 단순한 보안 실수를 하지 않을 수도 있습니다. 그러나 이는 여전히 발생할 위험이 있는 더 심각하고 숨겨진 사소하지 않은 보안 오류를 추적하는 데 필요한 보안 기술을 획기적으로 향상시키는 효과가 있을 것입니다.

보안 취약점을 발견하고 수정할 준비가 제대로 되어 있지 않은 상황에서 AI는 그 격차를 더욱 벌리고 있습니다.

이 시점에서 수년 동안 "왼쪽으로 이동"에 대한 많은 이야기가 있었지만, 대부분의 조직에서 개발 집단 사이에 실질적인 보안 지식이 현저히 부족하다는 사실은 여전히 남아 있으며, 우리는 그들이 나아가는 데 도움이 되는 적절한 도구와 교육을 제공하기 위해 더 열심히 노력해야 합니다.

현재로서는 우리가 익숙한 보안 버그는 물론이고, 산불처럼 번져나갈 완전히 새로운 공격 벡터를 나타내는 프롬프트 인젝션 및 환각 스쿼트 같은 새로운 AI 기반 문제에 대해서도 준비가 되어 있지 않습니다. AI 코딩 도구는 개발자의 코딩 무기고의 미래를 대표하지만, 이러한 생산성 무기를 안전하게 사용하기 위한 교육은 지금 당장 이루어져야 합니다.

‍

안전한 코드 교육에 애자일 원칙을 적용해야 할 때입니다.

대부분의 조직에서 보안 코드 교육에 대한 전통적인 접근 방식은 시작과 끝이 따로 있는 특정 시점의 연습으로 취급합니다. 디지털 시대에 비즈니스가 점점 더 빠르게 변화함에 따라 이러한 방식으로는 더 이상 충분하지 않습니다. 모든 종류의 조직은 개발자의 일상 업무에 포함되는 지속적인 학습 전략을 채택해야 합니다. 새로운 보안 기술을 채용하는 것도 하나의 해답이 될 수 있지만, 이러한 인재는 부족하고 접근 방식이 확장되지 않습니다. 소프트웨어 개발에서 애자일 방식이 폭포수 접근 방식을 추월한 것처럼, 애자일은 이제 개발자 보안 교육에 혁신을 일으키고 있습니다. 소프트웨어에서 애자일의 이점은 작업을 작은 조각으로 나누고, 하나의 스프린트를 다음 스프린트 위에 겹쳐서 연속적이고 반복적인 주기로 빠른 속도로 성공적으로 배포할 수 있다는 것입니다. 마찬가지로 보안 코드를 위한 애자일 학습도 소모적인 작은 조각으로 나누고, 점진적으로 계층화하며, 반복적인 방식으로 개발자 워크플로 내에 긴밀하게 통합합니다. 애자일을 통해 개발자는 더 효과적으로 학습하고, 보안 기술을 더 빠르게 내재화하며, 더 안전한 코드를 거의 즉시 작성할 수 있습니다.  

전통적인 보안 교육과 애자일( Learning Platform )을 통한 보안 코드 교육 비교

애자일 학습은 사람들이 지식을 더 빠르고 효과적으로 내재화하는 방법을 구성하는 일련의 가치와 원칙입니다. 애자일 학습 선언문(아래 그림 1 참조)에서 Gartner는 네 가지 가치와 여덟 가지 원칙을 정의합니다.

이 네 가지 가치는 직원 교육에 대해 생각하는 새로운 사고방식을 나타냅니다. 업무의 통합된 부분으로서의 학습은 비즈니스 성과, 성장 마인드, 실시간 임베디드 교육, 커뮤니티 화합을 중시합니다. 이러한 가치는 학습 이니셔티브의 북극성 역할을 하며 여기에 간략히 설명하는 8가지 원칙의 틀이 됩니다.

1. 수익 창출을 위한 학습: 회사의 재무 목표와 역량 요구 사항을 개발자의 기술 발전과 연계합니다. 
2. 동기 부여 배가: 개발자가 자신의 경력에 적용하여 발전할 수 있는 효과적인 보안 기술 구축 플랫폼에 액세스하면 더 많은 것을 배우려는 동기가 부여됩니다.
3. 적시성 마이크로버스트: 2분에서 25분 길이의 짧은 학습 콘텐츠가 순간적으로 표시되어 개발자가 관련성 있고 사용 가능한 기술을 구축할 수 있도록 컨텍스트를 제공합니다.
4. 동적 경로: 보안 콘텐츠는 다양한 형식으로 제공될 수 있으며 개발자는 자신의 학습 스타일에 가장 적합한 모드로 셀프 서비스를 제공할 수 있습니다.
5. 점진적 계층화: 기본 보안 코드 개념을 숙지한 후 고급 지식과 실습을 진행합니다.
6. 가치 전달의 흐름: 개발자가 이미 사용하고 있는 도구와 공간에 보안 코드 개념이 내장되어 있으므로 교육을 받기 위해 업무를 중단할 필요가 없습니다.
7. 데이터 기반, AI 지원: 기술은 수업을 동적으로 조정하고 학습을 개인화하여 개발자가 계속 학습할 수 있도록 지원하며, 강의실에서는 얻을 수 없는 맞춤형 경험을 제공합니다. 
8. 사회적으로 증폭: 안전한 코딩 기술을 장려하고 개발자가 선의의 경쟁과 지식 공유에 참여하는 학습 문화를 구축하면 기업 전반에 걸쳐 이점을 얻을 수 있습니다.

보안 코드를 위한 애자일 learning platform 소개 

지난 10년 동안 Secure Code Warrior 은 애자일 원칙을 learning platform 의 설계에 통합했습니다. 우리는 개발자 중심의 유연한 학습 경험을 통해 기존 보안 교육의 틀을 깨고 위험과 비용 감소부터 개발자 생산성 향상에 이르기까지 여러 측면에서 고객에게 2배에서 3배의 비즈니스 가치를 제공했습니다. 그렇다면 애자일이란 무엇일까요 learning platform? 보안 코드를 위한 애자일 learning platform 은 구체적으로 어떻게 개발자가 새로운 기술을 빠르게 내재화하여 바로 업무에 적용할 수 있도록 할까요? 보안 코드를 위한 애자일 학습이 기존 보안 교육보다 나은 점은 무엇일까요? 일련의 블로그 게시물 중 첫 번째 게시물인 이 글에서는 SCW 애자일 Learning Platform 이 애자일의 가치와 원칙을 몇 가지 예시하는 방법을 살펴봅니다.

가치 전달 흐름에 내장된 동적 경로 및 적시 마이크로버스트 

애자일 코드( learning platform )는 학습자가 콘텐츠를 소비하고, 지식을 발전시키고, 새로운 기술을 내재화할 수 있는 다양한 방법을 제공합니다. 개발자는 필요한 시점에 적시에 소비 가능한 소규모 콘텐츠 마이크로버스트에서 자신에게 가장 적합한 것을 찾을 수 있는 동적 경로를 제공합니다. 사용자는 플랫폼에서 자신에게 가장 적합한 학습 형태를 선택할 수 있습니다. 사용자는 마이크로버스트로 제공되는 비디오, 가이드라인, 워크스루를 통해 보안 개념을 접할 수 있습니다. 이러한 기능은 특정 취약점의 '무엇'과 '어떻게'라는 기본 개념을 전달합니다. 이 콘텐츠는 Jira와 같이 매일 사용하는 개발 도구 내에서 제공되므로 개념이 더 잘 전달되고 이해도가 높아져 내재화될 수 있습니다.

