[비즈니스포스트] 인섹시큐리티가 최근 국내외 잇따르는 소프트웨어 공급망 해킹에 대응, 개발부터 배포까지 전 과정을 보호하는 통합 보안 플랫폼을 선보였다.

인섹시큐리티는 14일 서울 금천구 본사에서 글로벌 사이버보안 기업 옵스왓의 소프트웨어 공급망 통합 보안 플랫폼 ‘메타디펜더’의 주요 기능과 국내 사업 전략을 밝혔다.

인섹시큐리티는 소프트웨어 공급망 공격이 오픈소스 패키지 악용에서 개발자 계정 탈취와 빌드 시스템 침해 등으로 다양해지고 있다고 설명했다.

2025년 자바스크립트 오픈소스 패키지 저장소에서 악성코드를 자동으로 확산시키는 ‘샤이훌루드’ 공급망 공격이 발생했다. 공격자들은 탈취한 인증정보를 활용해 다른 소프트웨어 패키지에도 악성코드를 배포하는 방식으로 피해를 확산시켰다.

2020년에는 미국 IT 관리 소프트웨어 기업 솔라윈즈의 네트워크 관리 제품 ‘오리온’의 빌드 시스템이 침해돼 정상 소프트웨어 업데이트에 악성코드가 삽입되는 사고가 발생하기도 했다.

국내에서도 개발자 인증정보 관리 부실을 악용한 침해 사고가 발생했다.

과학기술정보통신부 민관합동조사단이 지난 9월 발표한 조사 결과에 따르면 온라인동영상서비스(OTT) 기업 티빙은 공격자가 개발자 접근키를 탈취해 내부 시스템에 침입하면서 이용자 계정 약 3954만 개와 소스코드 등이 포함된 개발 프로젝트 361개를 유출했다.

인섹시큐리티는 국내 전자결제 서비스에서도 가맹점 웹사이트와 결제 플랫폼을 연결하는 응용프로그램 인터페이스(API)의 인증정보 및 접근권한 관리 문제가 제기됐다고 설명했다.

인섹시큐리티 관계자는 "다수의 이용자가 사용하는 소프트웨어에 악성코드나 악성 패키지를 삽입해 배포하면 공격이 여러 조직으로 빠르게 확산될 수 있다"고 지적했다.
  이날 옵스왓의 국내 총판인 인섹시큐리티는 메타디펜더를 통해 국가망보안체계(N²SF) 전환에 대응하고 국내 소프트웨어 공급망 보안 시장 공략을 강화한다는 계획을 밝혔다.

국가망보안체계는 정보 중요도에 따라 보안 수준을 차등 적용하는 체계로, 정부는 2025년 실증을 거쳐 2026년 말까지 6개 국가·공공기관의 도입을 지원한다.

핵심 제품인 '메타디펜더 소프트웨어 공급망(SSC)'은 소스코드 저장소와 빌드 서버, 컨테이너 이미지, 배포 파일 등을 대상으로 악성코드와 취약점, 민감정보 유출 위험을 검사한다.

깃허브와 깃랩, 젠킨스 등 기존 개발 환경과 연동해 소스코드나 빌드 결과물이 변경될 때마다 자동으로 보안 검사를 수행한다.

파일의 해시 값을 활용해 변경된 파일만 선별 검사하고, 위험이 발견되면 설정된 보안 정책에 따라 빌드와 배포를 차단할 수 있다.

현재 국내 주요 결제 플랫폼과 OTT 기업을 대상으로 제품 도입을 위한 검증도 진행하고 있다. 국가망보안체계 전환에 따른 망간 데이터 이동 보안 수요에도 대응한다.

김종광 인섹시큐리티 대표는 "국가망보안체계(N²SF) 전환은 단순히 네트워크를 분리하는 기존 방식에서 벗어나 데이터와 업무의 중요도, 위험 수준에 따라 적절한 보안 수준을 적용하는 방향으로 보안 패러다임이 변화하고 있다는 걸 의미한다"며 "옵스왓의 메타디펜더 플랫폼으로 정부·공공기관과 국방, 중요 인프라 등 고보안 환경의 보안 요구에 대응할 것"이라고 말했다. 조승리 기자