프로그래밍 언어 다양성이 소프트웨어 개발의 보안 우려를 제기하다

주요 소프트웨어 공급망 플랫폼 제공업체인 JFrog는 최근 발표한 'Software Supply Chain State of the Union 2024' 보고서에서 업계 지형에 대한 주요 통찰력을 공개했습니다. 3월 19일 발표된 이 보고서는 JFrog Artifactory를 사용하는 7,000개 이상의 조직에서 수집한 데이터, JFrog 보안 연구 팀의 원본 CVE 분석 및 전 세계 1,200명의 기술 전문가에 대한 포괄적인 설문 조사를 결합합니다.

보안 분야의 AI 및 머신러닝

JFrog의 보고서는 소프트웨어 공급망 내에서 보안 조치를 강화하기 위해 AI 및 머신러닝(ML) 도구의 광범위한 사용을 강조합니다. 조사 결과에 따르면 응답자의 90%가 보안 스캔 및 수정을 지원하기 위해 AI/ML 기반 도구를 사용했습니다. 그러나 코드 작성을 위한 생성형 AI의 채택은 상대적으로 낮아, 조사된 전문가 중 32%만이 조직 내에서 이를 사용한다고 밝혔습니다.

보안 versus 코드 생성을 위한 AI/ML 채택의 격차는 개발자들 사이에서 AI 생성 코드의 잠재적 취약성에 대한 prevailing wariness를 시사합니다. 이러한 신중한 접근 방식은 기업 소프트웨어 개발 내에서 혁신과 보안의 중요한 균형을 강조합니다.

보안 관행과 과제

이 보고서는 조직이 직면하는 진화하는 보안 관행과 과제를 조명합니다. 특히 응답자의 거의 절반(47%)이 4~9개의 애플리케이션 보안 솔루션을 사용하고 있다고 보고한 반면, 3분의 1은 10개 이상의 솔루션을 활용한다고 밝혔습니다. 그러나 이러한 예방 조치에도 불구하고 보안 우려는 생산성에 상당한 영향을 미칩니다.

설문 참여자의 약 40%는 새 패키지나 라이브러리 사용 승인을 얻는 데 일반적으로 1주 이상 걸린다고 답했으며, 이는 애자일 개발 관행을 방해하는 관료적 장벽을 보여줍니다. 또한 보안 팀은 소프트웨어 무결성을 유지하는 데 자원이 많이 소요됨을 강조하듯, 취약점 수정에 약 25%의 시간을 할애합니다.

CVE 분석 및 프로그래밍 언어 다양성

JFrog 보안 연구팀이 수행한 일반 취약점 및 노출(CVE) 분석은 흥미로운 통찰력을 드러냈습니다. 서비스 거부(DoS) 공격이 주요 위협 벡터로 부상했으며, 분석된 CVE의 거의 절반(48.9%)이 이러한 공격의 잠재력을 가지고 있었습니다. 반면, 원격 코드 실행 잠재력을 가진 CVE는 18.9%에 불과했는데, 이는 후자의 영향이 더 심각할 수 있다는 점에서 호재로 평가됩니다.

또한 보고서는 CVE 심각성의 미묘한 성격을 강조하며, JFrog 보안 연구팀은 분석 후 평균적으로 중대한 CVE의 85%와 높은 CVE의 73%의 심각도를 하향 조정했습니다. 이는 소프트웨어 무결성을 보호하기 위한 포괄적인 취약점 평가 및 완화 전략의 중요성을 강조합니다.

더욱이 보고서는 소프트웨어 개발 환경의 복잡성이 증가하고 있음을 강조하며, 조직의 절반 이상(53%)이 4~9개의 프로그래밍 언어를 사용하고 있습니다. 또한 조사된 조직의 31%가 10개 이상의 프로그래밍 언어를 사용한다고 보고했으며, 이는 현대 소프트웨어 개발에서 널리 퍼진 다양한 기술 환경을 반영합니다.

JFrog의 'Software Supply Chain State of the Union 2024' 보고서는 소프트웨어 공급망 지형을 형성하는 prevailing trends와 과제의 포괄적인 개요를 제공합니다. AI 및 ML 기반 보안 도구의 광범위한 채택은 업계가 사이버 보안 조치를 강화하려는 의지를 강조합니다. 그러나 AI 생성 코드에 대한 신중한 접근 방식은 혁신과 보안의 교차점에 대한 지속적인 논의를 강조합니다.

조직이 진화하는 위협 환경에 대응하고 다양한 프로그래밍 언어를 수용함에 따라, 예방적 보안 관행과 강력한 취약점 관리 프레임워크가 여전히 가장 중요합니다. 이러한 과제를 포괄적으로 해결함으로써 조직은 디지털화된 세계에서 소프트웨어 공급망을 강화하고 위험을 효과적으로 완화할 수 있습니다.