SCW 플랫폼은 점진적 계층화라는 애자일 원칙을 잘 보여줍니다. 개발자는 보안 코드 개념에 익숙해진 후 챌린지와 같은 실습형 대화형 모듈로 이동할 수 있습니다, missions와 같은 실습형 대화형 모듈과 앞서 소개한 기본 개념을 연습하는 코딩 랩으로 이동할 수 있습니다. 이러한 모듈은 다양한 기술 수준과 학습 스타일을 수용하므로 개발자가 학습 방법을 선택할 수 있는 동적 경로를 제공합니다. 

‍

교육에서 애자일 학습으로 전환하기

보안 교육에서 보안 코드에 대한 애자일 학습으로 접근 방식을 전환하는 것은 개발자 인력을 활성화하고 낭비되는 개발자 시간을 회수하여 보다 생산적인 프로젝트에 적용할 수 있는 강력한 방법입니다. 이 게시물에서는 Secure Code Warrior의 플랫폼 기능 중 일부와 애자일 학습 전략의 원칙을 예시하는 방법을 살펴보았습니다. 다음 게시물에서는 안전한 코드 학습에 대한 비즈니스 사례를 시연하고 애자일에서 영감을 받은 플랫폼의 더 많은 기능을 소개할 예정입니다.

약 Secure Code Warrior

Secure Code Warrior 는 개발자에게 안전한 코드를 작성할 수 있는 기술을 제공합니다. learning platform 은 개발자가 소프트웨어 보안 원칙을 배우고, 적용하고, 유지할 수 있도록 애자일 학습 방법을 사용하기 때문에 가장 효과적인 보안 코딩 솔루션입니다. 600개 이상의 기업이 애자일 학습 보안 프로그램을 구현하고, 안전한 소프트웨어를 신속하게 제공하며, 개발자 중심의 보안 문화를 조성하기 위해 Secure Code Warrior 을 신뢰하고 있습니다. 자세히 알아볼 준비가 되셨나요? 데모를 요청하세요.

이 문서는 원래 포브스 기술 위원회의 일부로 게재되었습니다. 여기에서 업데이트 및 신디케이트되었습니다.

‍

2022년에 얼마나 많은 데이터 레코드가 유출되었다고 생각하시나요? 약 5억 개 정도라고 추측한다면 올바른 방향으로 가고 있는 것입니다. 공개된 유출 데이터에 따르면 작년에만 약 480,014,323개의 기록이 도난당했지만, 그 수는 훨씬 더 많을 것으로 보입니다. 어쨌든 이는 일반 시민에게는 냉정한 통계이며, 기업 보안 전문가에게는 매우 우려스러운 수치입니다.

선진국 대부분의 사람들이 성공적인 사이버 공격을 통해 자신의 개인 데이터 중 적어도 일부가 범죄자의 손에 넘어가는 것을 경험했을 가능성이 높기 때문에 세계 각국 정부가 온라인 범죄 활동의 이러한 파괴적인 흐름을 막기 위한 솔루션을 모색하는 것은 당연한 일입니다. 최근 바이든 행정부가 국가 사이버 보안 전략의 형태로 발표한 이 전략에 큰 관심을 가지고 지켜보고 있습니다. 이 전략에는 제가 요즘 가장 좋아하는 주제 중 하나인 보안 책임에 관한 지침이 포함되어 있습니다.

CISA의 사이버 보안 및 인프라 보안 책임자인 Jen Easterly가 중요한 프레젠테이션을 한 후 발표된 이 전략은 보안 커뮤니티에서 일부 분열을 일으킨 것은 당연한 일입니다. 하지만 저는 이 전략이 전반적으로 소프트웨어 표준을 높이고, 궁극적으로 보안에 능숙한 개발자의 새로운 시대를 열 수 있는 최고의 기회라고 믿습니다.

공급업체는 안전하지 않은 소프트웨어에 대해 항상 책임을 져야 합니다.

수십 년 동안 소프트웨어 보안과 관련하여 책임 소재는 어떤 팀도 해결하려고 하지 않는 뜨거운 감자였습니다. 경영진과 팀은 소프트웨어 보안에 대한 궁극적인 책임이 누구에게 있는지에 대해 격렬하게 동의하지 않는 경향이 있는데, Venafi의 한 보고서에 따르면 고위 IT 임원의 97%가 소프트웨어 빌드 프로세스가 충분히 안전하지 않다는 데 동의하지만 보안 모범 사례를 적용하는 데 최종적인 책임이 있는 사람에 대해서는 의견이 일치하지 않는 것으로 나타났습니다. 경영진의 61%는 IT 보안 팀이 소프트웨어 보안을 책임져야 한다고 답한 반면, 31%는 개발 팀이 책임져야 한다고 답했습니다. 이는 방정식의 한 부분일 뿐입니다. 소프트웨어 빌드에 포함된 오픈 소스 및 타사 상용 구성 요소 문제는 공격 표면을 지속적으로 확장하고 있습니다. 업데이트, 모니터링, 테스트에 대한 지속적인 경계가 필요함에도 불구하고 앱 보안 팀과 보안 팀 사이에서도 명확한 '소유자'가 거의 없습니다.

같은 설문조사에 따르면 소프트웨어 보안과 무결성에 대한 책임을 누가 져야 하는지에 대한 내부 갈등에도 불구하고 94%의 임원은 빌드 파이프라인을 위협 행위자로부터 보호하지 못하고 고객과 최종 사용자를 위험에 빠뜨리는 소프트웨어 공급업체에 대해 처벌을 해야 한다고 생각합니다. 

최근 2016년 발생한 치명적인 사이버 공격에 대한 잘못된 관리와 관련하여 Uber의 최고정보보호책임자(CISO)가 기소되고 GDPR과 같은 규제 이니셔티브가 시행되면서 보안을 우선시하지 않고 불장난을 하는 공급업체에 대한 제재가 서서히 강화되고 있습니다. 하지만 이것만으로는 충분하지 않습니다. 우리는 사이버 범죄와의 전쟁에서 패배하고 있으며, 삼키기 어려운 약이지만 소프트웨어 공급업체의 느슨한 관행은 사이버 범죄가 번창할 수 있는 무한한 기회를 제공하고 있습니다. 

국가 사이버 보안 전략은 안전하지 않은 소프트웨어에 대한 모든 책임을 공급업체에 전가함으로써 선을 긋고 순환적인 비난 게임을 중단하고자 합니다.



전략 목표 3.3 - 안전하지 않은 소프트웨어 제품 및 서비스에 대한 책임 전환:

"너무 많은 공급업체가 보안 개발을 위한 모범 사례를 무시하고, 안전하지 않은 기본 구성이나 알려진 취약점이 있는 제품을 출시하며, 검증되지 않았거나 출처를 알 수 없는 타사 소프트웨어를 통합합니다."

