Keyword
- SBOM
- 패치
- 지정학
—
Contents
1.주요 SBOM 포맷 SPDX와 사이클론DX의 비교
SBOM 포맷은 SPDX, SWID 태그, DX가 대표적
이중 SPDX, DX만이 보안 사용례료 채택되는 중(SWID는 주로 라이선스에 중점)
CISA에 의하면 당분간 업계에는 여러 SBOM 포맷이 혼재될 것이라 예상
리눅스 재단에서 운영하는 spdx는 SBOM 포맷 중 가장 많은 파일 형식 지원
(RDFa, .xlsx, .spdx, .xml, .json, .yaml.가 포함)
Snippet을 설명함으로써 동적 사양이 되는 것을 목표로 함.
또한 ISO 인증 자격을 취득한 유일한 SBOM 포맷
DX는 OWASP가 주도한 경량형 SBOM 포맷이며 처음부터 BOM 형식으로 설계된점이 특징이며
CPE(Common Platform Enumeration): 운영체제/app/H/W 취약점
SWID: 설치된 소프트웨어 취약점 , PURL(Pacakgae-URL): s/w패키지 메타데이터 취약점
과 같은 3가지 영역에 걸쳐 취약점을 식별
또한 해시값과 암호화를 통해 무결섬 검증을 지원하고 provenance를 지원하는데 이는 사용되는 구성요소들의 작성자 및 공급자를 나타내는 기능
이러한 특징들 덕분에 NIST C-SCRM(사이버보안 공급망 위험 관리) 지침에서도 이를 권장.
또한 소프트웨어 제품과 취약점 악용 가능성에 대해 소프트웨어 제작자에게 전달 할 수 있는
VEX(Vulunerability Exploitability eXchange)도 지원
주요 SBOM 생성도구인 Anchore의 Syft도 해당 2가지 포맷 모두 지원
2.패치가 있으나 없으나 인기가 항상 높은 MS 생태계의 취약점
MS의 제품들은 세계적으로 많이 쓰이는 만큼 취약점도 많이 발견
카스퍼스키에 의하면 2022년 2사분기 모든 플랫폼에서 발견된 익스플로잇 공격의 82%가 윈도 취약점과 연루
카스퍼스키에 의하면 2017, 2018년도에 발견된 취약점들이 여전히 널리 익스플로잇 된다고 주장
그 중 CVE-2018-0802 RCE취약점의 경우 MS 오피스 취약점으로 지난 사분기동안 345827번 공격을 당함
또한 CVE-2017-11882 메모리 오류 취약점은 같은 시기 140623 표적이 됐고,
오피스 및 메모장 취약점인 CVE-2017-0199는 60132번 공격을 당함
그리고 2사분기 동안 오래된 MS 오피스 취약점만 50만번 이상 익스플로잇됨을 확인
보안업체 Rapid7의 경우 작년 이미 공개된 취약점의 익스플로잇에 걸리는 평균 시간은 12일이며
2020년 같은 조사에서 기록된 숫자는 42일로 점점 평균 시간이 굉장히 빨라지는 추세
3.지정학, 테크놀로지와 떼려야 뗄 수 없는 관계
EY에서 실시한 연구에 의하면 포브스 선정 글로벌 2000대 기업 ceo들 중 63%가 테크놀로지와
DX가 현재 기업에 가장 큰 영향을 주는 요인으로 확인됨.
하지만 지정학적인 갈등의 결과로 제재가 발생할 경우 테크놀로지에 미치는 영향은 지대함.
Our World in Data와 세계경제포럼에서 조사한 바에 따르면 2019년 기준 전 세계
77억명의 사람들 중 35억명이 온라인에 접속함.
하지만 의외로 인터넷 기업 및 관련 기술 산업은 규정으로부터 자유로움
비교적 신기술이기에 법적 검토가 충분하지 않고 규제가 많지 않음.
이제는 시장 내 영향력과 효율성을 넘어 지정학적 상황들에 대해서도 흐름을 파악해야 함.