[논문]미국의 소프트웨어 공급망 보안 정책 동향: SBOM 사례를 중심으로

최윤성

미국의 소프트웨어 공급망 보안 정책 동향: SBOM 사례를 중심으로 원문보기

情報保護學會誌 = KIISC review, v.32 no.5, 2022년, pp.7 - 14

최윤성 (고려대학교 소프트웨어 보안 연구소)

초록
AI-Helper

2021년에 발생한 일련의 소프트웨어 공급망 공격으로 미국 연방 정부의 사이버보안 개선 정책이 가속됐다. 이중 소프트웨어 구성 정보를 유통하는 SBOM 정책은 SW 구성요소의 투명성을 강화하여, 이를 활용하는 공급자와 수요자의 보안 인식 개선에도 도움을 줄 것이 기대된다. 다만 SBOM으로 공급망 보안 위협을 완화하려면 해결해야 할 기술적 이슈가 있고, SBOM 수집자를 위한 구체적인 가이드도 마련되지 않아 제도 정착에는 시간이 걸린다. SW 공급망 문제는 SW 개발 관행에 대한 지속적인 개선이 요구되며, 글로벌 연쇄 위험으로 결코 혼자서는 해결할 수 없다. 따라서 우리는 실태조사, 실증사업 등을 시작으로 현실에 맞는 정책을 먼저 적용하고, 제도적 조화를 위한 국제협력에도 힘써야 한다.

표/그림 (9)

표 [표 1] 주요 공급망 공격 피해 사례
그림 [그림 1] SBOM Example (NTIA SBOM Framing Working Group, 2021]
그림 [그림 2] SBOM & VEX Ecosystem Example (Draft, Requirements for Sharing of Vulnerability Status Information, 2020]
표 [표 2] 미국 SW 공급망 보안 정책 타임라인 (2022)
표 [표 3] SW 보안에 관한 백악관 미팅 주제
표 [표 4] 백악관 미팅 범주와 OSSSMP 세부 목표
표 [표 5] 오픈소스 SW 보안 동원(Mobilization) 계획
그림 [그림 3] SW Lifecycle & BoM Assembly Line [NTIA Survey of Existing SBOM Formats and Standards, 2021]
그림 [그림 4] Validating our SBOMs at release [Engineering@Microsoft, 2021]

AI 본문요약
AI-Helper

문제 정의

이에 본문에는 피해 사례에 기반한 공급망 공격의 특징을 알아보고, 추가되는 보안 위협과 대응 방안을 분석한다. 그리고 미국 행정명령으로 촉발된 공급망 보안 정책과 SBOM의 도입 이슈를 소개한다. 결론에는 이러한 사례를 종합하여 국내 공급망 보안 정책에 반영하기 위한 시사점을 도출한다.

제안 방법

이에 본문에는 피해 사례에 기반한 공급망 공격의 특징을 알아보고, 추가되는 보안 위협과 대응 방안을 분석한다. 그리고 미국 행정명령으로 촉발된 공급망 보안 정책과 SBOM의 도입 이슈를 소개한다.

성능/효과

이제 연방 기관에 납품을 희망하는 제조사는 보안 개발 생명주기(Secure Software Development Life Cycle, S-SDLC) 관리를 도입해야 하고, 타사 구성요소에 대한 형상 관리 체계도 구축해야 한다. 수요기관에도 SBOM 취득자를 위한 관리 도구와 SBOM 검증 시스템의 도입 비용이 추가될 것으로 예상되지만, 미국은 과감한 변화 정책을 택했다.
앞선 사례에서처럼 공급망 공격이 경제적 효과가 낮은 자산을 대상으로 시도되지 않고, SBOM은 초기 도입에 투자가 필요한 만큼 보안 위험이 큰 주요 산업 분야와 공공기관, 국가·민간의 주요 정보통신 기반 시설 등을 대상으로 우선 적용하는 것이 타당하다.
특히 SBOM이 소프트웨어 생산 비용을 많이 증가시키지 않으면서 의료 기술의 모든 공급망 이해관계자에 혜택을 줄 수 있는 잠재력이 있다고 평가하였으며, IMDRF는 우리나라 식약처도 회원으로 활동하고 있어, 향후 규제 완성 시 우리 의료기기 분야에 도입될 수 있다. 다만 SBOM 배포와 취득 이후의 관리에 대한 구체적인 모범 사례는 아직 나와 있지 않다.

