Java 개발자를 위한 DevOps 도구

7장. 바이너리 보안

이 작품은 AI를 사용하여 번역되었습니다. 여러분의 피드백과 의견을 환영합니다: [e-mail]

스벤 루퍼트

스티븐 친

데이터는 정보화 시대의 오염 문제이며 개인 정보 보호는 환경적 과제입니다.

브루스 슈나이더, 데이터와 골리앗

소프트웨어 보안은 모든 포괄적인 DevOps 롤아웃에서 중요한 부분입니다. 작년에 발견된 새로운 보안 위반 사례는 소프트웨어 보안 취약의 결과에 대한 주의를 환기시켰고, 새로운 정부 보안 규정의 제정을 촉구했습니다. 이러한 새로운 규정을 준수하는 것은 개발부터 프로덕션까지 전체 소프트웨어 수명 주기에 걸쳐 영향을 미칩니다. 따라서 DevSecOps는 모든 소프트웨어 개발자와 DevOps 전문가가 이해해야 하는 개념입니다.

이 장에서는 보안 취약성에 대한 제품 및 조직의 위험을 평가하는 방법을 알아봅니다. 또한 보안 테스트를 위한 정적 및 동적 기법과 위험 평가를 위한 점수 매기기 기법도 다룹니다.

어떤 역할을 맡고 있든 조직의 소프트웨어 배포 수명주기를 보호하는 데 도움이 될 수 있습니다. 하지만 먼저 보안에 중점을 두지 않고 소프트웨어 공급망을 보호하기 위한 조치를 취하지 않으면 어떤 일이 발생하는지 자세히 살펴보겠습니다.

공급망 보안 침해

2020년 12월 초, 파이어아이( )가 사이버 공격의 피해자가 되었다는 사실을 알게 된 것은 파이어아이가 사이버 공격 탐지 및 방어를 전문으로 하는 기업이라는 점에서 주목할 만한 일입니다. 내부 분석 결과, 공격자들은 파이어아이가 고객의 IT 인프라에서 취약점을 검사하는 데 사용하는 파이어아이 내부 도구를 훔치는 데 성공했습니다. 이 고도로 전문화된 툴은 네트워크와 IT 시스템에 침입하는 데 최적화되어 있어 해커의 손에 들어가면 엄청난 위험을 초래할 수 있습니다. 이 침해와 SolarWinds 해킹으로 알려진 대규모 사이버 공격이 서로 연관되어 있다는 사실은 나중에야 밝혀졌습니다. (이후 파이어아이는 합병을 통해 트렐릭스가 되었습니다.)

미국에 본사를 둔 솔라윈즈는 복잡한 IT 네트워크 구조의 관리를 전문으로 하는 회사입니다. 이를 위해 이 회사는 오리온 플랫폼을 개발했습니다. 이 회사에는 내부적으로 이 소프트웨어를 사용하는 30만 명 이상의 활성 고객이 있습니다. 네트워크 구성 요소를 관리하기 위한 소프트웨어가 작업을 수행하기 위해서는 IT 시스템 내에 충분한 관리 권한이 있어야 하는데, 이것이 해커들이 전략에 사용한 중요한 포인트 중 하나였습니다. 파이어아이 해킹과 이후 대규모 사이버 공격 사이의 연관성을 인지하는 데 시간이 다소 걸렸는데, 그 이유는 이전의 취약점 침해만큼 직접적인 영향이 없었기 때문입니다.

솔라윈즈 취약점 악용과 침해 발견 사이에 긴 공백이 있었기 때문에 많은 기업과 정부 기관이 이 공격의 영향을 받게 되었습니다. 몇 주 동안 20,000건의 공격이 성공적으로 실행되었습니다. 공격의 패턴이 비슷했기 때문에 보안 연구원들은 이 공격들이 서로 연관되어 있다는 것을 파악할 수 있었습니다. ...