소개
20년 이상의 역사를 자랑하는 MontaVista Software는 전 세계 다양한 산업 분야의 수백만 대의 기기에 기술력을 제공해 온 것을 자랑스럽게 생각합니다. Ericsson, Nokia, Mavenir, Grundfos 등 세계 유수의 기업들이 MontaVista의 Carrier Grade eXpress(CGX) Linux를 핵심 기술 시스템에 통합하여 통신 플랫폼, 의료 기술 시스템, 글로벌 산업 및 로봇 제조 환경 등 미션 크리티컬 환경에서 견고성, 연결성, 보안을 강조하는 설계를 활용하고 있습니다.
사이버보안 및 인프라 보안국(CISA)이 2025년 1월에 발표한 지침 문서 "제품 보안 부적합 사례(Product Security Bad Practices)" 는 소프트웨어 제조업체, 특히 중요 인프라 또는 국가 중요 기능을 지원하는 업체에 심각한 사이버 위협을 초래할 수 있는 제품 보안 부적합 사례를 제시합니다. 각 부적합 사례에 대해 설명, 위험 완화를 위한 권장 조치 및 관련 자료를 제공합니다. 귀사 환경에 미칠 수 있는 잠재적 영향을 파악하기 위해 해당 문서를 꼼꼼히 검토하시기를 권장합니다.
MontaVista에서 제공하는 이 문서는 CISA 지침 문서에 명시된 제품 보안 문제 중 일부를 MontaVista가 어떻게 해결해 드릴 수 있는지에 대한 내용을 담고 있습니다. MontaVista의 CGX Linux는 MVSecure 서비스와 함께 안전한 임베디드 시스템 개발을 위한 프레임워크를 제공합니다.
솔루션 설명
CISA에 따르면 제품 보안 관련 잘못된 관행은 제품 속성, 보안 기능 및 조직 프로세스로 분류됩니다. 각 범주를 하나씩 살펴보면서 당사 솔루션이 CISA에서 권장하는 바람직하지 않은 관행을 방지하는 데 어떻게 도움이 되는지 보여드리겠습니다.
제품 속성
1. 메모리 안전성이 확보되지 않은 언어 사용
메모리 안전성이 확보된 대안이 있음에도 불구하고 C나 C++와 같이 메모리 안전성이 취약한 언어로 새로운 제품 라인을 개발하는 것은 위험한 것으로 간주됩니다. 기존 제품의 경우, 공개된 메모리 안전성 로드맵이 없는 것 또한 상당한 위험 요소입니다. 로드맵에는 제조업체가 우선순위가 높은 코드 구성 요소에서 메모리 안전성 취약점을 어떻게 제거할 계획인지에 대한 세부적인 내용이 포함되어야 합니다.
저희 솔루션인 MontaVista의 CGX는 Yocto Project와 Linux 커널을 기반으로 구축되었으며, CVE를 포함한 알려진 취약점을 해결하기 위해 지속적으로 업데이트됩니다. 또한 MVSecure 서비스는 고객이 소프트웨어 개발 수명주기 전반에 걸쳐 강력한 보안 조치와 시스템 구성을 구현할 수 있도록 지원하여 메모리 안전 로드맵을 수립하는 데 크게 기여합니다.
2. SQL 인젝션 취약점
사용자가 입력한 내용을 SQL 데이터베이스 쿼리 문자열에 직접 포함시키는 것은 심각한 보안 위협이 될 수 있습니다.
저희 솔루션은 MVSecure 서비스를 통해 이러한 취약점을 완화하고 소프트웨어 개발 과정에서 이러한 잘못된 관행을 방지할 수 있도록 지원합니다. 또한 SELinux를 사용하면 루트 사용자라 하더라도 데이터베이스에 대한 무단 접근을 차단할 수 있습니다.
3. 명령어 주입 취약점
사용자가 직접 입력한 내용을 운영체제 명령 문자열에 입력하는 것은 위험합니다.
저희 솔루션인 MontaVista의 CGX Linux 플랫폼은 보안 부팅, SELinux, 그리고 보안 취약점 및 공격 관리를 위한 포괄적인 프레임워크와 같은 다양한 보안 조치를 포함하는 "설계 단계부터 보안을 고려한(Secure by Design)" 이미지를 제공합니다. MVSecure 서비스는 고객이 소프트웨어 개발 수명주기에서 이러한 취약점을 해결할 수 있도록 지원합니다. 명령 주입 공격은 일반적으로 애플리케이션 수준의 공격이며, CVE 메커니즘을 통해 발견되는 매우 흔한 취약점입니다. CGX는 항상 최신 패치를 제공하여 고객을 보호합니다. 또한 SELinux는 손상된 애플리케이션에 대한 심층 방어 계층을 제공하여 시스템에 미치는 피해를 최소화합니다.
