타늄의 고객사는 전 세계 최대 규모의 은행, 병원 시스템, 정부 기관 등을 포함해 핵심 인프라 분야에 걸쳐 있습니다. 고객들은 가장 민감한 엔드포인트 관리에 있어 당사의 에이전트를 신뢰하고 있으며, 이는 당사가 제공하는 소프트웨어가 고객들이 스스로 정한 높은 기준을 충족해야 함을 의미합니다. 그래서 우리는 다른 누구보다 먼저 우리 시스템의 취약점을 찾아내는 것입니다.
최근 에서 발표한 바와 같이 , Tanium은 Anthropic의 ‘Project Glasswing’에 참여하여 방어적 보안 업무를 위해 ‘Claude Mythos 5 ’을 테스트하고 있으며, 비공개 프리뷰 단계에서 다른 파트너들과도 유사한 노력을 시작했습니다. 개발 라이프사이클 전반에 걸쳐, 저희는 취약점 탐지를 위한 최첨단 AI 모델을 실험해 왔으며, 이를 통해 얻은 통찰과 함께 고객 여러분이 미리 대비해야 할 실질적인 시사점을 공유하고자 합니다.
기존 애플리케이션 보안 관행의 한계를 뛰어넘기
수년 동안 Tanium은 업계 모범 사례에 따라 자사 제품을 지속적으로 평가해 왔습니다. Tanium은 제품 전문가로 구성된 사내 보안 팀은 물론, 신뢰할 수 있는 외부 컨설팅 업체를 통해 정기적으로 애플리케이션 침투 테스트를 수행합니다. Tanium의 R&D 보안 팀은 퍼징, SAST 및 DAST 툴체인을 당사의 개발 라이프사이클에 통합했습니다. 당사의 보안 프로그램은 이미 성숙한 단계에 이르렀지만, 소프트웨어의 보안을 눈에 띄게 향상시키는 AI 기술도 도입하고 있습니다.
SAST 도구는 오염된 값이 싱크에 도달하거나 알려진 문제 있는 API 호출과 같이 패턴으로 표현될 수 있는 특정 유형의 취약점을 탐지할 수 있습니다. DAST 도구는 SQL 인젝션이나 일반적인 설정 오류와 같은 전형적인 웹 애플리케이션 취약점을 찾아낼 수 있습니다. 그러나 이러한 도구들은 예상되는 동작에 대한 심층적인 이해가 필요한 취약점을 찾아내는 데는 성능이 떨어지며, 여러 구성 요소 간의 상호작용을 고려하는 데에도 어려움을 겪습니다. 이러한 도구의 신호대잡음비는 매우 낮으며, 정답률을 높이려면 광범위한 조정과 지속적인 유지 관리가 필요합니다.
지금까지는 복잡한 버그가 대개 우리 소프트웨어의 아키텍처, 위협 모델, 코드베이스를 깊이 이해하는 엔지니어들에 의해 발견되어 왔습니다. 그러나 단순히 인원을 늘리는 방식으로만 보안 역량을 확대하는 것은 지속 가능하지도 않고 현실적인 해결책도 아닙니다.
지난 1년 동안 최첨단 AI 모델들의 사이버 보안 역량이 크게 발전했습니다. 이제 이들은 복잡한 코드베이스를 분석하고, 취약점을 탐지하는 과정에서 의도된 기능을 파악할 수 있게 되었습니다. 아직 실수를 하기도 하고 감독이 필요하기는 하지만, 우리의 실험을 통해 수많은 보안 취약점이 발견되었으며, 보안 엔지니어들은 이러한 취약점들이 실제로 영향을 미친다는 사실을 확인했습니다. 당사의 내부 테스트 결과, 신호 대 잡음 비율이 기존 보안 도구에서 확인된 수치보다 상당히 더 우수했습니다. 이러한 향상된 기능을 바탕으로, 최첨단 AI를 활용해 취약점 식별 및 수정 작업을 확대하는 것이 우리 팀의 시급한 과제가 되었습니다.
같은 코드에서도 도구마다 발견하는 버그가 다릅니다.
당사의 보안 엔지니어들은 범용 프론티어 모델을 기반으로 맞춤형 평가 하네스를 구축했습니다. 이 하네스는 Tanium의 위협 모델, 당사 아키텍처 내에 존재하는 신뢰 경계, 설계상 의도된 동작, 그리고 수년간의 자체 연구 및 공개 이력을 바탕으로 수집된 취약점 데이터 모음을 반영하고 있습니다. 이 해킹 도구는 심층적인 시스템 지식과 맥락이 필요한 유형의 취약점을 밝혀냈는데, 이는 기존의 도구로는 식별하지 못했을 만한 취약점들이었습니다.
이와는 별도로, 동일한 코드베이스를 대상으로 다양한 모델과 에이전트 기반 스캐닝 시스템을 실행해 보았습니다. 이 유능한 테스트 프레임워크들에는 타늄(Tanium)과 관련된 구체적인 정보가 제공되지 않았음에도 불구하고, 각 프레임워크는 다른 테스트 프레임워크에서 발견한 것과는 별개로 유효한 버그를 찾아냈습니다.
이러한 도구들이 보고한 결과들을 종합해 보면, 중복되는 부분은 우리가 예상했던 것보다 상당히 적습니다. 이것이 모델, 허브, 우리의 코드베이스의 특성 때문인지, 아니면 아직 초기 단계라서 그런 것인지에 대해서는 아직 단정적으로 말하기 어렵지만, 단기적인 실질적인 시사점은 이미 충분히 명확하여 조치를 취할 수 있는 수준입니다. 에이전트 기반 보안 워크플로는 단일 모델이나 공급업체에만 의존해서는 안 되며, 성능을 향상시키기 위해 조직적 맥락을 반영해야 합니다.