우리는 소프트웨어 보안을 위해 합리적인 예방 조치를 취하지 않는 기업에게 책임을 전가하기 시작해야 하며, 가장 진보된 소프트웨어 보안 프로그램도 모든 취약점을 예방할 수는 없다는 사실을 인식해야합니다."

이로 인해 당연히 일부 업계가 반발하고 있습니다. 하지만 대부분의 산업에서 표준 및 규정 개발의 다른 결정적인 순간과 마찬가지로, 더 나은 장기적인 결과를 보장하기 위한 중기적인 고통입니다. 소프트웨어 공급업체의 한 사람으로서, 보안에 관한 한 모든 책임을 져야 한다는 것은 당연한 일입니다. 빌드 파이프라인, 프로세스, 품질 관리가 우리의 책임이며, 실수할 경우 이를 바로잡는 것은 우리의 책임입니다.

또한, 우리는 가능한 최고 품질의 소프트웨어를 만들기 위해 노력해야 하며, 보안 코딩은 성공적인 결과를 정의하는 지표의 일부가 되어야 합니다. 어떤 대가를 치르더라도 속도에 집중하는 세상에서 이를 달성하는 것은 어려운 일이지만, 소프트웨어 제작 프로세스에 참여하는 모든 사람, 특히 개발자가 자신의 역할에 맞는 보안 모범 사례를 제공할 수 있도록 적절한 교육을 받도록 하는 것은 우리의 미래를 이끄는 보안 리더의 몫입니다. 

아직 장기적인 모범 사례에 대한 방향성이 부족합니다.

전략 목표 3.3은 일반적인 모범 사례의 기초로 잘 정립된 NIST 보안 소프트웨어 개발 프레임워크를 참조하고 있으며, 이는 포괄적이고 모든 것을 아우르는 지침입니다. 이 프레임워크는 "조직의 인력, 프로세스 및 기술이 조직 수준에서 안전한 소프트웨어 개발을 수행할 준비가 되어 있는지 확인"할 필요성을 명시하고 있지만, 예를 들어 보안 인식 관리자가 활성화 솔루션을 선택할 때 고려해야 할 요소에 대해서는 특별히 규정하지 않습니다.

진정한 혁신을 이루려면 개발자를 보안 프로그램의 필수 요소로 간주하고 기술을 향상하고 취약성 탐지 및 제거에 대한 책임을 공유할 수 있는 모든 기회를 제공해야 합니다. 관련성이 높은 상황별 학습 및 도구 없이는 측정 가능한 방식으로 이를 달성할 수 없으며, 지속적인 기술 개발 경로가 아닌 연례 규정 준수 연습으로 간주되는 경우에도 마찬가지입니다. 

개발자는 보안 수수께끼를 푸는 데 있어 강력한 퍼즐 조각이며, 보안에 능숙한 개발자로 구성된 팀은 대부분의 조직에서 없어서는 안 될 필수 요소입니다. 개발자는 빠른 보안을 가능케 하지만, 이는 팀에 시간과 리소스를 투자할 때만 가능합니다. 그 전까지는 세상의 모든 일반적인 모범 사례 지침이 아무런 효과를 발휘하지 못할 것입니다.

소프트웨어 보안 열반을 향한 긴 여정.

바이든 행정부는 중요 인프라 전반의 신속한 복원력을 달성하기 위해 CISA에 30억 달러의 자금을 지원하기로 약속했습니다. 최고 수준의 정부로부터의 자금과 지원도 중요하지만, 위협 행위자를 막을 수 있는 기회를 잡기 위해서는 보안 문화에 대한 이야기를 다시 쓰기 위한 전 세계적인 노력이 필요합니다.

앞으로 가야 할 길은 멀지만, 모든 소프트웨어 공급업체가 조직 차원에서 보안 책임을 위한 용감한 첫 걸음을 내딛는 것에서 시작됩니다.

2023년 3월 20일, 봄 보안 권고에서는 내부적으로 발견된 취약점인 CVE-2023-20860을 언급하는 블로그 게시물을 발표했습니다. 자세한 정보는 공개되지 않았으며, mvcMatchers 사용과 관련된 액세스 제어 문제라는 것 외에는 공개되지 않았습니다. Spring 개발자가 이 문제를 해결했으며, 버전 업데이트를 권장하고 있습니다.

직접 체험해보고 싶으신가요? 여기에서 미션을 수행해 보세요.

보안이 저희의 주요 관심사이므로 Secure Code Warrior에서 보안에 중점을 두고 있는 만큼, 저희는 이 mvcRequestMatchers 취약점에 대해 자세히 살펴보고 핵심 문제가 어디에 있는지 파악하기로 결정했습니다.

Spring은 요청이 경로 패턴과 일치하는지 확인하기 위해 RequestMatcher 인터페이스를 제공합니다. 아래 코드 스니펫에서 인증 및 권한 부여 요구 사항과 함께 엔드포인트를 등록하는 데 mvcMatchers 헬퍼 메서드가 사용되는 부분을 살펴보세요. 예를 들어 ADMIN 역할의 사용자만 /logs/감사 엔드포인트에 액세스할 수 있음을 알 수 있습니다. 

MvcMisMatchers?

Spring에서 **는 URL에 있는 디렉터리 및 하위 디렉터리를 원하는 수만큼 일치시키는 패턴입니다. 예를 들어 /bankaccount/**는 /bankaccount/로 시작하는 모든 URL과 일치하며, 하위 디렉터리(예: /bankaccount/dashboard/settings)도 포함됩니다. 

패턴은 모든 URL과 일치하며 하위 디렉터리의 레벨이 정확히 한 단계인 패턴입니다. 예를 들어 /bankaccount/*는 bankaccount/dashboard와 일치합니다.

를 사용하여 일치자를 구성할 때 Spring은 "스프링 보안과 스프링 MVC 간의 패턴 일치 불일치" 가 발생하여 취약점이 발생했다고 명시합니다.

기본적으로 이중 와일드카드 앞에 구분 기호가 없기 때문에 들어오는 모든 요청 앞에 슬래시가 붙기 때문에 경로가 들어오는 요청과 일치하지 않습니다. 즉, 액세스 제어 규칙이 적용되지 않아 인증되지 않은 사용자가 리소스에 액세스할 수 있습니다.

문제를 해결한 커밋을 살펴보겠습니다.

가장 눈에 띄고 중요한 변경 사항은 권한 부여 및 인증 규칙의 우회를 수정하는 315번째 줄이 추가된 것입니다. 제출되는 모든 경로 패턴 앞에 슬래시(/)가 추가되도록 합니다. 

404 일치하는 항목을 찾을 수 없음

은행계좌/보기로 웹 요청을 보낼 때 일치 메서드는 보안 필터에 정의된 패턴을 구문 분석하고 요청된 경로와 비교합니다. 구문 분석기는 주어진 패턴을 경로 요소의 트리로 변환합니다.

구문 분석기는 첫 번째 문자를 SeparatorPathElement로 읽습니다. 그런 다음 다음 구분 기호까지 문자열 문자를 계속 읽어서 새로운 LiteralPathElement를 생성 합니다.

패턴으로 **를 사용할 때 어떤 문제가 발생할까요? 

