위협 분석
공급망 공격(Supply Chain Attack)의 확산과 대응 전략
SolarWinds, XZ Utils, 3CX, Polyfill.io 사건으로 이어지는 공급망 공격의 패턴을 분석하고, 소프트웨어 공급망 보안(SBOM·SLSA)의 핵심을 정리한다.
공급망 공격(Supply Chain Attack)은 최종 표적을 직접 공격하는 대신, 그들이 신뢰하는 소프트웨어·서비스·파트너를 먼저 침해하는 전략이다. 방어가 강화된 대형 조직을 우회하는 가장 효과적인 방법으로 국가급 공격자와 사이버 범죄 조직 모두 활용하고 있다.
주요 공급망 사건 연표
- 2020년 SolarWinds Orion: 러시아 SVR이 소프트웨어 빌드 파이프라인에 침투, 서명된 업데이트를 통해 미국 정부·Fortune 500 기업 18,000곳 침해
- 2023년 3CX: VoIP 소프트웨어 3CX의 설치 파일에 악성코드 삽입, 수십만 기업 고객 영향
- 2024년 XZ Utils (CVE-2024-3094): 오픈소스 압축 라이브러리 메인테이너가 2년간 잠입하여 SSH 백도어 삽입 시도 — 조기 발견으로 대규모 피해 방지
- 2024년 Polyfill.io: CDN 서비스 도메인 매각 후 악성 JavaScript 삽입, 10만 개 이상 웹사이트 영향
공급망 공격의 공통 패턴
공격 단계: 공급업체 침투 → 신뢰받는 채널(업데이트·패키지·CDN)에 악성코드 삽입 → 서명된 정상 배포 → 다수 표적 동시 감염
- 신뢰받는 서명·인증서를 악용하여 보안 솔루션 우회
- 오픈소스 메인테이너 소셜 엔지니어링 또는 계정 탈취
- 잠복 기간이 수개월~수년으로 길어 탐지 어려움
- 단일 침해로 수천~수만 개 조직 동시 피해 가능
SBOM (소프트웨어 구성요소 명세서)
미국 바이든 행정부의 2021년 사이버보안 행정명령 이후 SBOM(Software Bill of Materials)이 공급망 보안의 핵심 도구로 부상했다. SBOM은 소프트웨어에 포함된 모든 오픈소스·서드파티 컴포넌트의 목록과 버전을 명시하여 취약점 발생 시 즉각 영향 범위를 파악할 수 있게 한다.
- CycloneDX, SPDX 표준 포맷 활용
- CI/CD 파이프라인에 SBOM 자동 생성 통합
- 알려진 취약점(CVE) 데이터베이스와 SBOM 자동 대조
실무 대응 체크리스트
- 소프트웨어 공급업체 보안 평가 체계 도입 (TPRM)
- 오픈소스 컴포넌트 자동 취약점 스캔 (Dependabot, Snyk)
- 코드 서명 및 빌드 파이프라인 무결성 검증
- 네트워크 내 소프트웨어 업데이트 트래픽 모니터링
- Zero-Trust 원칙 — 업데이트 서버도 신뢰하지 않는다