일반적으로 소프트웨어 구성 분석(SCA)이라고도 하는 오픈 소스 보안은 사용자가 애플리케이션의 오픈 소스 인벤토리를 더 잘 파악할 수 있도록 하는 방법론입니다. 이는 바이너리 핑거프린트를 통해 구성 요소를 검사하고, 전문적으로 선별된 독점 연구를 활용하여 정확한 스캔을 해당 독점 인텔리전스와 일치시키고, 개발자가 선호하는 도구에서 직접 이 인텔리전스를 증명하는 방식으로 이루어집니다.

오픈소스란 무엇인가요?

오픈 소스란 누구나 자유롭게 수정하고 공유할 수 있는 소스 코드에 액세스할 수 있는 모든 소프트웨어를 말합니다. 소스 코드는 소프트웨어에서 사용자가 볼 수 없는 부분으로, 프로그래머가 소프트웨어의 작동 방식을 변경하기 위해 만들고 편집할 수 있는 코드입니다. 개발자나 프로그래머는 프로그램의 소스 코드에 액세스하여 기능을 추가하거나 항상 올바르게 작동하지 않는 부분을 수정하여 소프트웨어를 개선할 수 있습니다.

오픈 소스 소프트웨어를 사용하는 이유는 무엇인가요?

오늘날과 같이 빠르게 변화하는 비즈니스 환경에서 소프트웨어 팀은 비즈니스 수요를 따라잡기 위해 DevOps와 같은 애자일 개발 방식을 채택하고 있습니다. 이러한 관행은 개발자에게 애플리케이션을 더 빨리 빌드하고 배포해야 한다는 부담을 줍니다. 짧은 소프트웨어 릴리스 주기 내에 목표를 성공적으로 달성하기 위해 개발자는 오픈 소스 소프트웨어 구성 요소를 자주 사용합니다. 오픈 소스 소프트웨어(OSS)는 무료로 배포되므로 비용 효율성이 매우 높습니다. 많은 개발자가 OSS로 시작한 다음 필요에 맞게 조정함으로써 이점을 얻습니다. 코드가 공개되어 있으므로 원하는 기능을 추가하기 위해 코드를 수정하기만 하면 됩니다.

오픈소스는 보안 위험이 있나요?

개발자들이 오픈 소스 소프트웨어를 사용하는 것은 비밀이 아닙니다.

그럼에도 불구하고 어떻게 관리해야 하는지에 대한 의문이 제기되고 있으며, 그럴 만한 이유가 있습니다.

그 이유는 다음과 같습니다:

오픈 소스 구성 요소는 모두 동일하게 만들어지지 않습니다. 처음부터 취약한 것도 있고 시간이 지남에 따라 악화되는 것도 있습니다.
사용법이 더 복잡해졌습니다. 수백억 건의 다운로드가 이루어지면서 라이브러리와 직접적인 종속성을 관리하기가 점점 더 어려워지고 있습니다.
전이적 종속성: Maven(Java), Bower(JavaScript), Bundler(Ruby) 등과 같은 종속성 관리 도구를 사용하는 경우 타사 종속성을 자동으로 가져오는데, 이는 감당할 수 없는 책임이 될 수 있습니다.
평균 기업에서 매년 30만 개 이상의 오픈 소스 구성 요소를 다운로드합니다.
2018년에는 수십억 건의 오픈 소스 컴포넌트 릴리스 다운로드 중 10개 중 1개에 알려진 보안 취약점이 있었습니다(10.3%).
51% 의 JavaScript 패키지 다운로드에 알려진 보안 취약점이 포함되어 있었습니다.
71% 2014년 이후 오픈소스 관련 침해가 확인되거나 의심되는 건수 증가

소프트웨어의 오픈 소스 취약점을 식별하려면 어떻게 해야 하나요?

기업은 작성하는 코드뿐만 아니라 오픈 소스 구성 요소에서 소비하는 코드도 보호해야 합니다. 그렇기 때문에 많은 조직에서 Sonatype을 사용하여 전체 SDLC에 걸쳐 대규모로 오픈 소스 거버넌스를 자동화하고 개발 및 빌드 단계에만 머물러 있던 보안을 이동시키고 있습니다.

사용자 지정 코드 및 오픈 소스 코드 보안을 위한 동급 최고의 통합 솔루션인 OpenText™ Cybersecurity Cloud 및 Sonatype에 대해 알아보세요. 정확한 오픈 소스 인텔리전스는 한 번의 스캔으로 사용자 지정 코드 및 오픈 소스 구성 요소 전반의 애플리케이션 보안 문제를 360도 파악할 수 있습니다. 단일 스캔 및 대시보드에서 오픈 소스 및 사용자 지정 코드 취약점을 검색할 수 있습니다.

또한 Fortify는 더 빠르고 정확한 결과를 위해 최첨단 머신 러닝을 사용하는 Debricked를 통해 오픈 소스 인텔리전스 및 보안을 제공합니다. Debricked는 개발자가 원하는 클라우드 네이티브 소프트웨어 구성 분석 솔루션으로, 생산성을 높여줍니다. 이 솔루션은 DevOps 라이프사이클에 원활하게 통합되는 전체적인 접근 방식을 사용하여 소프트웨어 공급망 위험을 선제적으로 관리합니다.