많은 경로 요소 유형이 있지만, 여기서 가장 흥미로운 것은 각각의 문자열 표현을 가진 WildcardPathElement와 WildcardTheRestPathElement입니다: * 와 /**입니다. 

와일드카드 경로 요소는 단일 경로 세그먼트 내에서 0개 이상의 문자를 일치시키는 반면, 와일드카드 나머지 경로 요소는 자체적으로 0개 이상의 경로 세그먼트(구분 기호 포함)를 일치시킵니다.

후자는 **를 패턴으로 제출할 때 무엇이 잘못되었는지에 대한 단서를 제공합니다. 구문 분석 중에 패턴을 찾지만 **는 예상되는 슬래시로 시작하지 않습니다. 따라서 WildcardTheRestPathElement가 되는 대신 두 개의 연속된 WildcardPathElement가 됩니다.

그런 다음 구문 분석된 패턴을 사용하여 요청된 URL과 일치시킵니다. 경로는 슬래시로 시작해야 하지만 와일드카드는 구분 기호에 일치하지 않습니다.

즉, RequestMatchResult 대신 null이 반환됩니다. 따라서 이 매칭기에 설정된 액세스 제어 규칙은 요청된 URL에 적용되지 않습니다.

Spring은 슬래시를 추가하여 이 문제를 해결했습니다. 즉, ** 패턴은 /**가 되어 와일드카드TheRestPathElement로 구문 분석될 수 있으며, 이제 패턴이 요청된 URL과 일치하므로 RequestMatchResult가 반환됩니다.

취약점 또는 API 오용?

코드가 의도한 대로 작동하기 때문에 이것이 취약점으로 간주되어야 하는지 여부는 논쟁의 여지가 있습니다. 이 문제는 기본적으로 Spring 문서에 경로를 구분 기호로 시작해야 한다는 명시적인 언급이 없다는 사실에 있습니다. 따라서 버그나 취약점이라기보다는 API 오용의 사례로 간주할 수 있습니다.

이 인터뷰는 원래 사이버뉴스.

‍

보안 도구와 서비스가 널리 보급되어 있음에도 불구하고 기업들은 끊임없이 진화하는 위협 환경을 따라잡기 위해 여전히 고군분투하고 있습니다.

이는 개발자의 보안 인식과 교육이 부족하기 때문일 수 있으며, 이로 인해 위험한 코드가 공개되어 악의적인 공격자가 악용할 수 있습니다. 바이러스 백신 소프트웨어나 강력한 취약성 검사 솔루션과 같은 보안 조치가 보안을 강화할 수 있지만, 오늘 게스트는 이 모든 것이 보안에 중점을 둔 개발팀에서 시작된다고 설명합니다.

사이버뉴스 팀은 개발자가 보안 위협을 식별하고 완화할 수 있도록 교육하는 방법에 대해 논의하기 위해 보안 위협을 식별하고 완화할 수 있는 도구를 제공하는 회사인 Secure Code Warriorlearning platform 및 개발팀이 보안 취약점을 탐색하는 데 도움이 되는 개발자 중심 도구 제품군을 제공하는 회사입니다.

여정은 어땠나요? Secure Code Warrior 아이디어는 어떻게 떠올랐나요?

어렸을 때 저는 기술을 분해하여 그 안에 무엇이 들어 있고 어떻게 작동하는지 알아내는 데 흥미를 느꼈습니다. 가족과 우리가 공유하는 가전제품에 대한 안도감을 느낀 저는 결국 하드웨어와 소프트웨어에 대해서도 같은 접근 방식을 취해 침입하고 깨뜨릴 방법을 찾게 되었습니다. 보안에 대한 평생의 열정이 생겨났고, 수년 동안 저는 학생, 동료, 보안 커뮤니티에 저의 '깨는' 기술을 공유하면서 소프트웨어의 오류를 찾고, 사용하고, 악용하는 방법을 보여주는 데 집중했습니다. 이후에는 방어자의 기술을 향상시키고, 교실 환경에서 개발자에게 안전하고 좋은 코딩 패턴을 가르치고, 일반적인 취약점과 이를 방지하는 방법을 이해하도록 돕는 데 다시 집중했습니다. 또한 대기업을 대상으로 보안 프로그램, 특히 개발자 참여와 관련하여 보안 프로그램을 개선할 수 있는 방법에 대해 조언하는 컨설팅 업무도 수행했습니다. 이 기간 동안 지금의 창립 팀( Secure Code Warrior)과 인연을 맺게 되었습니다. 우리는 함께 코드 수준의 취약성과 관련하여 보안 팀과 개발 팀 모두 직면한 고충과 개발자 보안 기술 향상을 목표로 하는 대부분의 교육 솔루션에 존재하는 문제점을 이해했습니다. 저희는 개발자가 재미있고 흥미롭게 참여할 수 있으면서도 엔터프라이즈 수준으로 확장할 수 있는 learning platform 이라는 비전을 실현하기 위해 노력하기 시작했습니다. 궁극적으로 개발자의 작업 환경에 맞춤화되고, 업무에 방해가 되지 않으며, 보안을 최우선으로 생각하는 마인드를 구축하는 데 도움이 되는 도구 모음을 만들고 싶었습니다. 그리고 이를 위해 최대한 유연한 언어와 풍부한 콘텐츠를 제공하고자 했습니다.

어떤 일을 하고 계신지 소개해 주시겠어요? 주로 어떤 문제를 해결하는 데 도움을 주나요?

궁극적으로 저희는 코드에 잘못된 보안 패턴을 사용함으로써 종종 발생하는 보안 마찰과 지연을 제거하여 기업이 소프트웨어 개발 속도를 높일 수 있도록 지원합니다. 저희는 개발 팀이 수십 년 동안 존재해 왔으며 오늘날에도 계속해서 기업을 사이버 위험에 노출시키는 일반적인 보안 취약점을 탐색하는 데 도움이 되는 개발자 중심 도구 제품군( learning platform )을 만들었습니다. 이러한 문제가 지속되는 이유는 개발자가 이러한 코드 수준의 문제를 해결할 수 있는 교육과 기술이 부족하고, 잘못된 코딩 패턴과 기술을 계속 사용함으로써 문제를 처음에 도입하는 경우가 많기 때문입니다. 개발자는 3차 수준에서 안전한 코딩을 배우지 않으며, 대부분의 직장 교육 프로그램은 일상 업무와 관련된 콘텐츠를 제공하는 데 효과적이지 않을 뿐만 아니라 시간이 지나도 코드 품질과 보안에 실질적인 영향을 미치기에는 너무 빈번합니다. 유니티의 솔루션은 코딩 행동을 변화시키고 실제 업무에서 보안을 최우선으로 고려할 수 있도록 관련성 높은 기술 개발을 제공하는 것을 목표로 합니다. 개발자가 가장 익숙한 환경과 점점 더 통합하고 있으며, 상황별 학습에 중점을 두어 사용자가 주요 교육 결과를 유지할 수 있는 최상의 기회를 제공합니다. 또한 개발자가 보안을 긍정적이고 재미있는 시각으로 바라보고 성공에 대한 보상과 커뮤니티를 구축하는 데 도움이 되는 방식으로 이를 달성하기 위해 노력합니다.

