오픈 소스 기반 클라우드 서비스 와 애플리케이션 , 사물 인터넷 ( IoT ) 기기 가 최근 크 게 늘어나 고 있 다 . 오픈 소스 보안 취약점 과 이 를 악용 하 는 사이버 공격 도 해 마다 증가 하 는 추세 다 . 부실 한 오픈 소스 보안 관리 로 이미 발견 된 보안 취약점 조차 패치 되 지 않 은 채 방치 되 고 있 는 상황 이 이어지 면서 자칫 자동차 리콜 사태 가 나타날 수 있 다는 경고 까지 나왔 다 . 미국 보스턴 에 본사 를 둔 오픈 소스 보안 , 컴플라이언스 관리 전문 기업 인 블랙 덕 소프트웨어 의 마이크 피 튼 저 부사장 겸 보안 전략 팀 책임자 는 4 월 4 일 방한 해 기자 들 과 만나 “ 오픈 소스 보안 취약점 으로 인해 올해 자동차 제조 업체 의 첫 번 째 리콜 사태 가 발생 할 수 있 으며 , 주요 기업 간 인수 합병 ( M & A ) 거래 가 무산 되 는 위기 상황 이 나타날 수 있 다 ” 는 전망 을 내놨 다 . 또한 “ 올해 알려진 오픈 소스 보안 취약점 기반 사이버 공격 이 20 % 증가 하 고 하트 블리드 ( Heartbleed ) · 셸 쇼크 ( Shellshock ) 등 이미 알려진 오픈 소스 취약점 과 연관 된 , 파급 력 이 큰 보안 이슈 가 재 등장 할 수 있 다 ” 라고 경고 하 며 기업 들 이 체계 적 인 오픈 소스 보안 관리 를 수행 해야 한다는 점 을 강조 했 다 . 오픈 소스 는 누구 나 자유 롭 게 사용 할 수 있 도록 공개 돼 있 는 소프트웨어 나 소스 코드 를 말 한다 . 오픈 소스 사용 자 들 은 오픈 소스 보안 이 슈 모니터링 부터 보안 패치 와 버전 업데이트 등 까지 모든 관리 를 스스로 수행 해야 한다 . 하지만 오픈 소스 를 사용 하 는 개발자 가 많 고 활용 방식 과 적용 범위 가 넓 을수록 관리 하 는 것 이 쉽 지 않 은 상황 이 다 . 자신 들 이 사용 하 는 오픈 소스 를 체계 적 으로 관리 하 지 않 을 경우 특정 보안 취약점 이 발견 되 더라도 위험 성 을 인지 하 지 못하 는 상황 이 발생 할 수 있 다 . 이 로 인해 오픈 소스 보안 취약점 이 수년 간 방치 되 는 일 이 비일비재 하 다 . 기업 에서 개발 했 거나 사용 중 인 제품 · 서비스 에 어떠 한 오픈 소스 가 사용 되 고 있 고 무슨 보안 취약점 이 존재 하 는지 알 지 못한다면 사이버 공격 에 무방비 상태 로 노출 되 게 된다 . 신규 오픈 소스 보안 취약점 해 마다 수천 개 증가 피 튼 저 부사장 은 “ 오픈 소스 는 상용 소프트웨어 에 비해 보안 에 취약 하 거나 안 전하 지 않 은 것 은 아니 다 ” 라고 전제 하 고 “ 다만 오픈 소스 가 가진 특징 으로 인해 공격자 들 에게 는 매력 적 인 악용 대상 이 될 수 있 다 ” 라고 지적 했 다 . 그 는 “ 오픈 소스 는 도처 에서 사용 되 고 있 고 코드 가 공개 되 기 때문 에 표적 으로 노출 되 기 쉽 다 " 라며 " 공격자 가 오픈 소스 보안 취약점 을 찾아내 이용 하 거나 이미 알려진 취약점 을 악용 하 면 생산 성 을 최대한 절감 하 고 노력 을 최소 화 하 면서 도 최대 공격 효과 를 거둘 수 있 다 ” 라고 오픈 소스 취약점 악용 공격 이 늘어나 는 요인 을 설명 했 다 . 피 튼 저 부사장 에 따르 면 , 오픈 소스 보안 취약점 은 매년 2 천 - 3 천 개 씩 늘어나 고 있 다 . 보안 취약점 정보 나 이 를 악용 한 공격 방법 은 인터넷 에서 쉽 게 찾 을 수 있 는 상황 이 다 . 미국 국립 표준 기술 연구소 ( NIST ) 가 운영 하 는 NVD ( National Vulnerability Database ) 에서 도 오픈 소스 보안 취약점 이 공개 되 고 있 다 . 더욱이 레퍼런스 정보 에 는 관련 보안 취약점 을 증명 하 는 익스 플로 잇 까지 포함 되 는 경우 도 있 다 . 블랙 덕 소프트웨어 가 지난해 상용 애플리케이션 200 개 를 조사 한 2016 년 오픈 소스 보안 감사 보고서 에 따르 면 , 상용 애플리케이션 에서 발견 된 오픈 소스 컴포넌트 의 보안 취약점 은 평균 5 년 이상 방치 된 것 으로 나타났 다 . 지난 2014 년 크 게 이슈 화 됐 던 ‘ 하트 블리드 ’ 오픈 SSL ( Secure Socket Layer ) 보안 취약점 은 3 년 간 방치 돼 있 었 다 . 그런데 현재 까지 도 보안 조치 가 제대로 이뤄지지 않 은 것 으로 드러났 다 . 운영 체제 명령어 인터페이스 인 배시 에서 발견 된 ‘ 셸 쇼크 ’ 취약점 은 지난 1989 년 부터 2014 년 까지 무려 25 년 간 보안 취약점 이 방치 돼 있 었 다 . 