SBOM Study Group

• 1: 취약점과 미래 - 다층적 소프트웨어 취약점과 대응 전략
• 2: SBOM 관련 다양한 규제와 가이드라인에 대한 개요
• 3: 킥오프 웨비나: SBOM의 실제 활용 방안 모색

1 - 취약점과 미래 - 다층적 소프트웨어 취약점과 대응 전략

source: https://openchainproject.org/news/2024/12/04/sbom-study-group-2024-11-27

목차

1. 소개
2. 발표자 소개
3. 웨비나 개요
4. Software Bill of Materials (SBOM)의 중요성
5. 공급망 위험과 취약점
6. 오픈소스 소프트웨어의 보안 성숙도
7. 취약점 해결 전략
8. Software Heritage 프로젝트 소개
9. CycloneDX의 도전과제
10. 질의응답
11. 결론

1. 소개

이 블로그 포스트는 OpenChain Project의 SBOM Study Group 웨비나에서 발표된 “취약점과 미래 - 다층적 소프트웨어 취약점과 대응 전략"에 대한 내용을 다룹니다. 이 웨비나는 소프트웨어 공급망 보안과 취약점 관리의 중요성을 강조하며, 현재의 도전과제와 미래의 전략을 탐구합니다.

2. 발표자 소개

발표자인 Okada San은 OWASP Japan의 전문가로, 일본 기업에서 애플리케이션 보안 강화와 소프트웨어 생산성 팀을 지원하는 보안 연구원입니다. OWASP 재단의 평생 회원으로, 20년 이상 다양한 문서 번역 작업에 참여해 왔습니다.

3. 웨비나 개요

이 웨비나는 소프트웨어 취약점의 다층적 특성과 이에 대한 효과적인 대응 전략을 다룹니다. 특히 Software Bill of Materials (SBOM)의 중요성과 CycloneDX와 같은 표준의 역할에 초점을 맞춥니다. 또한 오픈소스 소프트웨어의 보안 성숙도와 공급망 위험에 대해 심도 있게 논의합니다.

4. Software Bill of Materials (SBOM)의 중요성

SBOM은 소프트웨어 구성 요소의 투명성을 제공하는 중요한 도구입니다. Okada San은 SBOM이 단순히 형식이 아닌 소프트웨어 구성과 투명성에 대한 정보를 교환하는 방법이라고 강조합니다. CycloneDX와 SPDX와 같은 표준은 이러한 정보 교환을 위한 프레임워크를 제공합니다.

5. 공급망 위험과 취약점

Okada San은 소프트웨어 공급망의 세 가지 주요 위험 지점을 설명합니다:

1. 공격 대상으로서의 오픈소스 소프트웨어
2. 오픈소스 의존성의 낮은 보안 성숙도
3. 업데이트를 맹목적으로 신뢰하는 사용자

이러한 위험은 typosquatting과 같은 공격 기법을 통해 악용될 수 있으며, 이는 오픈소스 저장소의 보안 중요성을 강조합니다.

6. 오픈소스 소프트웨어의 보안 성숙도

Open Source Security Foundation (OpenSSF)의 보고서에 따르면, 전문가의 약 3분의 1이 안전한 소프트웨어 개발 관행에 익숙하지 않다고 합니다. 이는 오픈소스 프로젝트의 보안 성숙도 향상이 시급함을 시사합니다.

7. 취약점 해결 전략

Okada San은 취약점 해결을 위한 여러 전략을 제시합니다:

1. 소프트웨어 구성 분석 (SCA) 수행
2. 프로젝트의 신뢰성 평가
3. 코드 품질과 업데이트 빈도 확인
4. OWASP Dependency-Track과 같은 도구 활용

8. Software Heritage 프로젝트 소개

Software Heritage 프로젝트는 다양한 저장소의 아카이브를 제공합니다. 이 프로젝트를 통해 개발자의 기여 이력과 패치의 품질을 추적할 수 있어, 프로젝트나 개발자의 신뢰성을 평가하는 데 유용합니다.

9. CycloneDX의 도전과제

Okada San은 CycloneDX의 주요 도전과제를 다음과 같이 설명합니다:

1. 공개 사례 연구의 부족
2. 호스팅된 250개 이상의 도구에 대한 재분류 필요
3. 하드웨어 제조업체의 제한적인 입력
4. 확장되는 생태계를 지원할 추가 유지 관리자 모집

10. 질의응답

Q: 일본 외 다른 지역의 OWASP 지부가 있나요? A: 네, 전 세계에 많은 OWASP 지부가 있습니다. 월간 또는 분기별 모임을 통해 애플리케이션 보안 전문가들과 쉽게 교류할 수 있습니다.

