메뚜기 떼처럼 제로데이 취약점이 끊임없이 쏟아져 나온다. ‘ Spring4Shell’로 명명된 이 최신 취약점은 VMware의 ‘ Spring’ 제품,
즉, 애플리케이션 개발을 위한 오픈소스 자바 툴킷에 존재하는 취약점입니다. 이 결함이 얼마나 큰 문제가 될지는 아직 아무도 모른다.
연구자들이 2021년 12월에서 공개한, 이름이 비슷한 ‘ Log4Shell’ 취약점과 마찬가지로, 이번 문제 역시 사이버 보안 전문가와 소프트웨어 개발자들의 신속한 협력 조치가 필요할 것입니다. 그 협력이 구체화되고 있다.
The new hack, revealed 3월 31일, is the second Spring bug reported in a week, and comes just days after Google announced that its Chrome browser, used by an estimated 3,2 billion people, contained a zero-day flaw in its JavaScript engine. 마이크로소프트의 엣지 브라우저에서도 동일한 버그가 발생했다. 두 회사 모두 패치를 배포하고 사용자에게 해당 브라우저를 가능한 한 빨리 업데이트할 것을 촉구했다.
소프트웨어 결함은 수정할 수 있습니다. 하지만 패치를 적용해야만 가능합니다. 패치 작업은 IT 운영 팀의 업무일지 모르지만, 이사회 구성원과 최고 경영진들이 점점 더 이 논의에 참여하고 있다. 이들은 CISO, CIO 및 관련 담당자들에게 적절한 패치 관리 전략이 마련되어 있는지 묻고 있습니다. 그렇지 않다면, 그 이유는 무엇인가요? 이러한 논의는 이미 오래전부터 이루어졌어야 했다.
직접 대화를 시작해 보시겠어요? 비즈니스 및 기술 리더들이 최적의 접근 방식에 대해 알아야 할 사항은 다음과 같습니다.
패치 관리의 기초를 알아보세요
제로데이(zero-day)는 소프트웨어 공급업체나 사용자가 이를 인지하기 전에 해커들이 이미 파악하고 있는, 가장 위험한 형태의 취약점입니다. 구글 이 발표한 제로데이 보안 취약점은 Windows, macOS, Linux에서 크롬을 사용하는 사용자와 마이크로소프트의 엣지 브라우저 사용자에게 영향을 미칩니다. 구글은 위협 수준이 높다고 밝혔으나, 그 외의 정보는 공개하지 않았다.
“구글은 위협 수준이 높다고 밝혔으나, 추가 정보는 공개하지 않았다.”
이러한 상황에서 기업 리더들은 종양 전문의처럼 생각해야 합니다. 그들은 암에 대해 완전히 이해하지는 못할지 몰라도, 치료에 대해서는 철저히 숙지하고 있어야 한다.
즉, 효과적인 패치 관리에 필요한 단계들을 이해해야 한다는 뜻입니다. 여기에는 사용 가능한 패치를 검색하고, 조직에 가장 중요한 패치의 우선순위를 정한 다음, 이를 설치하고 테스트하며 구성 사항을 문서화하는 작업이 포함됩니다.
자동화된 패치 관리 기능은 특히 수백 개, 심지어 수천 개에 달하는 엔드포인트를 보유한 기업의 경우 해당 프로세스를 간소화하는 데 도움이 될 수 있습니다. 보안 자동화 솔루션인 ‘ ’는 어떤 취약점도 방치되지 않도록 보장합니다. 그리고 이는 그 수많은 장점 중 하나에 불과합니다.