참고문헌 (25)

NIST, "Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations", NIST SP 800-161r1, pp. 1-3, May 2022.
Kasperkey, "Managing the trend of growing IT complexity", IT security economics report, p.9, 2021.
Gartner, 7 Top Trends in Cybersecurity for 2022 from https://www.gartner.com/en/articles/7-top-tr ends-in-cybersecurity-for-2022, April 2022.
이태준, 이희조, 박춘식, "소프트웨어 보안 관점에서 본 미국 사이버보안 행정명령과 우리의 대응 방안", KISA Report, Vol. 12, p.3, 2021.
NTIA, "Roles and Benefits for SBOM Across the Supply Chain", 2019.
The White House, Enhancing the Security of the Software Supply Chain to Deliver a Secure Government Experience from https://www.whitehouse.gov/omb/briefing-room/2022/09/14/enhancing-the-security-of-the-software-supply-chain-to-deliver-a-secure-government-experience/, Sept. 2022.
A. M. Pitney et al., "A Systematic Review of 2021 Microsoft Exchange Data Breach Exploiting Multiple Vulnerabilities", 2022 7th Int'l Conference on Smart and Sustainable Technologies, pp. 1-3, 2022.
N. Kshetri, "Economics of Supply Chain Cyberattacks", IEEE Computer Society, pp. 1-2, June 2022.
BleepingComputer, Hundreds of networks re- portedly hacked in Codecov supply-chain attack from https://www.bleepingcomputer.com/news/security/hundreds-of-networks-reportedly-hacked-in-codecov-supply-chain-attack/, April 2022.
BBC, US fuel pipeline hackers did not mean to create problems from https://www.bbc.com/news/business-57050690, May 2021.
Infosecurity Group, North Korean Lazarus Group Hacked Energy Providers Worldwide from https://www.infosecurity-magazine.com/news/lazarus-group-hacked-energy/, Sept. 2022.
NTIA, Software Component Transparency from https://www.ntia.gov/SoftwareTransparency
US Cyber Safety Review Board, "Review of the December 2021 Log4j Event", pp. 3-6, July 2022.
US Chamber of Commerce, "Software Bill of Materials Elements and Considerations", June 2021.
NTIA, "SBOM Options and Decision Points", April 2021.
OASIS, Common Security Advisory Framework (CSAF) from https://oasis-open.github.io/csaf-documentation/
https://secvisogram.github.io/
OWASP Foundation, "Software Component Verification Standard(SCVS) v1.0", June 2020.
https://en.wikipedia.org/wiki/ICANN
Linux Foundation, "The Open Source Software Security Mobilization Plan", May 2022.
B. Behlendorf, "Deep Dive into the OpenSSF Mobilization Plan", Open Source Summit Europe - OpenSSF Day, Sept. 2022.
IMDRF, "Draft, Principles and Practices for Software Bill of Materials for Medical Device Cybersecurity" from https://www.imdrf.org/con-sultations/principles-and-practices-soft-ware-bill-materials-medical-device-cybersecurity, International Medical Device Regulation Forum, 2022.
ESF, "Securing the Software Supply Chain - Recommended Practices Guide for Developers", US Enduring Security Framework, pp. 26-27, Aug. 2022.
OMB, "Enhancing the Security of the Software Supply Chain through Secure Software Development Practices - MEMORANDUM FOR THE HEADS OF EXECUTIVE DEPARTMENTS AND AGENCIES", M-22-18, US Office of Management and Budget, Sept. 2022.
OpenSSF, Outcomes from Open Source Software Security Summit in Japan from https://openssf.org/blog/2022/08/24/outcomes-from-open-source-software-security-summit-in-japan/

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증