피 튼 저 부사장 은 “ 조사 해 보 니 대부분 의 기업 들 이 사용 하 고 있 는 애플리케이션 컴포넌트 리스트 를 확보 하 고 있 지 않 고 있 고 , 확보 하 고 있 는 기업 들 도 코드 소유자 에게 알려진 오픈 소스 컴포넌트 중 45 % 만 파악 하 고 있 었 다 . 이 는 스스로 를 보호 할 수 없 다는 얘기 ” 라고 말 했 다 . 이날 오픈 소스 보안 취약점 으로 인해 자동차 리콜 사태 가 나타날 가능 성 을 제기 한 근거 로 피 튼 저 부사장 은 “ 자동차 환경 이 변화 하 면서 이제 자동차 에 도 1 억 개 넘 는 코드 라인 이 활용 될 정도 로 소프트웨어 가 방대 하 게 사용 되 고 있 다 ” 라며 “ 대개 상용 소프트웨어 의 35 % 가 오픈 소스 로 구성 돼 있 다는 점 을 감안 하 면 3500 만 라인 의 오픈 소스 가 사용 된다 ” 는 점 을 제시 했 다 . 더욱이 자동차 에 탑재 하 는 소프트웨어 는 대부분 협력 업체 로부터 공급 받 기 때문 에 오픈 소스 가 포함 됐 는지 등 을 정확히 파악 하 지 못한 채 양산 을 진행할 수 밖에 없 는 상황 이 다 . 만일 움직이 는 자동차 에 탑재 된 소프트웨어 에서 오픈 소스 보안 취약점 문제 가 발생 하 면 공격 위험 에 노출 돼 심각 한 영향 을 줄 수 있 지만 인터넷 과 연결 해 소프트웨어 업데이트 를 할 수 없 기 때문 에 리콜 을 실시 할 수 밖에 없 다는 게 피 튼 져 부사장 의 얘기 다 . M & A 에 미치 는 영향 과 관련 해선 “ M & A 가 진행 돼 실사 가 진행 되 는 상황 에서 인수 하 려는 기업 이 가진 소프트웨어 에 오픈 소스 취약점 이 많 아 위험 이 크 다고 판단 할 수 있 다 ” 라며 “ 2016 년 파나마 페이퍼스 공격 사례 를 보 면 개연 성 이 충분 하 다 ” 라고 설명 했 다 . 파나마 페이퍼스 사태 는 파나마 대형 로펌 인 모색 폰세카 가 해킹 을 당해 1150 만 건 의 기밀 정보 가 유출 되 면서 파장 이 컸 다 . 유력 한 공격 경로 가 오픈 소스 취약점 을 이용 한 것 으로 추정 되 고 있 다 . 드루팔 , 워드프레스 등 사용 중 이 던 오픈 소스 에서 이미 알려진 보안 취약점 이 각각 수백 개 씩 발견 됐 다 . 사용 하 는 오픈 소스 가시성 확보 중요 블랙 덕 소프트웨어 는 오픈 소스 보안 취약점 을 관리 하 기 위해서 는 소프트웨어 를 개발 할 때 사용 했 던 오픈 소스 에 대한 가시성 을 확보 하 는 것 이 필수 적 이 라고 강조 했 다 . 더불 어 오픈 소스 버전 목록 을 데이터베이스 화 해 지속 적 으로 관리 해야 보 안 취약점 이 발견 되 더라도 바로 확인 해 조치 할 수 있 으며 , 보안 취약점 위험 성 수준 을 구분 해 전문 적 으로 관리 해야 한다고 제시 했 다 . 김택완 블랙 덕 소프트웨어 코리아 대표 는 “ 오픈 소스 보안 취약점 문제 는 대부분 사용 하 는 오픈 소스 를 파악 하 고 있 지 못해 비롯 되 는 문제 라는 점 에서 오픈 소스 가시 화 는 매우 중요 하 다 ” 라며 “ 기업 들 , 특히 개발자 가 많 은 대 규모 기업 일수록 반드시 사용 중 인 오픈 소스 를 식별 하 고 DB 화 해 지속 적 으로 관리 해야 한다 ” 라고 강조 했 다 . 블랙 덕 소프트웨어 는 인텔 , SAP , 레드햇 이 주요 투자자 로 참여 해 미국 보스턴 에 본사 를 두 고 있 는 전문 기업 이 다 . 기업 에서 사용 하 는 오픈 소스 를 식별 해 라이선스 를 관리 하 는 솔루션 ( 블랙 덕 프로 텍스 ) 을 주력 으로 제공 해 오 다 지난해 오픈 소스 보안 취약점 관리 기능 을 지원 하 는 전문 솔루션 ( 블랙 덕 허브 ) 을 출시 하 며 관련 사업 을 본격 화 했 다 . 블랙 덕 소프트웨어 코리아 는 블랙 덕 소프트웨어 본사 와 합작 해 설립 된 한국 법인 으로 , 국내 에서 10 년 째 사업 을 펼치 고 있 다 . 오픈 소스 보안 취약점 관리 솔루션 인 ‘ 블랙 덕 허브 ’ 를 올해 부터 본격 소개 하 기 시작 했 다 . 보안 사업 을 확대 하 기 위해 작년 에 애플리케이션 보안 전문 기업 인 엔시 큐어 를 파트너 로 영입 했 다 . 이 유지 기자 ( yjlee @ byline . network ) [ 저작권자 ( 주 ) 블 로터 앤 미디어 , 저작 권 자 를 명기 하 고 내용 을 변경 하 지 않 으며 , 비 상업 적 으로 이용 하 는 조건 아래 재 배포 가능 합니다 . ]