4. 기본 비밀번호
누구나 공유하고 변경할 필요가 없는 기본 비밀번호를 설정하여 제품을 출시하는 것은 심각한 위험입니다.
저희 솔루션은 MontaVista의 CGX입니다. CGX는 TPM 2.0(Trusted Platform Module 2.0) 및 OpenSSL(FIPS 모드)과 같은 다양한 내장 기능을 통해 비밀번호 보안을 지원합니다. 또한, 기본 보안 프로필에는 사전 정의된 비밀번호 설정이 포함되어 있습니다. MVSecure 서비스는 고객이 이러한 잘못된 관행을 없애는 강력한 인증 메커니즘을 구현할 수 있도록 지원합니다.
5. 알려진 악용 취약점(KEV)
CISA의 KEV 카탈로그에 등재된 취약점을 포함하는 구성 요소를 사용하여 제품을 출시하는 것은 위험합니다. 새로운 KEV에 대한 패치를 적시에 적용하지 않는 것 또한 심각한 위험으로 간주됩니다.
저희 솔루션은 다음과 같습니다. MontaVista의 CGX Linux 표준 라이선스는 Yocto Project LTS 릴리스 및 SDK 빌드 시스템의 알려진 취약점(CVE)에 맞춰 지속적인 보안 패치와 버그 수정을 제공합니다. 이러한 업데이트는 저희의 강력한 QA 인프라를 통해 검증됩니다. 최신 릴리스인 CGX 5.0은 TUF(The Update Framework) 기반의 업데이트 메커니즘을 탑재하여 NSA에서 지원하는 보안을 통해 실행 중인 대상에 무선 업데이트(OTA)를 안전하게 제공합니다.
6. 오픈 소스 소프트웨어의 취약점
제품 출시 시점에 심각한 취약점이 있는 오픈 소스 소프트웨어를 포함하는 것은 매우 위험합니다. 또한 출시된 오픈 소스 구성 요소에서 새로 발견된 취약점을 패치하지 않는 것 역시 위험합니다.
당사의 솔루션: MontaVista의 CGX는 Secure-by-Default 프로파일에서 SBOM(소프트웨어 구성 요소 목록) 생성 및 관리를 위한 최신 도구를 제공하여 고객이 오픈 소스 소프트웨어 공급망에서 구성 요소의 신뢰성과 관련된 투명성 및 규정 준수(예: 미국 사이버 보안 행정법)를 관리할 수 있도록 지원합니다. 또한 내장된 CVE(보안 취약점) 스캔 및 보고 메커니즘을 통해 고객은 취약점과 잠재적 위험을 효율적으로 완화할 수 있습니다.
7. 안전하지 않은 암호화 알고리즘 또는 암호화 기능 부족
알려진 바와 같이 안전하지 않거나 더 이상 사용되지 않는 암호화 알고리즘 또는 부적절한 암호화를 사용하여 민감한 데이터를 전송하거나 저장하는 것은 심각한 위험입니다.
저희 솔루션은 MontaVista의 CGX입니다. CGX는 TPM 2.0 및 OpenSSL(FIPS 모드)을 포함한 다양한 기능을 내장하여 이러한 잘못된 관행을 방지하도록 지원합니다. '기본 보안' 프로필에서 CGX는 안전한 암호화 및 비밀번호 설정을 위한 기본 시스템 구성을 제공합니다. MVSecure 서비스는 고객이 최신 암호화 알고리즘과 안전한 데이터 전송 프로토콜을 구현하여 규정 준수를 보장하고 중요 정보를 미래에도 안전하게 보호할 수 있도록 지원합니다.
8. 하드코딩된 자격 증명
소스 코드에 자격 증명이나 비밀 키가 하드코딩되어 있는 것은 심각한 취약점입니다.
당사의 솔루션: MVSecure 서비스는 고객이 이러한 취약점을 완화하고 소스 코드에 하드코딩된 자격 증명이 존재하는 것을 방지할 수 있도록 지원합니다.