보안 코딩에 대해 배우는 것이 지루하게 느껴질 수 있는데, 어떻게 하면 교육을 효과적이면서도 재미있게 진행할 수 있을까요?

저희의 플래그십 사이트( learning platform )는 개발자 참여를 염두에 두고 설계되었습니다. 가장 인기 있는 기능 중 하나는 Tournament 모드로, 참가자가 교육 중에 습득한 지식을 동료들과 테스트할 수 있습니다. 정답을 맞힐 때마다 점수가 매겨지고 tournament 세션 내내 실시간 순위표가 업데이트됩니다. 커뮤니티 이벤트와 컨퍼런스에서 이 모드를 진행했으며, 일부 고객은 모두가 코스튬을 입고 참가하는 매우 복잡한 테마를 수행하기도 했습니다. 이는 훌륭한 팀 빌딩 경험이며 피자, 상품, 일상에서 벗어나 휴식을 취하면서 기술 향상에 대한 노력을 축하하기에 완벽한 시간입니다. 또한 일반적으로 60개 이상의 프로그래밍 프레임워크에서 제공되는 콘텐츠는 일상 업무에서 실제로 볼 수 있는 실제 코드 스니펫을 사용하고 있습니다. 동영상이나 연례 규정 준수 시험을 보는 것보다 관련성이 높고 실제 문제 해결에 도움이 되는 콘텐츠가 있으면 참여도를 유지하기가 훨씬 쉽습니다.

오늘날 개발자들이 직면하는 주요 과제는 무엇이라고 생각하시나요?

개발자들이 보안을 잘하고 싶지만 교육이나 경력 과정에서 보안에 대한 적절한 교육을 받지 못했다는 사실을 인정하는 것이 중요하다고 생각합니다. 이는 보안 관점에서 개발자가 직면하는 많은 문제의 핵심입니다. 또한 개발자는 보안을 자신의 책임 범위 밖에 있는 것으로 간주하는 경향이 있으며, 대다수 조직에서 KPI에 안전한 코딩 결과와 관련된 항목이 포함되어 있지 않습니다. 코드 수준 취약성의 양에 변화를 보려면 이러한 현 상태를 깨뜨려야 합니다. 그러나 우리가 원하는 변화를 이루기 위해서는 개발자에게 적절한 지원과 도구가 필요하며, 문제는 효과적인 지원, 교육에 필요한 시간 제공, 그리고 나중에 빠른 속도로 보안을 달성하기 위한 기술 향상에 지금 투자하는 데 있습니다.

최근의 글로벌 이벤트가 업무 분야에 어떤 영향을 미쳤나요?

모든 기업이 현재의 글로벌 환경이 목표, 예상, 예산에 미치는 영향을 어느 정도 느끼고 있지만, 다행히도 지금까지는 폭풍우를 잘 극복해 왔습니다. 사이버 보안은 대부분의 기업에서 타협할 수 없는 요소이며, 저희는 고객 및 잠재 고객과의 대화에 계속 참여하기 위해 열심히 노력하고 있습니다.

조직이 소프트웨어 또는 애플리케이션을 개발할 때 따라야 할 모범 사례에는 어떤 것이 있나요?

조직마다 미묘한 차이는 있지만 일반적으로 최고의 보안 관행으로 운영되는 기업은 틀에 박힌 사고에서 벗어나 다양한 접근 방식을 기꺼이 시도합니다. 이들은 보안 결과에 긍정적인 변화를 가져올 수 있는 사람의 힘을 잊지 않습니다. 대부분의 경우 개발자는 보안 프로그램에서 큰 고려 대상이 아닙니다. 그러나 전 세계적으로 보안 기술 격차가 조만간 해소될 것 같지 않은 상황에서 보안 역량을 갖춘 개발자는 소프트웨어 개발 관점에서 위험을 줄이고 규정 준수를 달성하는 데 도움을 줄 수 있습니다. 이들은 프로세스의 가장 초기 단계부터 가장 저렴한 비용으로 영향을 미칠 수 있습니다.

보안 코딩 도구 외에 비즈니스 운영을 향상시킬 뿐만 아니라 보안을 강화할 수 있는 다른 조치나 관행에는 어떤 것이 있다고 생각하시나요?

모든 기업은 일종의 역할 기반 보안 교육을 받아야 합니다. 위협 행위자가 악용하려는 코드 수준의 익스플로잇 외에도 수많은 위협이 존재하므로 조직의 모든 사람은 자신의 업무에 적용되는 보안 원칙을 정기적으로 숙지해야 하며, 이러한 의미에서 사무실 관리자부터 회계팀에 이르기까지 모든 사람이 사이버 보안 조치 및 인식에 있어 자신의 역할을 이해하고 수용해야 합니다.

현재의 경제 상황을 고려할 때 CISO는 최저 비용으로 비즈니스를 안전하게 보호해야 한다는 압박을 많이 받고 있는데, 이들에게 어떤 조언을 해주시겠어요?

특히 사이버 보안 법규가 점점 더 까다로워지고, 경우에 따라서는 침해 사고 발생 시 CISO가 개인적으로 책임을 져야 하는 경우도 있기 때문에 이러한 환경에서는 창의력을 발휘할 필요가 있습니다. 여기에 해고까지 더해지면 같은 양의 소프트웨어를 작성하면서 더 적은 수의 엔지니어가 더 많은 책임을 져야 하는 상황에 처하게 됩니다. CISO는 비즈니스의 성장을 저해하는 주요 장애물 중 하나인 보안 문제를 해결함으로써 비즈니스의 성공을 도울 수 있습니다.

코드 수준의 보안 취약성 및 잘못된 구성을 해결할 수 있는 가장 저렴한 단계는 소프트웨어가 출시되기 전이므로 개발자는 당연히 이러한 위험을 줄일 수 있는 가장 유리한 위치에 서게 됩니다. 하지만 이를 위해서는 맞춤형 지원이 필요합니다. 현재 워크플로와 기술 스택을 고려하여 개발자를 최우선으로 고려한 도구를 엔지니어링 집단에 제공하면 빠른 속도로 보안을 확보할 수 있습니다. 빠른 속도로 보안 정확도를 달성하려면 보안 코딩 패턴을 사용하고 문제를 더 빠르게 수정하는 방법을 보여줌으로써 이 문제를 가장 잘 해결할 수 있습니다.

포괄적인 개발자 교육에 드는 비용으로 근본적으로 취약점을 원천적으로 제거하여 소프트웨어 개발 수명 주기(SDLC) 후반의 시간과 비용을 절약할 수 있습니다. 역사상 그 어느 때보다 대규모 공격이 빈번하게 발생하고 CISO의 책임이 커지고 있는 지금, 사이버 보안 기술 부족을 뒤처진 탓으로 돌리는 것은 이제 그만두어야 합니다. 방어적 보안 관행의 우선순위를 정하고 이미 확보된 인력의 역량을 강화해야 합니다.

Secure Code Warrior 의 미래는 어떻게 될까요?

