2월 Redpen News

 

안녕하십니까?
레드펜소프트 2월 뉴스레터입니다.

Redpen News는 월간 단위로 소프트웨어 공급망 보안에 관련한 국내외 미디어 및 주요 사이버보안 기업과
기관의 뉴스 및 리포트를 제공해 드립니다.

---

Issues & Trends

 

아이티 데일리          [삼성 SDS] 2023년 5대 사이버보안 위협에 SW 공급망 공격 포함

▷클라우드 보안, 사용자 계정 탈취 공격, 랜섬웨어 고도화, SW공급망 공격, AI 활용 해킹

▷정상 파일로 위장 후 설치를 유도, 개발 공유 사이트와 오픈소스 활용으로 인한 위협 증가

삼성SDS “올해 기업 사이버 보안 최대 화두는 ‘클라우드 위협’” - 아이티데일리

---

보안뉴스                  NHN 페이코의 서명 키 유출

▷ NHN의 간편 결제 서비스 페이코의 앱 서명키 유출로 악성 앱 유출될 가능성
▷ 도난된 서명키를 이용해 작성된 악성 앱의 숫자는 약 100여 개로 추정

▣ 엑스스캔(XSCAN)은 코드 사인의 무결성 검증을 통해 유효하지 않은 인증서(블랙리스트, 회수된 인증서 등)를 탐지하여 이러한 공격을 사전에 예방할 수 있습니다.

 

NHN페이코의 서명키 유출 둘러싼 오해와 진실... ‘공포마케팅’ 논란 커져

 

---

데일리시큐              선박 ICT 공급망 사이버 공격 위협 증가

▷ 최근 노르웨이, 덴마크의 선박 관리 소프트웨어 해킹 사고로 약 1,000척의 영향 우려
▷ 미국 해안 경비대 2021년 사이버 사고 68% 증가 발표, 2024년부터 사이버 보안 요구 의무화
○ 관련 뉴스 :  노르웨이 선박 관리 솔루션 업체 DNV 소프트웨어 공급망 공격
▣ SW 공급망 공격이 미치지 않는 범위가 없는 것 같습니다. 해상에 운영 중인 선박에 피해가 간다면 재정적 손실뿐만 아니라 막대한 인명 피해가 우려됩니다.

선박 ICT 공급망 사이버 공격 위협 증가 - 데일리시큐

---

SecurityWeek         Python 소프트웨어 저장소 공급망 공격

▷ 합법을 가장, 악성 스크립트가 포함된 3개의 패키지가 PyPI에 업로드됨
▷ 다운로드된 실행 파일 중 하나는 트로이목마인 'Wacatec'로 판명
○ 관련 뉴스 : 파이선 개발자 노린 보안업체 이름 악용한 공급망 공격

PyPI Users Targeted With 'Wacatac' Trojan in New Supply Chain Attack

---

DarkReading          2022년 취약점 관리에서 얻은 교훈 3가지

▷ 과장된 취약점과 반드시 조치가 필요한 취약점을 구분할 수 있어야 함 
▷ 취약점 및 완화를 위한 조치의 빠른 공유가 매우 중요함
▷ CVSS, CESS 등 취약점 관리에 있어서 데이터에 근거한 대처 필요
▣ 엑스스캔(XSCAN)은 KEV(Known Exploited Vulnerability : 알려진 악용된 취약점)에 대한 정보를 제공하여 시급히 해결해야 할 취약점 및 패치의 우선순위를 지정할 수 있습니다.

---

FederalNews          미국 CISA 공급망 보안을 위한 별도 사무소와 조직 오픈

▷ CISA는 미국 국토 안보부 산하 사이버 해킹을 방어하는 사이버 보안 및 인프라 보안국
▷ 공급망 공격 등 사이버 보안을 위한 '정보 공유 기관'으로 지정
    국가적 차원에서 공급망 공격에 대한 표준 및 방어 전략 수립을 위한 대응 조직

▣ 우리나라도 2022년 10월 과기부 주도 ‘공급망 보안포럼’ 발족하여 관련한 제도와 기술, 가이드라인 등을 마련 중에 있습니다. 

CISA establishes new office to ‘operationalize’ supply chain security | Federal News Network

---

Report & Tips

 

국가 사이버 안보 센터 2022년 연례보고서 : 첨부파일

▷ 2022년 : 피싱 등 해킹 메일을 통한 IT 업체 내부망 침투
▷ 2023년 : 전산 용역 업체를 해킹, 절취한 계정 정보나 소스코드를 활용 고객사 전산망 침투

---

Forrester The Software Composition Analysis Landscape, Q1 2023

▷ SAC(소프트웨어 구성요소 분석) 시장에 대한 시장 조사 기관인 Forrester의 리포트
▷ SAC는 애플리케이션 보안 시장에서 가장 빠르게 성장할 것으로 전망
▷ SBOM, 오픈소스 관리, DevSecOps 등 관련한 인접 벤더들의 시장 진입 활발

▣ 레드펜소프트의 엑스스캔(XSCAN)은 크게 기술적 관점으로 보면 SCA 시장에 속합니다.

대부분의 글로벌 벤더들이 개발 환경(공급사 관점) 또는 오픈 소스 관리에만 초점을 두는 반면 엑스스캔(XSCAN)은 운영 환경(수요자 관점)에서  3rd Party  SW에 대한 통합적인 공급망 보안을 제시하는 차별화된 기술과 비즈니스 효용을 제공하고 있습니다.

Forrester Reprint

---

 

 ISEC 2022 수요자 관점의 선제적 공급망 공격 대응 방안 동영상

▷ 지난해 제16회 국제 시큐리티 컨퍼런스에서 발표된 내용
▷ 공급망 공격의 정의 및 이슈, 그리고 수요자 관점의 대응 방안에 대해

---

지금까지 2월 Redpen News를 읽어주셔서 감사합니다. 
다음 달에도 알찬 내용으로 찾아뵙겠습니다.

 

레드펜소프트 XSCAN 최신 소개 자료 다운로드

 

ⓒ RedPenSoft. All Rights Reserved.
주소:
경기도 성남시 분당구 성남대로  779번 길 6, KT분당빌딩 4층
홈페이지:
www.redpensoft.com
E-Mail:
info@redpensoft.com