국가·공공기관의 보안체계가 물리적 망분리 중심에서 데이터 중요도와 업무 위험에 따른 차등 통제 방식으로 변화하면서 소프트웨어 공급망과 망간 데이터 이동에 대한 보안 관리가 중요해지고 있다. 생성형 인공지능(AI)과 클라우드 활용이 확대되는 환경에서는 네트워크를 분리하는 것만으로 소프트웨어와 파일에 포함된 위협을 통제하기 어렵기 때문이다.
이러한 변화에 대응해 글로벌 사이버보안 기업 옵스왓(OPSWAT)이 소프트웨어 개발·배포부터 파일 전송, 서로 다른 보안 영역 간 데이터 이동까지 연결하는 통합 보안 플랫폼을 제시했다.
옵스왓의 국내 총판인 인섹시큐리티는 14일 국가망보안체계(National Network Security Framework, N²SF) 전환을 지원하기 위한 '소프트웨어 공급망 통합 보안 플랫폼'을 발표했다. 소프트웨어 구성요소의 위험을 분석하고 파일의 안전성을 검증하는 동시에 보안 등급이 다른 네트워크 사이의 데이터 이동을 통제하는 것이 핵심이다.
N²SF는 국가·공공기관이 취급하는 정보를 기밀·민감·공개 등급으로 구분하고 중요도에 맞춰 보안 수준을 적용하는 체계다. 한국인터넷진흥원(KISA)은 올해 국가·공공기관과 보안기업을 대상으로 N²SF 도입 지원사업을 추진하고 있다.
이번에 제시된 보안체계는 개발 단계의 공급망 검증, 파일 유입과 전송 과정의 위험 차단, 망간 데이터 이동 통제 등 세 영역을 중심으로 구성됐다.
소프트웨어 구성요소부터 배포 과정까지 공급망 위험 관리
소프트웨어 개발 과정에서 오픈소스와 외부 라이브러리 사용이 늘면서 최종 프로그램뿐 아니라 개발에 활용되는 구성요소와 저장소, 컨테이너, 빌드 환경에 대한 보안 검증 필요성이 커지고 있다.
옵스왓은 '메타디펜더 소프트웨어 공급망(MetaDefender Software Supply Chain)'을 통해 이러한 위험에 대응한다. 소프트웨어 구성요소 분석(SCA)에 악성코드 검사와 악성 패키지 분석, 보안정책에 따른 차단 기능을 결합해 개발·빌드·배포 단계의 위험을 확인하는 방식이다.
주요 기능에는 멀티 안티바이러스 검사(Multi A/V), 취약점 평가, 비밀정보 탐지, 오픈소스 라이선스 검사 등이 포함된다. 특히 소프트웨어 자재 명세서(SBOM)를 생성해 프로그램에 사용된 구성요소와 의존성을 파악하고 취약점 및 라이선스 관련 위험을 관리할 수 있도록 지원한다.
SBOM은 SPDX와 CycloneDX 형식을 지원한다. 이를 활용하면 소프트웨어를 구성하는 외부 패키지와 라이브러리를 추적하고 문제가 발견된 구성요소를 식별할 수 있다.
개발 과정에서 발생할 수 있는 정보 유출 위험도 검사 대상이다. 소스코드에 포함된 비밀번호, 애플리케이션 프로그래밍 인터페이스(API) 키, 접근 토큰, 클라우드 인증정보 등을 탐지하고 개인정보나 민감정보의 노출 여부를 확인할 수 있다.
깃허브(GitHub), 깃랩(GitLab), 비트버킷(Bitbucket) 등 개발 플랫폼과 지속적 통합·지속적 배포(CI/CD) 환경에도 연계할 수 있다. 이를 통해 개발자가 기존 작업 환경에서 보안 검증을 수행하고 위험이 확인되면 설정된 정책에 따라 빌드나 배포를 제한할 수 있다.
파일 전송 과정에 악성코드 검사·무해화·정보 유출 방지 적용
소프트웨어가 개발된 이후 실제 업무 환경으로 전달되는 과정에는 '메타디펜더 관리형 파일 전송(MetaDefender MFT)'이 적용된다.
이 솔루션은 정보기술(IT)과 운영기술(OT) 환경에서 파일을 자동 전송하면서 악성코드 검사와 콘텐츠 무해화 및 재구성(Deep CDR), 선제적 데이터 유출 방지(Proactive DLP) 등을 수행하도록 설계됐다.