저희는 시장에 출시하는 솔루션에서 개발자를 최우선으로 생각하며 혁신을 지속하고자 합니다. 개발자가 여러 우선순위를 조정할 때 기능 제공 속도나 정신력을 저하시키지 않으면서도 보안을 제공할 수 있도록 지원하는 데 중점을 두고 있습니다.

조직의 방어적 보안 프로그램을 혁신하는 데 도움을 주고자 하며, 보안을 지원하는 개발자가 그 이야기의 주인공이 되기를 바랍니다. 이 공간을 주목하세요.

이 기사는 에 처음 게재되었습니다. SC 매거진. 여기에서 업데이트 및 동기화되었습니다.


CISO는 점점 더 곤란한 상황에 처해 있습니다: 더 많은 자산을 보호하고, 더 많은 코드를 배포하고, 더 큰 공격 표면을 줄여야 하며, 급격히 줄어드는 재정 자원으로 이를 수행해야 합니다. 사이버 보안이 비용 센터로 간주되는 것은 피할 수 없는 사실이며, 조직의 보안 프로그램이 위협 행위자가 미래의 재앙적인 헤드라인을 장식하는 데 방해가 될 수 있음에도 불구하고 보안 리더는 경영진이 이해할 수 있는 언어로 부서의 전반적인 비즈니스 가치를 설득하고 증명하기 위해 더 많은 노력을 기울여야 합니다.

세계적인 수준의 CISO들은 고객의 신뢰와 브랜드 평판을 높이고, 사용 가능한 모든 도구를 활용하여 부인할 수 없는 가치를 창출하는 총체적인 보안 프로그램을 주도하고 있습니다. 이는 일반적인 보안 함정에 대한 전략적이고 예방적인 접근 방식에서 시작되며, 보안 우수성을 유지하기 위한 시간, 리소스, 인력이 충분하지 않다는 사고방식을 버리는 것에서 출발합니다.

게시판에서 토론을 변경합니다.

현재와 같은 경제 환경에서는 지출, 채용, 비즈니스 목표에 대한 전략적 영향에 대해 면밀한 조사를 피할 수 있는 기업과 부서는 거의 없습니다. 현대 기업에게 광범위한 사이버 보안 프로그램이 필요하다는 것은 당연한 것처럼 보일 수 있지만, 이는 투자 수익률 측면에서 정당화하기 쉽지 않은 조직에 상당한 비용을 초래합니다.

최고 경영진과 이사회 이해관계자는 사이버 보안 이니셔티브에 대한 투자로 예상되는 결과를 스프레드시트의 숫자가 아닌 이해하기 쉬운 용어로 명확하게 이해해야 합니다. 이들은 서로 다른 수준의 기술 지식과 이해도를 가지고 있을 것이므로 CISO는 이해하기 쉬운 메시지로 사례를 제시하기 위해 노력해야 합니다. 프로그램의 규모, 보호가 필요한 대상, 사용자를 설명하여 동급 최고의 모범 사례를 제공해야 합니다. 공격은 증가하고 있지만 예산은 이를 따라가지 못하고 있으며, 선한 싸움은 그 장점을 정당화하기 위한 구두 캠페인에서 시작됩니다.

업종에 관계없이 모든 기업이 빠르게 기술 기업으로 변모하고 있다는 말은 오래전부터 있어 왔습니다. 대부분의 조직에서 디지털 우선 접근 방식이 표준으로 자리 잡았기 때문에 현재 가능한 최상의 보호가 필요한 공격 표면이 엄청나게 커졌습니다. 보안 리더는 많은 모자를 쓰고 있지만, (너무 늦을 때까지) 간과되는 것 중 하나는 보안 리더가 본질적으로 고객 신뢰의 관리자라는 점입니다. 이는 아무리 강조해도 지나치지 않은 가치 제안이며 영업 및 마케팅 목표만큼이나 중요합니다. 

보안에 대한 예방적 접근 방식의 가치를 증명하세요.

현재 사이버 보안 통계는 놀랍지만, 더 많은 예산을 확보하기 위해 FUD와 겁을 주는 것은 일반적으로 쓸데없는 전술입니다. 회사 경영진 중 사이버 보안이 우선순위가 아니라고 주장하는 사람은 거의 없지만, 기존 리소스를 활용하여 더 나은 결과를 얻을 수 있는 진취적인 전략을 제시하면 예산 증액을 받아들일 가능성이 훨씬 더 높습니다. 

Neustar 국제 보안 위원회의 최근 조사에 따르면, 알려진 사이버 보안 문제를 해결하기 위한 예산이 충분하다고 생각하는 기업은 50%에 불과했습니다. 2021년과 2022년 사이에 전 세계 사이버 공격이 38% 증가할 것으로 예상되는 만큼, 일반 CISO에게는 더욱 어려운 여정이 될 것으로 보입니다. 하지만 진정한 세계적 수준의 보안 리더는 이러한 어려움을 극복하고 역경을 통해 혁신을 이룰 수 있습니다.

많은 시나리오에서 예방이 치료보다 쉽고 간단하며 사이버 보안도 다르지 않습니다. 전체적인 보안 프로그램은 사후 대응 조치를 훨씬 뛰어넘어야 하며, 취약성 관리가 많은 CISO의 3대 관심사 중 하나이므로 개발자가 이러한 움직임의 필수적인 부분이라는 것은 당연한 일입니다. 개발자는 일반적인 보안 버그를 정면으로 다루기 위한 실습 교육이 필요하며, 이를 통해 이러한 문제를 원천적으로 제거하고 애초에 프로덕션에 영향을 미치지 않도록 할 수 있습니다. 이제 더 이상 품질이 낮고 안전하지 않은 코드를 변명할 수 없는 시점에 이르렀으며, 코드 수준의 취약성에 대한 가장 비용 효율적이고 강력한 해결책은 개발 집단의 숙련도 향상입니다. 

CISO는 기존 예산을 유지하기 위해 노력해야 하며, 특히 개발자를 위한 역할 기반 보안 숙련도의 이점을 자세히 설명하는 것이 다루기 힘든 보안 기술 스택에 다음 '은탄'을 추가하는 것보다 더 빠른 승리입니다.

보안은 브랜드 기본 요소의 일부가 되어야 합니다.

대부분의 CISO가 마케팅에 대한 열정을 발휘하기 위해 이 직책을 맡은 것은 아니지만, 적어도 지갑을 쥐고 있는 사람들에게 자신의 사례를 발표할 때 이 분야는 노력할 수 있는 분야 중 하나입니다. 

사이버 보안 프로그램이 고객 신뢰와 브랜드 충성도에 미치는 영향은 아무리 강조해도 지나치지 않으며, 대규모 보안 침해가 발생하면 엄청난 규모의 고객 이탈이 발생할 수 있습니다. 반대로 엄격한 보안 관행을 핵심 브랜드 가치와 연계하면 데이터 프라이버시 및 보호가 단순히 겉으로 드러나는 것이 아니라 고객이 신뢰할 수 있는 것이라는 분명한 메시지를 전달할 수 있습니다. 

현대의 CISO는 지속적인 긍정적인 고객 정서 및 신뢰와 관련된 보안 전략 및 정책의 경쟁 우위를 강조하는 데 시간을 할애하는 것이 중요합니다. 사후 대응적인 보안만으로는 동일한 영향을 미치지 못하며, 모든 가용 리소스를 사용하여 권한 있는 자산을 보호하는 데 중점을 둔 균형 잡힌 접근 방식이 궁극적인 차별화 요소가 될 수 있기 때문입니다. 

