CISA, 반복 취약점 유형 제거로 소프트웨어 근본 보안 전환 촉구
CISA, 반복되는 취약점 유형 제거를 통해 소프트웨어 근본 보안 전환 촉구
- CISA는 2026년 8월 발간한 ‘Vulnerability Review: Fiscal Years 2024 and 2025’에서 개별 취약점 패치보다 취약점 유형 자체 제거가 필요하다고 강조하며, 이를 소프트웨어 개발 단계의 구조적 과제로 제시한다.
- CISA는 2024~2025년 주요 침해사고가 제로데이나 국가지원 해킹이 아니라, 인터넷에 노출된 알려진 취약점을 악용한 기회주의적 범죄자에 의해 발생했다고 분석하며, 소프트웨어 개발 관행의 실패를 핵심 원인으로 지목한다.
- 보고서는 공개 CVE의 CWE 태그를 분석해 인젝션, 입력값 검증 실패, 메모리 안전성 결함, 경로 조작, 접근통제 붕괴 등 회피 가능한 코딩 오류 묶음이 실제 공격의 상당 부분을 반복적으로 유발한다고 지적한다.
- CISA는 KEV 카탈로그의 41.5%가 MITRE가 2019년 이후 CWE Top 25에 거의 매년 포함된 ‘stubborn weaknesses’에 해당하며, 이 중 3개는 2007년 ‘unforgivable vulnerabilities’ 기준으로도 용납 불가한 수준이라고 밝히며, 조직 문화 실패를 문제의 본질로 본다.
- CISA는 메모리 안전성, 입력 검증, 인젝션, 파일 처리, 접근통제 등 취약점 유형별로 대응 개발 관행을 제시하고, 대규모 C/C++ 코드베이스를 메모리 안전 언어로 전환하는 데 수년과 높은 비용이 드는 등 경제적 장벽과 경영진 의사결정 부담이 크다고 평가한다.
- CISA의 ‘Secure by Demand’는 구매자가 계약 단계에서 SBOM 제공, 피싱 저항 인증 기본 제공, 보안 로그 기본 포함, 제거된 취약점 유형 목록 등을 요구하라고 권고하며, 이는 향후 AI 기반 취약점 자동 발굴·악용 확산 전에 한국도 공공 조달 기준과 규제 설계를 정비할 필요성을 시사한다.
정책 차원에서 공공·핵심 인프라 조달 시 특정 취약점 유형 제거와 SBOM·로그·강력 인증을 의무화하고, 국내 개발사에 Secure by Design·Secure by Demand를 단계적으로 적용하는 로드맵과 인센티브·규제 병행 전략을 조속히 마련할 필요가 있다.
주요 용어: CISA(미국 사이버보안·인프라 보안국), KEV 카탈로그(이미 실제 악용된 취약점 목록), CWE(소프트웨어 공통 약점 분류 체계), SBOM(소프트웨어 구성요소 목록), Secure by Design(설계 단계부터 보안을 내재화하는 개발 원칙)
