- 개발·빌드·배포 단계 위험 검증부터 데이터 다이오드 기반 망간 파일 전송까지 다뤄

 

인섹시큐리티가 옵스왓(OPSWAT)과 오는 10월 14일 서울 독산동 인섹시큐리티 교육센터에서 ‘N²SF 규제 대응을 위한 소프트웨어 공급망 통합 보안 세미나’를 연다. 국가 망 보안체계(N²SF) 전환에 맞춰 소프트웨어 개발부터 빌드·배포, 파일 검증, 서로 다른 보안 영역 간 데이터 전송까지 발생하는 보안 위험을 찾아내고 통제하는 방안을 다룬다.

 

세미나는 옵스왓의 통합 악성코드 대응 플랫폼 메타디펜더(MetaDefender)를 중심으로 진행한다. 오픈소스와 저장소, 컨테이너, CI/CD 파이프라인의 취약점과 악성코드·비밀정보를 검사하고, 외부에서 유입되거나 개발 과정에서 생성된 파일의 안전성을 검증한 뒤 보안정책에 따라 망간 전송을 통제하는 방법을 사례 중심으로 설명한다.

 

OSS부터 CI/CD까지 개발 단계에서 위험 검증

첫 번째 발표에서는 오픈소스 소프트웨어(OSS)와 외부 구성요소의 취약점부터 소프트웨어 저장소와 컨테이너, CI/CD 파이프라인의 빌드·배포 과정까지 소프트웨어 개발 전반에서 발생하는 공급망 보안 위험을 단계별로 점검한다.

 

소프트웨어 자재 명세서(SBOM)로 구성요소와 의존성을 파악하고, API 키와 토큰, 아이디, 암호 등 개발 과정에서 포함될 수 있는 비밀정보와 라이선스 위험도 확인한다. 개발을 마친 뒤 문제를 찾는 방식에서 벗어나 개발과 빌드·배포 단계에서 위험요소를 조기에 발견하고 통제하는 접근법을 제시한다.

 

멀티 A/V·CDR로 파일 안전성 검사

두 번째 발표에서는 개발·배포 과정에서 생성되거나 외부에서 유입되는 파일의 안전성을 검증하는 방법을 다룬다. 정상 파일처럼 보이더라도 악성코드나 취약점, 민감정보를 포함할 수 있어 실제 업무환경으로 전달하기 전에 파일을 검사한다.

 

옵스왓은 멀티 안티바이러스 검사(Multi A/V)와 콘텐츠 무해화 및 재구성(CDR), 중요정보 탐지(Secrets Detection), 파일 분석(File Analysis)을 활용해 악성코드와 취약점 등 위험요소를 확인한다. 검사 결과와 보안정책을 기준으로 파일 전달 여부를 결정하며, 선제적 데이터 유출 방지(Proactive DLP)를 적용해 민감정보 유출 위험도 검사한다.

 

데이터 다이오드로 망간 이동 방향 통제

마지막 발표에서는 서로 다른 보안 수준의 네트워크 사이에서 파일과 데이터를 안전하게 이동시키는 방법을 다룬다. N²SF 환경에서는 전송 여부뿐 아니라 이동할 데이터와 적용할 정책, 전송 방향까지 함께 통제한다.

 

옵스왓은 데이터 다이오드(Data Diode)로 데이터 이동 방향을 한쪽으로 제한하고 메타디펜더의 파일 보안 기능을 결합해 전송 전에 파일을 검사한다. 정책(Policy)과 필터링(Filtering), 감사(Audit)를 기반으로 파일 전송 권한과 보안검사, 승인 절차를 관리하고 전송 기록과 상태를 모니터링한다.

 

외부 인터넷과 클라우드, SaaS, 개발 도구 등에서 들어오는 파일은 메타디펜더로 검사한 뒤 보안정책에 따라 허용하거나 차단하며, 검증을 마친 파일은 필요한 보안 영역으로 전송한다.

 

인섹시큐리티 김종광 대표는 “소프트웨어 개발 환경에서 오픈소스와 외부 구성요소의 활용이 증가하면서 소프트웨어 공급망 자체에 대한 보안 검증이 중요해지고 있다”며 “이번 세미나에서는 소프트웨어 구성요소와 취약점, 악성코드, 비밀정보 등을 확인하는 방법부터 검증을 완료한 파일을 망간 안전하게 전송하는 방법까지 실제 업무환경에서 활용할 수 있는 대응 방안을 소개한다”고 밝혔다.

 

#옵스왓 #OPSWAT #인섹시큐리티 #N2SF #메타디펜더 #MetaDefender #소프트웨어공급망보안 #SBOM #CI/CD #데이터다이오드 #CDR #DLP #망간자료전송 #악성코드 #사이버보안