국가망보안체계(N²SF) 전환으로 공공·국방기관의 보안 기준이 네트워크 분리 중심에서 데이터와 업무의 중요도에 따른 통제로 바뀌고 있다. 소프트웨어 개발에 오픈소스와 외부 구성요소가 폭넓게 사용되면서 소스코드와 빌드 결과물 자체의 안전성을 확인하는 과정도 중요해졌다. 개발 단계의 취약점과 비밀정보부터 외부에서 유입되는 파일, 서로 다른 보안망 사이의 데이터 이동까지 하나의 흐름으로 관리해야 한다. 인섹시큐리티는 옵스왓과 함께 오는 10월 14일 서울 독산동 인섹시큐리티 교육센터에서 ‘N²SF 규제 대응을 위한 소프트웨어 공급망 통합 보안 세미나’를 개최한다.
세미나는 오후 2시부터 5시까지 진행된다. 옵스왓의 통합 악성코드 대응 플랫폼 ‘메타디펜더(MetaDefender)’를 중심으로 소프트웨어 공급망 위험을 진단하고 파일의 안전성을 검증한 뒤 보안 수준이 다른 네트워크 사이로 데이터를 전송하는 과정을 다룬다.
옵스왓과 인섹시큐리티가 개발부터 망간 데이터 전송까지 아우르는 N²SF 대응 소프트웨어 공급망 보안 세미나를 개최한다. (사진 제공: 인섹시큐리티)
SBOM·CDR부터 데이터 다이오드까지…세 단계로 공급망 점검
첫 번째 발표에서는 소프트웨어 개발 과정에서 발생하는 공급망 위험을 살펴본다. 오픈소스 소프트웨어와 외부 구성요소에 포함된 취약점, 소프트웨어 저장소와 컨테이너의 위험요소, 지속적 통합·배포 파이프라인의 빌드 및 배포 과정을 단계별로 점검한다.
소프트웨어 자재명세서(SBOM)를 활용해 구성요소와 의존관계를 파악하는 방법도 소개한다. 소스코드에 남을 수 있는 API 키와 토큰, 아이디, 비밀번호 등 비밀정보와 라이선스 위험을 확인해 개발 완료 이후가 아닌 개발·빌드 단계에서 문제를 발견하는 보안체계를 제안한다.
두 번째 발표는 개발 과정에서 생성되거나 외부에서 들어오는 파일의 검증에 초점을 맞춘다. 정상 문서처럼 보이는 파일에 악성코드나 취약점, 민감정보가 포함됐는지 확인하고 조직의 보안정책에 따라 반입·전송 여부를 결정하는 과정을 설명한다.
여러 백신 엔진을 동시에 사용하는 멀티 안티바이러스 검사와 파일에서 잠재적으로 위험한 요소를 제거한 뒤 다시 구성하는 콘텐츠 무해화 및 재구성(CDR), 비밀정보 탐지, 파일 분석 기술이 활용된다. 중요정보가 외부로 나가는 것을 사전에 차단하는 데이터 유출 방지 기능도 함께 다룬다.
마지막 발표에서는 보안 등급이 다른 네트워크 사이에서 데이터를 통제하며 이동시키는 방법을 소개한다. N²SF 환경에서는 파일을 전송할 수 있는 주체와 이동 방향, 적용할 검사·승인 정책, 전송 이후의 감사 기록을 함께 관리해야 한다.
옵스왓은 데이터 이동을 한쪽 방향으로만 제한해 역방향 접근을 차단하는 ‘데이터 다이오드’와 메타디펜더의 파일 검사 기능을 결합하는 방안을 제시한다. 정책과 필터링, 감사 기능을 기반으로 파일 전송 권한과 보안검사, 승인, 로그, 모니터링을 관리하는 체계도 설명한다.
이를 적용하면 인터넷과 클라우드, 서비스형 소프트웨어, 개발 도구 등에서 유입된 파일을 검사한 뒤 정책에 따라 허용하거나 차단할 수 있다. 다른 보안 영역으로 전송해야 하는 파일은 악성코드와 취약점, 비밀정보 검증을 거쳐 지정된 방향으로 이동시키는 구조다.
옵스왓은 IT와 운영기술, 산업제어시스템 등 주요 인프라의 보안 솔루션을 공급하고 있다. 인섹시큐리티는 옵스왓의 국내 공식 총판으로 메타디펜더를 비롯한 악성코드 분석, 디지털 포렌식, 취약점 진단 솔루션과 관련 교육·컨설팅을 제공한다.
김종광 인섹시큐리티 대표는 “오픈소스와 외부 구성요소의 활용이 늘면서 소프트웨어 공급망 자체를 검증하는 일이 중요해졌다”며 “이번 세미나에서는 구성요소와 취약점, 악성코드, 비밀정보를 확인하는 방법부터 검증한 파일을 서로 다른 보안망 사이로 전송하는 실무 대응 방안을 소개하겠다”고 말했다.
The post 코드는 빌드 전에, 파일은 망 넘기 전에 검증…옵스왓 N²SF 보안 세미나 appeared first on 벤처스퀘어.