우리는 이러한 도구에 입력하는 맥락을 구축하고 최적화하는 데 지속적으로 투자하며, 처음에 효과가 있는 방식에 안주하기보다는 여기서 가능한 한계를 끊임없이 넓혀 나가고 있습니다.
타늄은 보안 패치의 배포 규모와 속도를 확대하고 있습니다
온프레미스 고객을 대상으로 최소한 매월 한 번씩 유지보수 릴리스를 제공하겠다는 당사의 약속은 변함없습니다. 변화할 점은 대역 외 릴리스의 빈도와 각 릴리스마다 공개되는 취약점의 수입니다. 당사는 악용 가능하다고 판단되는 취약점을 해결하기 위해 매우 엄격한 SLA를 준수하고 있으며, 가장 심각한 문제의 경우 해결 기간을 일 단위로 측정하고 있습니다. 또한 취약점 탐지 능력이 향상되더라도 이러한 SLA를 지속적으로 충족해 나갈 계획입니다.
이는 당사가 향후 몇 달 동안 전체 스택에 걸쳐 이러한 기술을 지속적으로 적용하고 발전시켜 나갈 예정이므로, 당사에서 제공하는 보안 권고, CVE 기록 및 보안 패치의 수가 증가할 것으로 예상해야 함을 의미합니다. CVE 건수가 증가하는 현상은 오해하기 쉬우므로, 이에 대한 기대치를 명확히 하고자 합니다. 이는 우리 소프트웨어의 품질이 떨어지고 있다는 신호가 아닙니다. 오히려, 우리는 발견하기 어려운 잠재적인 보안 문제를 찾아내는 데 점점 더 능숙해지고 있다.
이는 소프트웨어 업계의 동료들이 관찰한 패턴입니다: 모질라는 Mythos에 대한 첫 번째 평가 결과 271 건의 취약점을 패치했습니다. (새 탭에서 열림) 및 마이크로소프트는 9월 9th’s 일 ‘패치 화요일’에 900 건 이상의 보안 취약점을 패치했습니다. (새 탭에서 열림).
코드베이스에서 취약점을 선제적으로 찾아내어 신속하게 패치하는 것 외에도, 알려진 보안 문제에 대해서는 고객 여러분께 투명하게 알려드리고 있습니다. 당사는 CVE 번호 부여 기관으로서의 의무를 계속해서 이행하고, 이러한 취약점을 책임감 있게 공개할 것입니다(공개된 권고 사항은 https://security.tanium.com 참조). 이러한 정보를 통해 고객은 노출 위험을 평가하고 이에 따라 대응 방안을 수립할 수 있기 때문입니다. 당사는 패치 적용이 고객사에게 운영상의 어려움을 초래할 수 있음을 잘 알고 있으며, 이를 결코 가볍게 여기지 않습니다. 하지만 현실은 방어 측과 공격 측 모두에서 취약점 발견과 익스플로잇 개발의 속도가 가속화되고 있으며, 시스템 보안을 유지하기 위해서는 업계의 패치 주기 또한 더 빨라져야 할 것입니다.
Tanium은 고객들이 Tanium 배포 환경에서 패치 적용 과정을 간소화할 수 있도록 지원하기 위해 최선을 다하고 있습니다. 모든 고객은 Tanium의 ‘엔드포인트 구성(Endpoint Configuration)’ 기능을 이용할 수 있으며, 이 기능은 Tanium 클라이언트 및 엔드포인트 툴에 대한 안전하고 원활하며 빈번한 업그레이드를 가능하게 하도록 설계되었습니다. 온프레미스 고객도 이러한 모든 보안 패치의 혜택을 누리려면 Tanium 백엔드를 업그레이드해야 합니다. 당사의 반기별 유지보수 릴리스에는 중대한 버그와 보안 버그를 해결하기 위한 제한적인 코드 변경 사항이 포함되어 있으며, 이를 통해 고객사가 신속한 업그레이드 주기를 구현하는 데 필요한 예측 가능성과 안정성을 제공합니다.
다음은 무엇일까요?
타늄(Tanium)의 연구개발(R&D) 보안 팀은 앞으로도 최첨단 AI 사이버 역량을 지속적으로 개발하여 당사의 소프트웨어 제품과 보안 운영에 적용해 나갈 것입니다. 하네스 설계, 트라이아지 워크플로우, 그리고 다중 모델 보장 공백이 어떤 모습인지에 대해 더 많은 것을 파악해 나감에 따라, 당사는 연구 결과를 공개적으로 공유하고 타늄(Tanium) 고객들의 보안을 위해 올바른 조치를 계속 취해 나갈 계획입니다. 고객사들은 IT 및 보안 운영을 Tanium에 맡김으로써 핵심 비즈니스 과제에 집중할 수 있습니다. 그리고 다른 누구보다 먼저 우리 자신의 취약점을 찾아내는 것이야말로, 우리가 그 신뢰를 계속해서 얻어가는 방법입니다.
Tanium의 계획, 방향 및 의도에 관한 진술 및 내용은 기밀 정보이며, Tanium의 단독 재량에 따라 사전 통지 없이 변경될 수 있습니다. 잠재적인 미래 제품 또는 기능에 관한 정보는 Tanium의 일반적인 제품 방향을 설명하기 위한 것으로, 구매 결정을 내리는 데 의존해서는 안 되며 어떠한 계약에도 포함되지 않습니다. 이는 약속, 보증 또는 법적 의무가 아닙니다. 향후 출시될 제품이나 기능의 개발, 출시 및 시기는 전적으로 Tanium의 재량에 따릅니다.