Q: Software Heritage를 어떻게 활용하고 있나요? A: 저는 주로 Protestware와 관련된 개발자를 추적하고, 그들이 다른 프로젝트에 기여하는지 확인하는 데 사용했습니다. 이를 통해 다른 위험 요소들도 발견할 수 있었습니다.

11. 결론

Okada San은 소프트웨어 투명성과 보안의 중요성을 강조하며 발표를 마무리합니다. 그는 모든 참가자들에게 CycloneDX 커뮤니티에 참여하고, 소프트웨어 투명성에 대한 논의에 기여할 것을 권장합니다.

요약 보고서

기업의 오픈소스 관리 담당자에게 주는 의미

1. 투명성의 중요성: SBOM을 통한 소프트웨어 구성 요소의 투명성 확보가 필수적입니다.
2. 보안 성숙도 향상: 오픈소스 프로젝트의 보안 성숙도를 평가하고 개선하는 노력이 필요합니다.
3. 공급망 위험 관리: 오픈소스 의존성에 대한 지속적인 모니터링과 관리가 중요합니다.
4. 커뮤니티 참여: CycloneDX와 같은 표준화 커뮤니티에 적극적으로 참여해야 합니다.
5. 도구 활용: Software Heritage, OWASP Dependency-Track 등의 도구를 활용한 프로젝트 평가가 필요합니다.

고려해야 할 Action Item

1. SBOM 생성 및 관리 프로세스 구축
2. 오픈소스 의존성에 대한 정기적인 보안 감사 실시
3. 개발자 대상 보안 교육 프로그램 강화
4. CycloneDX나 SPDX와 같은 표준 채택 및 구현
5. Software Heritage를 활용한 프로젝트 및 개발자 신뢰성 평가 체계 수립
6. OWASP Dependency-Track 등의 도구를 CI/CD 파이프라인에 통합
7. 오픈소스 커뮤니티 활동 참여 및 기여 장려
8. 내부 취약점 관리 정책 및 프로세스 개선
9. 공급업체 관리 정책에 SBOM 요구사항 포함
10. 정기적인 위험 평가 및 대응 전략 수립

이러한 액션 아이템을 실행함으로써, 기업은 소프트웨어 공급망 보안을 강화하고 잠재적인 취약점에 대한 대응 능력을 향상시킬 수 있습니다.

2 - SBOM 관련 다양한 규제와 가이드라인에 대한 개요

source: https://openchainproject.org/news/2024/10/29/openchain-sbom-study-group-october-2024-10-23-full-recording

목차

1. 세미나 개요
2. 발표 내용
3. 질의응답
4. 결론 및 향후 계획

1. 세미나 개요

제목

OpenChain SBOM 스터디 그룹 - 2024년 10월 세미나

발표자 소개

이번 세미나의 발표자는 도시바의 Ninjouji-san입니다. 도시바는 일본의 대표적인 다국적 전자 기업으로, 오픈소스 및 SBOM 관련 분야에서 풍부한 경험을 보유하고 있습니다.

웨비나 소개와 목적

이번 OpenChain SBOM 스터디 그룹 세미나는 다양한 규제와 가이드라인에 대한 개요를 제공하고, 향후 미팅에서 필요한 사항들에 대해 논의하는 것을 목적으로 합니다. SBOM(Software Bill of Materials)은 소프트웨어 구성 요소를 투명하게 관리하고 보안 취약점을 효과적으로 대응하기 위한 중요한 도구로 주목받고 있습니다.

2. 발표 내용

SBOM 관련 규제 및 가이드라인 개요

Ninjouji-san은 SBOM과 관련된 주요 규제 및 가이드라인에 대해 상세히 설명했습니다. 이는 다음과 같은 내용을 포함합니다:

1. 미국 사이버보안 및 기반시설 보안국(CISA)의 SBOM 요구사항
2. 유럽연합(EU)의 사이버 복원력 법안
3. 일본 경제산업성(METI)의 소프트웨어 관리 지침

각 규제와 가이드라인의 주요 특징, 적용 범위, 기업에 미치는 영향 등을 자세히 다루었습니다.