보안 기능
9. 다중 요소 인증(MFA) 미비
피싱 방지 기능을 포함한 다단계 인증(MFA)을 기본 버전에서 지원하지 않는 IT 제품은 위험한 것으로 간주됩니다. 관리자 계정에 MFA를 기본적으로 활성화하지 않는 것 또한 큰 위험입니다. MFA가 보안 위험을 초래할 수 있는 일부 운영 기술(OT) 제품의 경우, 제조업체는 다른 인증 방식을 사용하고 해당 접근 방식을 설명하는 위협 모델을 공개해야 합니다.
당사의 솔루션: MVSecure 서비스는 고객이 이러한 취약점을 해결하고, 강력한 인증 체계를 구축하며, 제품 보안을 위한 위협 모델을 만들 수 있도록 지원합니다.
10. 침입에 대한 불충분한 로깅
구성 변경, 신원 및 네트워크 흐름(해당되는 경우), 기본 버전에서의 데이터 접근 및 생성 등을 포함하여 침입 유형 탐지를 위한 충분한 로깅 기능을 제공하지 않는 소프트웨어 제품은 위험합니다.
저희 솔루션인 MontaVista의 CGX Linux는 GDB(GNU 디버거), KGDB, Strace, Wireshark, LTTng2 등 다양한 디버깅 도구를 제공하여 효과적인 로깅 방식을 통해 침입 유형에 대한 증거를 수집할 수 있도록 지원합니다. 최신 버전(CGX 5.0)에는 Suricata IDS 및 심층 패킷 검사(DPI) 도구가 통합되어 상호 연결된 네트워크를 침입 위협으로부터 보호합니다.
조직 프로세스 및 정책
11. CVE 발행 실패
중요도가 높거나 영향력이 큰 취약점에 대해 시의적절하게 CVE(Common Vulnerabilities and Exposures)를 발표하지 않는 것은 심각한 보안 위협을 초래합니다. 또한 모든 CVE 기록에 CWE(Common Weakness Enumeration) 필드를 포함하지 않는 것 역시 상당한 위험 요소입니다.
저희의 해결책은 다음과 같습니다. MontaVista는 CVE를 적시에 발행하기 위해 최선을 다하고 있습니다. 저희의 취약점 처리 정책은 잠재적 위험을 최소화하기 위해 고객에게 필요한 정보, 지침 및 보안 결함 대응 방안을 신속하게 제공하는 것입니다.
12. 취약점 공개 정책(VDP)의 부재
해당 제품을 범위에 포함하는 공개된 VDP가 없는 것은 위험합니다.
당사의 솔루션: MVSecure는 CVE 관리 분야에서 쌓아온 풍부한 경험을 바탕으로 고객이 자사 제품에 대한 VDP(가상 위험 방지 프로그램)를 구축할 수 있도록 지원합니다.
13. 지원 기간의 불확실성
온프레미스 제품의 경우, 지원 기간을 명확하게 전달하지 않는 것은 상당한 위험 요소입니다.
저희의 해결책은 다음과 같습니다. MontaVista의 CGX Linux 표준 라이선스에는 10년 이상의 장기적인 기술 지원 및 유지 보수에 대한 명확한 정보가 포함되어 있어 임베디드 시스템 및 제품의 전체 수명 주기 동안 안정성과 신뢰성을 보장합니다.
요약
본 문서에서는 CISA의 "제품 보안 모범 사례" 문서를 참조하여 MontaVista의 솔루션을 설명했습니다. MontaVista의 제품과 서비스는 고객이 장기적으로 안전하고 신뢰할 수 있으며 규정을 준수하는 임베디드 시스템을 구축할 수 있도록 설계되었습니다.
높은 보안성, 연결성 및 안정성을 갖춘 운영 플랫폼을 찾고 계신다면 MontaVista의 CGX Linux가 이러한 모든 요구 사항을 충족하고 그 이상을 제공합니다. 또한 MVSecure는 EU 사이버 복원력법(CRA) 및 미국 사이버 보안 행정 명령을 포함한 최신 사이버 보안 인증 및 표준 준수를 위한 포괄적인 보안 컨설팅 및 인증 지원 서비스를 제공합니다.
MontaVista의 풍부한 Linux 전문 지식과 고품질 솔루션을 활용하면 CISA에서 제시하는 제품 보안 관련 잘못된 관행으로 인한 위험을 줄일 수 있습니다!
Please reach out to discuss your particular scenario today.
