지난 3월 29일, 마이크로소프트의 소프트웨어 엔지니어 ‘Andres Freund’는 무손실 데이터 압축 유틸리티 XZ Utils(이전에는 LZMA Utils) 5.6.0과 5.6.1버전에 SSH 백도어가 존재한다고 밝혔다. XZ Utils 백도어 사태가 중요한 이유는 유틸리티에 원격 명령어 실행이 가능한 백도어가 삽입되어 있다는 점 이외에도, 백도어를 삽입하는 공급망 공격 과정에서 시사점을 찾을 수 있다. 공격자가 상호 간의 신뢰를 바탕으로 운영되는 오픈소스 생태계와 프로젝트 운영자의 신뢰를 이용했다는 점에서, 오픈소스 생태계의 소프트웨어 공급망 보안의 분수령이 될 만한 사건이다. 이번 글에서는 ‘CVE-2024-3094’라고 불리는 XZ Utils 백도어 사태에 대해 다시 되짚어보고, 나아가 오픈소스 생태계에서 발생하는 소프트웨어 공급망 공격 대응 방안을 고민해 보고자 한다.

해킹 그룹명을 부여하는 이유는 무엇일까? 바로 ‘프로파일링’을 하기 위해서다. 사건 현장에 남은 증거나 범인의 행동 패턴을 분석해 범인을 추적하는 수사 기법인 프로파일링을 사이버 공격에 접목한 것이다. 사이버 공격 시 발생하는 흔적을 통해 공격 목적과 공격 기법 등을 분석하는데, 이때 해킹 그룹명을 짓는다.

디지털 전환이 본격화되면서, 소프트웨어 기술 노하우를 공유하고 인공지능이나 블록체인과 같은 신기술의 시드 기술을 제공하는 오픈소스 사용은 필수가 되었다. 오픈소스는 비즈니스 생태계에 파괴적인 혁신을 초래하며, 다양한 참여자들의 소프트웨어 시장 진입장벽을 완화하고 있다. 오픈소스라고 하면 이름 때문에 아무런 제약 없이 무료로 사용할 수 있다고 생각하기 쉬우나, 실제 실무 환경에서는 생각보다 고려해야 하는 사항이 많다. 이번 글에서는 오픈소스 소프트웨어 사용 시 발생할 수 있는 문제와 이에 대응하기 위한 방안을 살펴보고자 한다.

다음 사건들의 공통점은 무엇일까? 성 착취 영상물 유포로 사회적 이슈를 불러일으킨 N번방 사건, 온라인을 통한 불법 마약 구매 사건, 국내 통신사 및 병원 등의 개인정보 온라인 공개 사건. 정답은 ‘블랙 트라이앵글(Black Triangle)’을 이용해 수사망과 법망을 피한 불법행위 사건이라는 점이다. 블랙 트라이앵글은 마약 유통, 아동 성 착취 영상, 자금 세탁, 총기 거래 등 범죄행위를 위해 다크웹이나 텔레그램, 암호화폐를 이용한 불법 카르텔을 의미한다. 최근 국내에서도 관련 범죄가 증가하고 있다. 이번 글에서는 블랙 트라이앵글 요소 중 하나인 다크웹의 피해 현황과 대응 방안에 대해 살펴보고자 한다.

CVSS는 사이버 보안에 미치는 취약점의 위험성을 나타내는 수치로, 공통 취약점 등급 시스템(Common Vulnerability Scoring System)을 뜻한다. CVSS는 미국 국립표준기술연구소(NIST)가 지원하는 MITRE의 보안 취약점 관리 체계 ‘CVE(Common Vulnerabilities and Exposure)’ 요소 중 하나로 기밀성, 무결성, 가용성, 취약점의 접근 경로 및 복잡도, 인증 여부, 복잡성 등을 반영하여, 소프트웨어 보안 취약점을 평가하는 지표로 사용되고 있다.

본 시리즈를 통해 개발자 관점에서 ChatGPT를 활용해 보안 이슈를 해결하는 방법을 살펴보았다. 1편에서는 ChatGPT를 활용한 시큐어 코딩 방법을, 2편에서는 ChatGPT를 활용한 침해 사고 분석이라는 주제로 설명했다. 마지막으로 이번 편에서는 사이버 공격의 집약체인 악성코드를 주제로 ChatGPT 활용 방법에 대해 알아보고자 한다.

정보통신망 제2조 제1항 제7호에 따르면, “침해 사고는 해킹, 컴퓨터 바이러스, 논리폭탄, 메일폭탄, 서비스 거부 또는 고출력 전자기파 등의 방법으로 정보통신망 또는 이와 관련된 정보시스템을 공격하는 행위로 인하여 발생한 사태”다. 즉, 침해 사고란 정보 유출, 시스템 파괴, 서비스 장애, 권한 상승 등의 공격 행위를 통해 안정적인 서비스 운영을 방해하고 보안의 3대 요소인 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)을 저해하는 악의적인 공격으로 인해 발생한 사고다. 이번 글에서는 공격자들의 악의적인 접근으로 발생하는 침해 사고의 흔적을 ChatGPT로 분석해 보고자 한다.

ChatGPT를 기술적으로 이해하려면 전문지식이 필요하지만, 실무적으로 보면 ChatGPT의 활용 방법이 더 중요하다. 그래서 이번 시리즈를 통해 시큐어 코딩, 침해 사고 분석, 악성코드라는 주제로 ChatGPT를 활용해 보안 이슈를 해결하는 방법을 다룬다. 이 글에서는 ChatGPT에 대해 간단하게 알아보고, 개발자 관점에서 ChatGPT를 활용해 시큐어 코딩을 통한 보안 문제 해결방법에 대해 살펴보고자 한다.

우리 삶에 정보통신기술이 접목되면서 생활 환경이 더욱 편리해지고 효율성도 향상되었지만, 사생활 침해나 2차 범죄 노출 위험이 커졌다. 주거 환경도 마찬가지다. 집 안에 기술이 더 많이 들어올수록 우리는 더 편해지지만 그만큼 보안 위험 또한 커진다. 특히 AI의 발달 등을 기존 IoT를 도입한 스마트홈을 넘어 더 편리해진 ‘지능형 스마트홈’이 주목을 받으며 그러한 위험이 더 커졌다. 이번 글에서는 지능형 스마트 홈 시대의 보안 문제와 대응 방안을 살펴보고자 한다.

지난 1편에서는 2022년 사이버 보안을 정리하는 4가지 키워드 중 랜섬웨어와 인공지능에 대한 공격 패러다임과 역기능의 대응 방안을 소개했다. 이번 글에서는 남은 두 가지 키워드인 국가 안보와 금융 분야에 대해 살펴보고자 한다.