SBOM 도구 및 표준 포맷

발표자는 SBOM 생성 및 관리를 위한 다양한 도구들을 소개했습니다:

1. SPDX: 리눅스 재단에서 개발한 오픈소스 라이선스 및 보안 정보 교환 표준
2. CycloneDX: OWASP에서 개발한 경량화된 SBOM 표준
3. SWID: 소프트웨어 식별 태그 표준

각 도구의 특징, 장단점, 적용 사례 등을 비교 분석하여 참가자들의 이해를 도왔습니다.

SBOM 구현 전략

Ninjouji-san은 기업이 SBOM을 효과적으로 구현하기 위한 전략을 제시했습니다:

1. 소프트웨어 공급망 매핑
2. SBOM 생성 자동화 도구 선택
3. 지속적인 모니터링 및 업데이트 프로세스 수립
4. 보안 취약점 관리와 SBOM 연계

이러한 전략을 통해 기업은 규제 준수뿐만 아니라 소프트웨어 품질 및 보안 향상을 도모할 수 있습니다.

3. 질의응답

세미나 참가자들로부터 다양한 질문이 제기되었습니다:

Q: SBOM 구현 시 가장 큰 도전 과제는 무엇인가요? A: Ninjouji-san은 레거시 시스템에 대한 SBOM 생성과 서드파티 소프트웨어 컴포넌트의 정확한 추적이 주요 과제라고 답변했습니다.

Q: 중소기업도 SBOM을 도입해야 하나요? A: 발표자는 기업 규모와 관계없이 SBOM 도입이 중요하며, 오픈소스 도구를 활용하여 비용 효율적으로 시작할 수 있다고 조언했습니다.

Q: SBOM과 DevSecOps의 연계 방안은? A: SBOM을 CI/CD 파이프라인에 통합하여 지속적인 보안 검증을 수행할 수 있다고 설명했습니다.

4. 결론 및 향후 계획

Ninjouji-san은 SBOM이 소프트웨어 공급망 보안의 핵심 요소로 자리잡고 있음을 강조하며 세미나를 마무리했습니다. 향후 스터디 그룹 미팅에서는 다음과 같은 주제를 다룰 예정입니다:

1. SBOM 생성 자동화 사례 연구
2. 클라우드 네이티브 환경에서의 SBOM 관리
3. SBOM과 취약점 관리 연계 방안

참가자들은 이번 세미나를 통해 SBOM의 중요성과 실제 구현 방안에 대한 깊이 있는 이해를 얻을 수 있었습니다.

요약 보고서

기업의 오픈소스 관리 담당자에게 주는 의미

1. 규제 대응 필요성: SBOM은 미국, EU, 일본 등 주요국의 사이버보안 규제 대응에 필수적인 요소로 자리잡고 있습니다. 오픈소스 관리 담당자는 이러한 규제 동향을 주시하고 선제적으로 대응해야 합니다.

2. 소프트웨어 품질 향상: SBOM을 통해 사용 중인 오픈소스 컴포넌트를 정확히 파악하고 관리함으로써 전반적인 소프트웨어 품질을 향상시킬 수 있습니다.

3. 보안 취약점 관리 강화: SBOM은 사용 중인 오픈소스 컴포넌트의 취약점을 신속하게 식별하고 대응할 수 있게 해줍니다. 이는 기업의 사이버보안 태세를 강화하는 데 크게 기여합니다.

4. 공급망 투명성 확보: SBOM을 통해 소프트웨어 공급망의 투명성을 높일 수 있어, 고객 신뢰도 향상 및 리스크 관리에 도움이 됩니다.

5. DevSecOps 통합: SBOM을 개발 및 운영 프로세스에 통합함으로써 보안을 개발 초기 단계부터 고려하는 DevSecOps 문화를 촉진할 수 있습니다.

고려해야 할 Action Item

1. SBOM 생성 도구 평가 및 선택: SPDX, CycloneDX 등 다양한 SBOM 표준과 도구를 평가하고, 기업의 환경에 가장 적합한 솔루션을 선택합니다.

2. 자동화 프로세스 구축: CI/CD 파이프라인에 SBOM 생성 및 검증 과정을 자동화하여 통합합니다.

