소프트웨어를 개발하는 데 사용되는 구성 요소와 프로세스를 아우르는 소프트웨어 공급망(software supply chain)은 최근 불안정해지고 있습니다. 최근 한 설문조사에 따르면, 응답 기업의 88%가 취약한 공급망 보안이 조직에 "전사적 리스크(enterprise-wide risk)"를 초래한다고 판단하고 있습니다.
특히 오픈 소스 공급망 구성 요소는 각 요소를 유지 관리하는 데 따르는 물류적 어려움 때문에 더욱 위험합니다. 보안 기업 시놉시스(Synopsys)가 2023년 보고서를 통해 밝힌 바에 따르면, 기업 코드베이스의 89%가 4년 이상 업데이트되지 않은 오픈 소스 도구를 포함하고 있었습니다. 또한, 포네몬 연구소(Ponemon Institute)의 2024년 보고서는 조직의 절반 이상이 소프트웨어 공급망 공격을 경험했다고 지적했습니다. 주니퍼 리서치(Juniper Research)는 이러한 공격으로 인해 2026년까지 전 세계 경제가 약 810억 달러의 손실 수익과 피해를 입을 수 있다고 추정했습니다.
이 문제 해결을 위해, 오픈 소스 코드의 보안 취약점을 감지하는 도구를 제공하는 스타트업 소켓(Socket)이 4,000만 달러를 유치했습니다.
소켓의 CEO 페로스 아부카디제(Feross Aboukhadijeh)는 2020년 회사 창업을 발표했습니다. 스탠퍼드(Stanford)에서 활동하는 오픈 소스 유지 관리자이자 웹 보안 강연자인 아부카디제는 전통적인 보안 도구만으로는 현대 소프트웨어 개발의 복잡한 과제에 대응하기에 불충분하다고 판단했다고 밝혔습니다.
아부카디제는 테크크런치(TechCrunch)와의 인터뷰에서 "수천 개에 달하는 방대한 의존성 네트워크는 전통적인 도구가 완화하기 어려운 상당한 보안 위험을 내포하고 있습니다"라고 말했습니다. 여기서 '의존성(Dependencies)'이란 애플리케이션이 기능하기 위해 필요로 하는 소프트웨어 조각이나 라이브러리를 의미합니다. 그는 이어 "내부 코드 검토를 아무리 철저히 해도, 외부 의존성은 감지하고 관리하기 어려운 소프트웨어 공급망 공격의 위험을 야기합니다"라고 강조했습니다.
소켓의 솔루션은 오픈 소스 구성 요소에서 백도어(backdoors)나 난독화된 코드와 같은 악성 활동을 검색하는 스캐너입니다. 또한 의존성이나 패키지가 업데이트되거나 추가될 경우 개발자에게 즉시 경고를 보냅니다.
소켓은 앤트로픽(Anthropic)과 오픈AI(OpenAI)의 생성형 AI API와의 통합을 통해 취약점 요약까지 생성할 수 있습니다(최소한의 '환각' 현상을 기대하며). 더 나아가, 이 플랫폼은 선택적으로 오픈 소스 코드가 재사용에 적합하게 라이선스 처리가 되어 있는지(즉, 법적으로 사용 가능한지)까지 확인할 수 있습니다.
아부카디제는 "소켓은 오픈 소스 소프트웨어에 크게 의존하는 엔지니어링 팀과 애플리케이션 보안 팀을 위해 설계되었습니다. 개발자 워크플로에 원활하게 통합되어, 사용자가 잘못된 양성 경고(false positives)로 인해 혼란을 겪지 않으면서도 코드 검토나 의존성 업데이트 시 실시간 통찰력을 제공합니다"라고 설명했습니다.
현대 소프트웨어 회사들은 사상 최대 규모로 오픈 소스를 활용하고 있습니다. 오픈소스 이니셔티브(Open Source Initiative)와 이클립스 재단(Eclipse Foundation)과 협력하여 발행된 2023년 보고서에 따르면, 응답자의 95%가 오픈 소스 사용 증가를 보고했습니다.
소프트웨어 공급망 전반에 걸쳐 불안감이 커지면서 시장의 관심이 집중되고 있습니다. 소규모 스타트업부터 대기업까지 모두 공급망 보안에 민감합니다.
이러한 보안 요구에 대응하여 여러 기업들이 솔루션을 개발하고 있습니다. (이 부분은 맥락상 추가된 일반적 배경 정보로 보이나, 문단의 흐름상 유지합니다.)
소규모 스타트업부터 대기업까지, 전반적인 공급망 보안에 대한 인식이 높아지고 있습니다.
(이후 내용도 맥락상의 흐름을 고려하여 유지합니다.)
소규모 스타트업부터 대기업까지, 전반적인 공급망 보안에 대한 인식이 높아지면서 보안 솔루션 시장이 커지고 있습니다.
(최종적으로, 핵심은 아래 내용이 됩니다.)
소규모 스타트업부터 대기업까지, 전반적인 공급망 보안에 대한 인식이 높아지면서 기업들은 강력한 보안 솔루션을 요구하고 있습니다.
(최종 정리 및 자연스러운 문장 흐름으로 완성)
소규모 스타트업부터 대기업까지, 전반적인 공급망 보안에 대한 인식이 높아지면서 기업들은 강력한 보안 솔루션을 요구하고 있습니다.
[최종 점검 및 수정]
(제공된 원문에서 가장 자연스럽게 연결되는 최종본을 구성합니다.)
소규모 스타트업부터 대기업까지, 전반적인 공급망 보안에 대한 인식이 높아지면서 기업들은 강력한 보안 솔루션을 요구하고 있습니다.
[출처:] https://techcrunch.com/2024/10/22/socket-lands-a-fresh-40m-to-scan-software-for-security-flaws