|
오픈소스는 ‘낮게 달려 따기 좋은 과일’이라고 표현된다. 누구나 쉽게 이용할 수 있다는 뜻이다. 상용 소프트웨어의 90% 이상이 오픈소스로 제작되며, 민감한 금융앱, 사회기반시설에 사용되는 소프트웨어에도 오픈소스가 광범위하게 사용된다.
오픈소스를 사용하면 개발 기간을 단축시키고 개발자 업무를 줄일 수 있으며, 비용도 크게 아낄 수 있다. 소프트웨어 재사용이 가능하고, 대규모 집단지성에 의해 개발된 수준 높은 소프트웨어를 사용할 수 있기 때문에 서비스 완성도도 크게 높일 수 있다.
오픈소스는 집단지성의 힘으로 보안취약점을 발견하고 패치를 배포하는 것도 빠르게 진행된다. 이론적으로 오픈소스를 사용하면 보안 수준을 높일 수 있다. 그러나 실제로 기업에서 오픈소스 보안 취약점은 제대로 관리되지 않는다. 대부분의 소프트웨어 개발은 외주 개발자에 의해 개발되며, 어떤 오픈소스 모듈을 사용했는지 기록을 남기지 않거나 엑셀파일로 기록하기 때문에 사후 추적이 불가능하다.
상용 소프트웨어에서도 오픈소스를 사용하고 있으며, 상용 소프트웨어 기업들은 사용 중인 오픈소스에서 보안 취약점이 발견되면 이를 패치한 업데이트 파일을 만들어 배포하는데 상당한 시간을 소요하게 된다. 소스코드 없이 바이너리 파일로 납품받는 경우, 어떤 오픈소스를 사용했는지조차 파악할 수 없기 때문에 취약점이 있는지 없는지도 알 수 없다.
SK인포섹 EQST ‘2019 보안위협 전망 보고서’에서는 “오픈소스 활용범위는 빅데이터, 클라우드 등 다양한 영역으로 확장되고 있으며, 공격자의 오픈소스 취약점 연구도 지속되어 취약점 또한 동시에 증가하고 있다. 만약 빅데이터 및 클라우드의 관리용 오픈소스에 대한 취약점을 이용한 해킹 사고가 발생한다면, 전체 서버가 공격자에 의해 제어될 수 있기 때문에 대규모 피해가 발생할 수 있다. 따라서 오픈소스에 대한 기본적인 설정, 접근 통제, 권한 부분에 대한 보안을 반드시 적용해야 한다”고 설명했다.
| |
 |
|
|
▲웹 애플리케이션 오픈소스 소프트웨어 대상 공격 사례(자료: SK인포섹)
|
오픈소스 보안 취약점을 관리하기 어려운 점은 기업이 사용하는 수많은 시스템 중 취약점이 있는 오픈소스를 사용하는 것이 무엇인지, 어떤 버전의 오픈소스에 취약점이 있는지도 파악하기 쉽지 않다는 점이다. 방대한 오픈소스 커뮤니티에서 생성해해는 수많은 취약점 정보를 수작업으로 확인하는 것도 불가능하다.
SK인포섹 보고서에 따르면 2018년 오픈소스 공격 항목 중 권한 통제, 보안 설정 및 관리, 암호화, 보안 패치가 고위험도로 확인됐다. 사용도가 높은 웹과 DB, 개발 플랫폼에서 공격 방법이 다수 존재하고 있고, 소스코드가 공개돼 있는 오픈소스는 공격자 입장에서 공격 대상 선정 및 역분석이 용이하다.
보고서에서는 “오픈소스 소프트웨어 취약점을 해결하기 위해서는 공개 취약점 DB, 오픈소스 소프트웨어 식별 및 사용 명세서 생성 도구 등을 활용해야 한다. 장기적으로 보안 전문 인력과 함께 오픈소스 소프트웨어 에 대한 조직 전체의 인식 변화, 오픈소스 소프트웨어 거버넌스 및 컴플라이언스 체계 수립을 위해 노력해야 한다”고 조언했다. |
iyamm@datanet.co.kr
KT, ‘28GHz 기업전용 5G 네트워크’ 개발 성공