3. 교육 및 인식 제고: 개발자, 보안 팀, 법무 팀 등 관련 부서 직원들에게 SBOM의 중요성과 활용 방법에 대한 교육을 실시합니다.

4. 정책 및 가이드라인 수립: SBOM 관리에 대한 조직 내 정책과 가이드라인을 수립하고 이를 문서화합니다.

5. 취약점 관리 프로세스 개선: SBOM 정보를 활용하여 취약점 스캐닝 및 패치 관리 프로세스를 개선합니다.

6. 공급업체 관리 강화: 서드파티 소프트웨어 공급업체에 SBOM 제공을 요구하고, 이를 평가 기준에 포함시킵니다.

7. 규제 준수 모니터링: SBOM 관련 국내외 규제 동향을 지속적으로 모니터링하고, 필요시 신속히 대응합니다.

8. SBOM 공유 체계 구축: 고객 및 파트너사와 SBOM을 안전하게 공유할 수 있는 체계를 구축합니다.

이러한 액션 아이템을 체계적으로 이행함으로써, 기업은 SBOM을 효과적으로 도입하고 활용하여 소프트웨어 공급망 보안을 강화할 수 있을 것입니다.

3 - 킥오프 웨비나: SBOM의 실제 활용 방안 모색

source: https://www.slideshare.net/slideshow/openchain-sbom-study-group-kick-off-call-2024-07-30/270623321

목차

1. 웨비나 소개
2. SBOM의 중요성과 OpenChain 프로젝트의 역할
3. SBOM 활용의 실제적 고려사항
4. SPDX Lite: SBOM 생성을 위한 간소화된 접근
5. 향후 계획 및 참여 방법

1. 웨비나 소개

제목

OpenChain SBOM Study Group 킥오프 웨비나

발표자 소개

• Shane Coughlan: OpenChain 프로젝트 총괄 매니저
• Kate Stewart: Linux Foundation의 오픈소스 기술 부사장
• Kobota San: Sony에서 근무하며, 2024년 SBOM Study Group의 의장

웨비나 소개와 목적

이 웨비나는 OpenChain 프로젝트의 새로운 SBOM Study Group의 킥오프 미팅입니다. 주요 목적은 대규모 및 복잡한 공급망에서 SBOM(Software Bill of Materials)을 실제로 어떻게 활용할 수 있는지에 대한 논의를 시작하는 것입니다. 이를 통해 SBOM의 실용적인 적용 방안과 공급망 내에서의 신뢰 구축 방법을 모색하고자 합니다.

2. SBOM의 중요성과 OpenChain 프로젝트의 역할

OpenChain 프로젝트는 2026년 설립 이후 지속적으로 컴플라이언스 및 보안 표준의 일환으로 SBOM을 요구해왔습니다. 프로젝트는 SBOM 분야에 다양한 방식으로 기여해왔으며, 특히 공급업체를 위한 간단한 SBOM 형식인 SPDX Lite의 개발과 SBOM 품질 평가 가이드 제작 등을 수행했습니다.

Shane Coughlan은 SBOM의 중요성을 강조하며, 이는 단순한 기술적 도구가 아닌 비즈니스 프로세스의 핵심 요소라고 설명합니다. SBOM은 소프트웨어 구성 요소의 투명성을 제공하여 보안, 라이선스 준수, 품질 관리 등 다양한 영역에서 중요한 역할을 합니다.

3. SBOM 활용의 실제적 고려사항

Kate Stewart는 SBOM 활용에 있어 실제적인 고려사항들을 제시합니다:

SBOM 생성 및 소비의 주체

• 소프트웨어 개발자
• 제품 관리자
• 보안 전문가
• 법무 및 컴플라이언스 팀
• 구매 담당자
• 고객

SBOM의 주요 활용 사례

• 취약점 관리
• 라이선스 컴플라이언스
• 소프트웨어 구성 요소 추적
• 공급망 리스크 관리

SBOM 구현 시 고려사항

• 데이터 형식 (예: SPDX, CycloneDX)
• 생성 도구 및 프로세스
• 저장 및 배포 방식
• 업데이트 주기 및 버전 관리

4. SPDX Lite: SBOM 생성을 위한 간소화된 접근

Kate Stewart는 SPDX Lite에 대해 상세히 설명합니다. SPDX Lite는 전체 SPDX 규격의 간소화된 버전으로, SBOM 생성의 진입 장벽을 낮추고자 개발되었습니다.