더 이상 변명할 여지는 없지만, 진정으로 혁신적인 보안 전략을 위한 적절한 자금을 확보하기 위해 CISO가 강조할 수 있는 설득력 있는 이유가 많이 있습니다.

이 기사는 원래에 게재되었습니다. SD Times. 여기에서 업데이트 및 신디케이트되었습니다.

‍

기술 검증은 현대의 대부분의 시대에서 우리 삶의 한 측면을 차지해 왔으며, 다른 방법으로는 불가능했을 문을 열어줍니다. 예를 들어, 운전은 대부분의 사람들에게 중요한 통과의례이며, 시속 100마일 이상으로 달릴 수 있는 4,000파운드의 기계를 신뢰할 수 있는지 확인하기 위해 일련의 표준화된 평가를 통과해야 합니다. 특히 속도에서 실수를 하면 이러한 특권을 잃거나 심지어 목숨까지 잃을 수 있습니다.

하지만 일부 사람들에게 운전이 일상의 편의를 넘어 엘리트 직업이 된다면 어떨까요? 운전 기술을 계속 연마하여 F1 드라이버가 될 수 있다면, 일반인이 현실적으로 다룰 수 있는 속도보다 더 빠른 기계를 고속에서 큰 실수 없이 운전할 수 있게 될 것입니다. 

그런 점에서 중요한 인프라, 자동차, 의료 기술 및 그 사이의 모든 것을 구동하는 코드를 작업하는 대부분의 개발자가 자신의 보안 능력을 먼저 검증하지 않고 작업하는 것은 당황스러운 일입니다. 반면에, 보안에 능숙한 개발자가 안전하게 빌드하는 방법을 알고 있음을 반복해서 입증한 개발자가 왜 모든 보안 게이트 때문에 느려지는 개발 파이프라인에서 다른 모든 개발자와 함께 줄을 서야 하는 것일까요? 업계에서는 이러한 상황을 단순한 문제가 아니라 일반적인 현상이라고 생각합니다. 

광범위한 연구를 통해 대부분의 개발자가 코드에서 보안을 우선순위에 두지 않으며, 일반적인 보안 버그를 탐색하는 데 필요한 정기적인 교육이 부족하다는 사실을 알게 되었습니다. 이러한 이유로 인해 보안을 빠르게 구현하는 것이 꿈처럼 느껴지고, 보안에 익숙하지 않은 많은 개발자는 아우토반의 느린 차선에 갇혀 초보 운전자들 뒤에 갇힌 것처럼 느껴집니다. 

그럼에도 불구하고 보안 세계는 서서히 발전하고 있으며, 개발자가 바로 실행할 수 있는 검증된 보안 기술을 보유해야 한다는 요구가 증가하고 있습니다. 바이든 행정부의 국가 사이버 보안 개선에 관한 행정 명령은 미국 정부의 소프트웨어 공급망에 속한 모든 공급업체에 대해 공급업체와 개발 코호트의 보안 관행을 평가할 것을 구체적으로 요구하고 있습니다. 개발자의 보안 기술에 대한 강조는 대부분의 분야에서 점점 더 커질 것이 분명하지만, 업계 표준 평가 방식이 거의 없는 상황에서 조직이 보안 프로그램을 통해 검증 가능한 개발자 보안 기술을 성장시키고 있다는 것을 어떻게 증명할 수 있으며, 보안에 대한 인식이 있는 개발자가 날개를 펴지 못하게 막지 않을 수 있을까요?

장점 기반 액세스 제어: 효과가 있을까요?

최소 권한 보안 제어는 많은 조직에서 각 역할에 업무의 맥락에서 알아야 할 필요성에 따라 소프트웨어, 데이터 및 시스템에 대한 액세스 권한만 할당하고 그 이상은 허용하지 않는다는 생각으로 많은 조직에서 주류를 이루고 있습니다. 이 방법은 특히 제로 트러스트 권한 부여 원칙과 함께 사용하면 공격 표면의 전체 범위를 파악하는 데 도움이 됩니다. 그리고 실제로 API 권한 및 기타 소프트웨어 기반 사용 사례에도 이와 동일한 전략을 표준으로 적용해야 합니다. 

보안 업계에 종사하는 우리 대부분은 소프트웨어가 세상을 잠식하고 있다는 사실을 잘 알고 있으며, 에어프라이어를 작동하는 임베디드 시스템 코드는 악용될 수 있다는 점에서 전력망을 가동하는 코드와 크게 다르지 않습니다. 우리의 생명과 중요한 데이터는 위협 행위자의 손에 달려 있으며, 모든 개발자는 적절한 교육을 통해 코드를 강화할 수 있는 힘을 이해해야 합니다. 조직의 보안 문화를 심각하게 업그레이드해야 하지만 진정한 DevSecOps 스타일의 책임 공유를 위해서는 개발자가 자신의 역할에 더 많은 관심을 기울일 이유가 필요하며, 사고 방식을 전환하는 가장 빠른 방법은 코드 리포지토리 액세스를 안전한 코딩 학습 결과와 연계하는 것이 될 수 있습니다.

예를 들어 BFSI 영역에 속한 조직을 예로 들면, 고객 데이터가 포함되어 있거나 신용카드 번호와 같은 중요한 정보를 저장하는 매우 민감한 리포지토리가 있을 가능성이 높습니다. 그렇다면 액세스 권한이 부여된 각 엔지니어가 보안에 대해 잘 알고 있으며 엄격한 PCI-DSS 요구 사항을 준수하고 마스터 브랜치를 사고 없이 신속하게 변경할 수 있다고 가정해야 하는 이유는 무엇일까요? 일부의 경우 그럴 수도 있지만, 이러한 지식이 입증될 때까지 이러한 민감한 시스템에 대한 액세스를 제한하는 것이 훨씬 더 안전할 것입니다.

문제는 대부분의 기업에서 '라이선스 투 코딩' 시나리오를 실행하는 것이 힘들고, 교육 솔루션에 따라서는 너무 수동적이어서 모든 종류의 보안을 신속하게 지원한다는 목표를 달성하기 어렵다는 점입니다. 하지만 통합 교육과 도구의 올바른 조합은 개발자 중심의 방어적 보안 전략의 핵심이 될 수 있습니다. 

효과적인 교육 통합은 불가능하지 않습니다.

빠른 속도의 비즈니스 목표와 워크플로를 모두 보완하는 개발자 업스킬링 솔루션을 찾는 것만으로도 절반은 성공한 것이지만, '일회성' 스타일의 규정 준수 교육을 넘어서는 추가적인 노력을 기울여야만 코드 수준의 취약성을 의미 있게 줄일 수 있습니다. 그리고 스스로를 성공적으로 증명한 개발자에게는? 코딩 세계는 개발자에게 열려 있으며, 기본도 모르는 개발자를 전제로 한 보안 제어에 얽매일 필요가 없습니다. 