소프트웨어 패치 적용 시 발생할 수 있는 문제에 대비하십시오
월요일, 미국 사이버보안 및 인프라 보안국(CISA) 의 크리스토퍼 윌리엄스( 3월 28일) 국장은 연방 민간 기관들에 크롬의 취약점을 패치할 것을 경고했다. 그들에게 이를 이행할 수 있도록 3주간의 기한을 주었다. ASAP 지침은 새로운 것이 아닙니다. CISA는 지난 12월 긴급 지침을 발표하여, 각 기관에 ‘ ’ Log4j 취약점()에 대한 네트워크 패치 적용을 신속히 처리할 것을 요구했습니다. 오픈소스 로깅 유틸리티인 Log4j는 수백만 개의 자바 애플리케이션에서 사용되고 있으며, 이에 대한 악용 사례가 광범위한 우려를 불러일으키면서 기업 및 기술 리더들 사이에서 패치 관리에 대한 관심이 다시 고조되었습니다.
Suzanne Spaulding, a senior adviser for homeland security and director of the Defending Democratic Institutions project at the Center for Strategic and International Studies, called CISA’s patching directives “risk management 101.”
즉, 소프트웨어 패치 적용이 필수적입니다. 하지만 때로는 복잡할 수도 있습니다. 2021년 12월에서 의 엔드포인트 는 이러한 노력에 있어 신속성이 필요한 이유, 그 과정에서 마주치는 난관, 그리고 이러한 난관을 극복하기 위한 단계들을 설명했습니다. 1단계: 에 대한 철저한 자산 탐색 및 현황 파악 절차를 수립합니다.
[관련 기사: CISA—연방 기관들은 Log4j 건의 취약점에 대해 시급히 패치를 적용해야 한다]
공급망 내 소프트웨어 취약점을 파악하십시오
‘ Log4j 버그’로 인해 여전히 불안해하고 있는 비즈니스 및 기술 리더들에게, 최근 ‘Spring’ 취약점에 대한 소식은 일종의 데자뷰를 불러일으켰다. 하지만 이는 또한 네트워크 생태계 내의 제3자가 해커들에게 백도어를 열어줄 수 있다는 점을 상기시켜 주기도 했다.
포레스터(Forrester)의 수석 애널리스트 샌디 카리엘리(Sandy Carielli)는 포레스터가 주최한 ‘ ’ 및 ‘Security & Risk Forum 2021’ 행사에서 “기업들의 생태계에는 그 어느 때보다 많은 제3자 업체가 포함되어 있을 것”이라고 경고했다.
너무 많은 조직이 비즈니스 기술 및 제3자 위험을 완화하는 방식을 바꾸지 않고 있습니다. 그건 바뀌어야 합니다. 2021년 12월에서 의 엔드포인트 는 공급망 해킹에 대해 심층적으로 다뤘습니다. 해킹이 어떻게 이루어지는지(생각보다 복잡하지 않습니다), 누가 영향을 받는지(사실 우리 모두입니다), 그리고 왜 해킹이 계속해서 성공을 거두고 있는지에 대해 살펴보았습니다. (기업이나 기타 단체들이 흔히 저지르는 실수들이 있는데, 이러한 실수들이 공격자들이 악의적인 행위를 저지르는 데 일조하고 있습니다.)
[관련 기사: ‘ Log4j ’ 취약점 사태 이후 공급망 위험 관리 방안]
이번 주 뉴스로 인해 많은 사람들이 CISA의 ‘ ’ 알려진 악용 취약점 목록()에 접속하게 될 것이 분명합니다. CISA는 실제 악용 사례에 근거하여 이 데이터베이스에 새로운 취약점을 추가합니다. 원래 연방 기관을 위해 설계되고 맞춤 제작된 이 데이터베이스는 누구에게나 유용한 참고 자료이며, CISA는 기업 및 기타 기관들이 이 정보를 주요 사이버 범죄 활동을 파악하는 지침으로 활용할 것을 권장합니다.
최근 헤드라인에서 볼 수 있듯이—“Eight Vulnerabilities Added”, “Nine”, “32”, “66”—새로운 취약점이 계속해서 발견되고 있습니다.
그 CISA 페이지를 즐겨찾기에 추가해 두는 게 가장 좋습니다.