SPDX Lite의 주요 특징

• 필수 필드 수를 줄여 간편한 SBOM 생성 가능
• 기본적인 소프트웨어 구성 요소 정보 제공
• 확장 가능성을 통해 필요에 따라 더 상세한 정보 추가 가능

SPDX Lite 활용 사례

• 소규모 프로젝트나 간단한 소프트웨어 패키지에 적합
• 대규모 SBOM 구현의 첫 단계로 활용 가능
• 공급업체와 고객 간의 기본적인 소프트웨어 구성 정보 교환에 유용

5. 향후 계획 및 참여 방법

Shane Coughlan은 SBOM Study Group의 향후 계획과 참여 방법에 대해 안내합니다:

• 정기적인 미팅을 통해 SBOM 관련 실제 사례와 도전 과제 논의
• 다양한 산업 분야의 전문가들과 협력하여 SBOM 활용 방안 개발
• OpenChain 커뮤니티를 통한 지식 공유 및 네트워킹 기회 제공

SBOM, 공급망에서의 SBOM 활용, 그리고 공급망 신뢰 증진에 관심 있는 모든 분들의 참여를 환영합니다. 특히 Sony의 Kobota San이 2024년 study group의 의장을 맡아 활동을 이끌어갈 예정입니다.

요약 보고서

기업의 오픈소스 관리 담당자에게 주는 의미

1. SBOM의 전략적 중요성 인식: SBOM은 단순한 기술적 도구를 넘어 비즈니스 프로세스의 핵심 요소로 자리잡고 있습니다. 오픈소스 관리 담당자는 SBOM을 통해 소프트웨어 공급망의 투명성을 확보하고, 보안 및 컴플라이언스 리스크를 효과적으로 관리할 수 있습니다.

2. 다양한 이해관계자와의 협업: SBOM은 개발자, 보안 전문가, 법무팀, 구매 담당자 등 다양한 부서와의 협업을 필요로 합니다. 오픈소스 관리자는 이러한 협업을 주도하여 조직 전체의 SBOM 활용을 촉진할 수 있습니다.

3. SBOM 표준 및 도구에 대한 이해: SPDX, CycloneDX 등 다양한 SBOM 표준과 관련 도구에 대한 이해가 필요합니다. 특히 SPDX Lite와 같은 간소화된 접근 방식은 SBOM 도입의 진입 장벽을 낮출 수 있습니다.

4. 공급망 관리 강화: SBOM을 통해 소프트웨어 구성 요소의 출처와 라이선스 정보를 명확히 파악할 수 있어, 공급망 리스크 관리와 라이선스 컴플라이언스를 강화할 수 있습니다.

고려해야 할 Action Item

1. SBOM 생성 및 관리 프로세스 수립: 조직 내 SBOM 생성, 유지보수, 공유를 위한 표준화된 프로세스를 개발하고 구현합니다.

2. SBOM 도구 선정 및 도입: 조직의 needs에 맞는 SBOM 생성 및 분석 도구를 선정하고 도입합니다. SPDX Lite와 같은 간소화된 접근부터 시작할 수 있습니다.

3. 교육 및 인식 제고: 개발자, 관리자, 법무팀 등 관련 부서 직원들을 대상으로 SBOM의 중요성과 활용 방법에 대한 교육을 실시합니다.

4. 공급업체 관리 정책 수립: 외부 공급업체로부터 SBOM을 요구하고 평가하는 정책을 수립합니다. 이를 통해 전체 소프트웨어 공급망의 투명성을 확보합니다.

5. SBOM 데이터 통합 및 분석: SBOM 데이터를 기존의 보안 및 컴플라이언스 도구와 통합하여 종합적인 리스크 분석을 수행합니다.

6. 지속적인 모니터링 및 개선: SBOM 관련 기술과 표준의 발전을 지속적으로 모니터링하고, 조직의 SBOM 프로세스를 지속적으로 개선합니다.

7. 커뮤니티 참여: OpenChain SBOM Study Group과 같은 커뮤니티에 참여하여 최신 동향을 파악하고 다른 조직의 best practices를 학습합니다.

이러한 action item들을 체계적으로 실행함으로써, 기업의 오픈소스 관리 담당자는 SBOM을 효과적으로 활용하여 조직의 소프트웨어 관리 및 보안 체계를 강화할 수 있을 것입니다.