로그프레소 Log4j 스캐너, 다수 글로벌 벤더 보안 권고문에 인용…전세계적으로 45만회 이상 다운로드 기록
데일리시큐가 주최하고 개인정보보호위원회, 한국인터넷진흥원, 한국정보보호산업협회가 후원하는 G-PRIVACY 2022가 3월 29일 더케이호텔서울 가야금홀에서 공공, 금융, 기업 개인정보보호 및 정보보안 실무자 700여 명이 참석한 가운데 성황리에 개최됐다.
이 자리에서 양봉열 로그프레소 대표는 최근 보안이슈가 되고 있는 ‘Log4j 취약점 분석 및 대응’을 주제로 키노트 발표를 진행해 보안실무자들의 큰 관심을 끌었다.
지난 2021년 12월에 공개된 Log4Shell 취약점(CVE-2021-44228)은 CVSS 스코어 10점으로 역사상 최악의 취약점으로 평가된다. 자바 가상머신은 전세계적으로 40억 개 이상 실행되고 있으며, 자바로 구현된 프로그램은 대부분 Apache Log4j를 이용하여 로그를 기록하기 때문에, 영향받는 애플리케이션과 서버가 매우 광범위하고 치명적이다. 특히 마인크래프트 게임 내에서 채팅 메시지 전송만으로 공격이 손쉽게 수행되는 영상은 대중적으로 충격을 일으켰다.
Log4j는 2021년 12월 6일에 2.15.0을 배포하여 취약점을 해결하려고 시도하였지만, 컨텍스트 룩업을 이용한 원격 코드 실행 취약점(CVE-2021-45046), 무한 재귀 호출을 이용한 서비스 거부 취약점(CVE-2021-45105), XML 설정 편집을 이용한 원격 코드 실행 취약점(CVE-2021-44832)이 연쇄적으로 발견되며 2022년 1월까지 보안 담당자들을 혼란에 빠뜨렸다.
현 시점에서 인터넷에 노출된 중요 자산들에 대한 긴급 대응 조치는 완료되었지만, 완전한 해결에는 이르지 못하고 있다. 이는 모든 엔드포인트를 전수 조사하기가 극히 어렵고, 취약점을 모두 찾아낸다고 하더라도 벤더에서 패치 버전을 전달받아 업그레이드를 수행하고 검증하기까지 많은 시간이 소요되기 때문이다.
양봉열 대표는 완전한 Log4j 취약점 진단이 어려운 이유로 JAR 파일이 중첩되는 특성을 꼽았다. WAR 파일은 JAR 파일을, 이 JAR 파일은 내부에 또다른 라이브러리 JAR 파일을 포함할 수 있기 때문에, 여러 단계에 걸쳐 압축을 해제해야만 완전하게 Log4j 존재 여부를 진단할 수 있다. 어떤 경우에는 Log4j 라이브러리를 있는 그대로 사용하지 않고, 패키지 명을 변경해 사용하기 때문에 단순 경로 확인만으로는 식별 자체가 불가능한 문제도 있다.
로그프레소는 Log4Shell 이슈에 대응해 2021년 12월 11일에 Log4j 스캐너를 공개하였다. 이 스캐너는 취약한 Log4j 라이브러리를 완전하게 찾아낼 뿐만 아니라, JndiLookup.class를 포함한 위험 클래스를 자동으로 제거하는 임시 조치 기능까지 포함한다. 로그프레소 스캐너는 다수의 글로벌 벤더의 보안 권고문에 인용되었으며 전세계적으로 45만회 이상의 다운로드를 기록하였다.
로그프레소는 이에 그치지 않고 Log4j 리스크를 클라우드에서 관리할 수 있는 ‘로그프레소 워치’ 서비스(https://logpresso.watch)를 출시했다. 로그프레소 워치는 무료 가입 직후에 명령어를 복사, 붙여넣기만 하면 진단 결과 보고서를 이메일로 받아볼 수 있고, 잔존 위험을 추적 관리할 수 있는 대시보드를 제공한다.
양봉열 대표는 “오픈소스 사용 행태, 소프트웨어 도입 체계, 취약점 진단 체계를 개선해야 할 중요한 이슈다. 오픈소스를 사용하면서 한 번도 코드를 읽어보거나 보안성을 검토하지 않고, 이슈가 되면 그때서야 대응하는 것이 현실이다. Log4Shell은 2013년 9월부터 10년 가까이 방치되었다”고 지적했다.
이어 “소프트웨어를 도입하면서 어떤 오픈소스 의존성을 가지고 있는지, 사용한 오픈소스에 대해 실제 코드 개선 역량이 존재하는지 평가하지 않는다. SBOM (Software Bill of Materials)을 관리하고, 오픈소스 의존도가 기술성 평가에 반영되어야만 잠재적 보안 취약성이 최소화될 수 있다”고 강조했다.
더불어 양 대표는 운영 환경이 마이크로서비스 아키텍처로 이행된 경우 컨테이너를 포함한 취약점 전수 진단은 더욱 어려운 문제로 드러났다. 보안 조직은 수많은 물리/가상 자산에 대해 자동화된 배포 및 취약점 관리 수단을 반드시 준비해야 보안 이슈가 발생했을 때 적시에 대응할 수 있을 것이라고 덧붙였다.
로그프레소 양봉열 대표의 상세 강연내용은 아래 영상을 참조하면 되다. 강연자료는 데일리시큐 자료실에서 다운로드 가능하다.
★정보보안 대표 미디어 데일리시큐!★