파일에 포함된 잠재적 악성 콘텐츠를 제거하고 재구성하는 기술뿐 아니라 샌드박스를 이용한 분석, 파일 기반 취약점 평가, 파일 유형 검증 등도 활용할 수 있다.
특히 파일 확장자만 확인하는 것이 아니라 실제 파일 형식과 내부 콘텐츠를 분석하고, 압축파일에 포함된 데이터까지 검사할 수 있다는 점이 특징이다.
이러한 기능은 이메일 첨부파일, 외부 협력사와의 자료 교환, 클라우드 및 서비스형 소프트웨어(SaaS) 환경을 통해 파일이 유입되는 상황에 적용할 수 있다. 검사를 마친 파일을 보안정책에 따라 내부 시스템으로 전달하거나 위험이 확인된 파일의 이동을 제한하는 방식이다.
옵스왓은 이를 통해 파일을 목적지로 전송하는 기능에 보안 검사와 정책 기반 통제를 결합하고, 외부에서 유입되는 콘텐츠에 대한 검증 절차를 강화한다는 구상이다.
데이터 이동 방향과 안전성 함께 통제…고보안 환경으로 적용 확대
보안 등급이 서로 다른 네트워크 사이에서 데이터를 이동시키는 과정에는 교차 도메인 솔루션(Cross-Domain Solution, CDS)과 데이터 다이오드(Data Diode) 기술을 적용한다.
교차 도메인 솔루션은 신뢰 수준이 다른 네트워크 사이의 데이터 교환을 관리하는 보안 구조다. 옵스왓은 여기에 메타디펜더의 파일 검사 기능과 보안 게이트웨이, 정책 기반 통제 기능을 결합했다.
데이터 다이오드는 정보의 이동 방향을 하드웨어 수준에서 한쪽으로 제한하는 기술이다. '메타디펜더 광학 데이터 다이오드(MetaDefender Optical Diode)'는 분리된 IT·OT 네트워크 간 단방향 데이터 전송을 지원하고 역방향 연결을 차단한다.
이때 데이터 다이오드가 전송 가능한 방향을 제한한다면 메타디펜더는 실제 이동하는 파일에 악성코드나 취약점, 민감정보 등이 포함돼 있는지 검사한다. 전송 경로와 데이터 자체에 각각 보안 통제를 적용하는 구조다.
운영 과정에서는 정책(Policy), 필터링(Filtering), 감사(Audit) 기능을 활용한다. 사용자별 전송 권한과 승인 절차를 설정하고 보안 검사 및 정보 유출 방지 정책을 적용하며, 전송 기록과 무결성 검사 결과를 통해 데이터 이동 이력을 추적할 수 있다.
이 같은 기술은 개발망과 운영망이 분리된 정부·국방·중요 인프라 환경에서 소프트웨어 패키지와 배포 산출물을 이동시키는 용도로 활용할 수 있다. 특히 고보안 환경으로 파일을 전달하기 전에 위험요소를 검사하고 허용된 데이터만 전송하는 방식으로 보안 경계를 관리하도록 지원한다.
팀 유(Tim Yu) 옵스왓 GCRK 지역 영업 관리자는 "N²SF 환경에서 요구되는 보안은 단순히 '망을 분리하는 것'에서 끝나는 것이 아니라, 소프트웨어와 파일이 보안 경계를 넘어 이동하는 모든 단계에서 무엇이 이동하는지 확인하고, 안전성을 검증하며, 필요한 경우 차단하는 것으로 확대되고 있다"고 설명했다.
김종광 인섹시큐리티 대표 역시 데이터와 업무의 중요도에 따른 보안 통제 필요성을 강조했다. 그는 실제 업무 환경에서는 소프트웨어와 파일이 지속적으로 이동하는 만큼 데이터 이동 경로뿐 아니라 악성코드와 민감정보까지 검증해야 한다고 설명했다.
옵스왓은 앞으로도 메타디펜더 플랫폼을 중심으로 소프트웨어 공급망 보안과 파일 전송, 망간 데이터 이동을 연계해 N²SF 전환을 추진하는 정부·공공기관과 국방, 중요 인프라 분야의 보안 수요에 대응할 계획이다.