개발 환경과 원활하게 통합되는 실습 기술 향상은 엔지니어가 보안 코딩 개념을 진정으로 이해하고 적용하는 데 필요한 컨텍스트를 제공하며, 이러한 통합을 통해 중요한 시스템에 대한 액세스를 효과적으로 관리하여 학습 성과가 우수한 개발자가 가장 우선순위가 높은 민감한 작업을 방해 없이 수행할 수 있도록 보장할 수 있습니다. 또한 보상과 인정을 더 쉽게 구현할 수 있어 보안에 숙련된 개발자가 집단에서 선망의 대상이 될 수 있습니다. 

인생의 많은 일들이 그렇듯이, 행운은 용감한 자를 선호하며, 기존의 관행을 깨고 개발자 기술 검증에 즉시 사용 가능한 접근 방식을 채택하는 것은 속도를 희생하지 않고도 허용 가능한 코드 품질에 대한 미래의 기준을 높이는 데 필요한 일입니다.

이 기사의 일부 버전은 어두운 독서.


대부분의 기업이 성장, 혁신 및 디지털 전환의 썰물과 썰물을 헤쳐나가는 과정에서 기업의 규모에 따라 일부 영역이 진행 중인 작업으로 남는 것은 당연한 일입니다. 특히 보안 리더가 새로운 위협, 취약성, 위험 노출을 증가시키는 기술 개발에서 한 발 앞서 나가기 위해 고군분투하는 조직의 사이버 보안 프로그램에서 이러한 경우가 많습니다.

그러나 전 세계의 소프트웨어 수요를 충족하기 위해 작성되는 코드의 홍수 속에서 지속적인 기술 부족으로 인해 많은 기업이 사이버 보안 전략과 기존 인프라에서 뒤처지고 있습니다. 또한 업계가 도구 기반 접근 방식에 집착하는 것처럼 보이기 때문에 제대로 작동하는 방어 프로그램에서 숙련된 인력의 힘을 놓치는 경우가 많습니다. 

이제 전반적인 사이버 보안 성숙도를 정직하게 살펴보고 우리 앞에 놓인 실행 가능한 빠른 승리를 평가해야 할 때입니다.

지속 가능한 사이버 보안 성숙은 하나의 과정입니다.

일반인들은 모든 기업이 강력한 사이버 보안 프로그램을 갖추고 있을 것이라고 생각하기 쉬우며, 보안은 올바른 소프트웨어를 선택하고 이를 활성화하여 위협 행위자의 추적을 막는 방패처럼 작동하기만 하면 된다고 생각하기 쉽습니다. 2022년은 코스타리카 정부 전체가 몸 값을 요구하는 등 사이버 사고가 사상 최악의 해로 기록될 것으로 예상되는 가운데, 많은 보안 전문가들이 그렇게 간단하기만 하기를 바랄 것입니다. 

특히 금융 부문을 비롯한 많은 산업에서 규정 준수를 중시하고 엄격한 보안 조치를 요구하는 점점 더 복잡한 규제 프레임워크에 얽매여 있지만, 현실은 대부분의 조직이 사이버 복원력이 부족하다는 것입니다. 전 세계 대기업의 절반 이상이 사이버 공격을 효과적으로 차단하지 못하고 있으며, 악용된 취약점을 신속하게 발견하고 수정하지 못하고 있습니다. 

사람, 프로세스, 기술의 3중 위협을 포괄하는 모범 사례로 정의되고 성숙한 프로그램을 갖춘 선진적인 조직이라 할지라도 빠르게 변화하는 위협 환경의 요구 사항을 따라잡는 데 어려움을 겪을 수 있습니다. 많은 기업이 부족한 한 가지 중요한 영역은 특히 개발 팀의 역할 기반 보안 인식입니다. 조직의 모든 사람이 공격 표면을 줄이는 데 있어 자신의 역할을 이해해야 하지만, 매일 매일 코드를 작성하는 사람들은 적절한 숙련도만 갖추면 보안에 대한 진정한 혁신적 접근 방식의 운전석에 앉을 수 있습니다. 

총체적이고 방어적인 보안 프로그램은 지속적인 개선이 요구되는 프로그램이며, 이를 위해서는 탄탄한 기반을 마련하는 데 세심한 주의를 기울여야 합니다. 이러한 기반이 주로 도구 기반이라면 보안 리더가 기대하는 것보다 성숙도가 낮을 가능성이 높습니다. 포네몬 연구소의 연구에 따르면 기업의 53%가 보안 기술 스택이 침해를 효과적으로 막을 수 있다고 확신하지 못했으며, 크고 작은 사이버 공격의 주요 원인이 인적 오류인 만큼 개발자를 전략적 보안 강화에서 배제하는 것은 불을 가지고 노는 것과 같습니다. 

개발자가 소프트웨어 보안 우수성의 원동력이 되게 하세요.

사이버 공격을 둘러싼 불편한 진실은 거의 모든 경우에 공격자가 보안 성숙도 여정의 어느 단계에 있든 공격 대상 기업보다 뚜렷한 우위를 점하고 있다는 것입니다. 공격자는 시간, 도구, 동기가 충분하기 때문에 공격할 약점을 꼼꼼하게 스캔하고, 이를 뚫고 수익을 창출하는 데 전념할 수 있습니다.

반면에 조직은 비즈니스와 고객의 요구 사항을 모두 충족해야 하므로 대규모 사이버 공격의 엄청난 위험을 감당할 수 없지만, 성능에 방해가 될 수 있는 수많은 보안 제어를 수용하기 위해 비즈니스 운영 속도를 느리게 하는 것은 현실적이지 않습니다. 바로 이 점에서 보안에 능숙한 개발자는 사이버 방어 성과에 X자 역할을 합니다.

전통적으로 개발자가 보안에 대한 책임을 의미 있는 방식으로 공유할 수 없었던 것은 사실이지만, 이는 더 나은 방향으로 바뀔 수 있고 바뀌어야 합니다. 조직은 개발 집단을 위한 실행 가능한 숙련도 향상 경로를 만들 수 있지만, 해당 환경에 적합한 방식으로 관련 교육 자료를 제공하는 교육 옵션을 선택해야 합니다. 최소한 그들이 적극적으로 사용하는 언어와 프레임워크로 전달되어야 하며, 코드베이스에서 발생할 가능성이 가장 높은 취약점을 해결해야 합니다. 

courses 개발자의 워크플로우를 염두에 두고 구조화하면 일반적인 취약성과 잘못된 구성을 지속시키는 잘못된 코딩 패턴을 시간이 지남에 따라 소프트웨어 품질을 크게 향상시키는 우수하고 안전한 패턴으로 대체할 가능성이 훨씬 더 높아집니다. 저품질 소프트웨어로 인해 올해에만 미국에서만 2조 4,100억 달러의 비용이 발생했으며, 이는 위험한 기술 부채를 지속시키는 오류의 악순환을 끊어야만 해결할 수 있습니다.

보다 긍정적이고 총체적인 보안 프로그램, 즉 사람이 중심이 되는 문제에 변화를 가져오는 데 필요한 피플 파워를 활용하는 프로그램에 대한 조직 차원의 노력이 필요합니다. 내일의 헤드라인에서 벗어나는 것이 필수적이라면 충분히 노력할 가치가 있습니다.