[논문 리뷰] Software supply chain: review of attacks, risk assessment strategies and security controls

Betul Gokkaya, Leonardo Aniello외 1명|arXiv (Cornell University)|2023. 05. 23.

Software Engineering Research인용 수 4

한 줄 요약

이 논문은 소프트웨어 공급망(SSC) 공격에 대한 체계적 문헌 고찰을 제시하며, 일반적인 공격 벡터와 오픈소스 및 제3자 구성요소의 위험 요인을 규명하고, 대응 가능한 보안 제어를 제안한다. 실제 사례와 방어 전략을 연결하여 SSC의 위험 평가 및 방어를 위한 종합적인 프레임워크를 제공하며, 주요 기여는 공격 유형 분류, 위험 모델링, 실질적 위협에 대응하는 제어 매핑이다.

ABSTRACT

The software product is a source of cyber-attacks that target organizations by using their software supply chain as a distribution vector. As the reliance of software projects on open-source or proprietary modules is increasing drastically, SSC is becoming more and more critical and, therefore, has attracted the interest of cyber attackers. While existing studies primarily focus on software supply chain attacks' prevention and detection methods, there is a need for a broad overview of attacks and comprehensive risk assessment for software supply chain security. This study conducts a systematic literature review to fill this gap. We analyze the most common software supply chain attacks by providing the latest trend of analyzed attacks, and we identify the security risks for open-source and third-party software supply chains. Furthermore, this study introduces unique security controls to mitigate analyzed cyber-attacks and risks by linking them with real-life security incidence and attacks.

연구 동기 및 목표

• 소프트웨어 공급망(SSC) 공격의 증가하는 위협을 다루기 위해 공격 패tern과 위험에 대한 종합적 개요를 제공하기 위해.
• 오픈소스 및 제3자 소프트웨어 구성요소를 대상으로 하는 일반적인 공격 벡터를 식별하고 분류하기 위해.
• 식별된 SSC 위험과 실제 공급망 공격 사례에 대응하는 효과적인 보안 제어를 제안하고 매핑하기 위해.
• 위협 모델링과 제어 구현을 통합하여, SSC 보안을 위한 체계적인 위험 평가 프레임워크를 개발하기 위해.
• 이론적 탐지/예방 방법과 실세계 SSC 환경에서의 실질적이고 실행 가능한 보안 전략 간 격차를 메우기 위해.

제안 방법

• SSC 공격, 위험 평가 및 보안 제어에 관한 동료 검토 및 그레이 리서치 문헌을 대상으로 한 체계적 문헌 고찰(SLR)을 수행하였다.
• 공격 벡터, 기법 및 실제 사례 연구를 기반으로 가장 흔한 소프트웨어 공급망 공격를 분류하고 분석하였다.
• 식별된 보안 위험을 특정 공격 유형과 매핑하였으며, 특히 오픈소스 및 제3자 소프트웨어 의존성에 중점을 두었다.
• 실제 사례(예: SolarWinds, Log4j)에 기반하여 공격 패tern과 연결된 보안 제어 세트를 제안하였다.
• 위협 지능, 종속성 분석 및 제어 효과성 평가를 통합한 위험 평가 모델을 개발하였다.
• 다수의 사례 연구 및 기술 보고서를 통해 공격 추세, 위험 요인 및 대응 전략 간의 상관관계를 분석하기 위해 체계적인 통합 접근법을 사용하였다.

실험 결과

연구 질문

• RQ1 최근 몇 년 간 소프트웨어 공급망 공격의 가장 일반적인 유형과 추세는 무엇인가?
• RQ2 SSC에서 오픈소스 및 제3자 소프트웨어 구성요소와 관련된 주요 위험 요인은 무엇인가?
• RQ3 기존의 보안 제어는 실제 소프트웨어 공급망 공격에 효과적으로 어떻게 매핑될 수 있는가?
• RQ4 소프트웨어 공급망 보안을 위한 현재의 위험 평가 방법론에서의 격차는 무엇인가?
• RQ5 실증적 증거를 바탕으로 한 통합 프레임워크를 통해 SSC 위험 평가 및 제어 구현을 어떻게 개발할 수 있는가?

주요 결과

• 연구에서는 제3자 및 오픈소스 구성요소를 대상으로 한 공급망 공격의 증가 추세를 규명하였으며, 빌드 및 배포 시스템의 손상이 주요 공격 벡터로 작용하고 있음을 확인하였다.
• SSC에서 가장 심각한 위험 요인은 제3자 코드 재사용, 소프트웨어 명세서(BOM)가 없는 상태, 종속성 검증 부족에서 기인한다.
• SolarWinds 및 Log4j와 같은 실제 사례는 공급망 공격가 공정한 소프트웨어 배포 채널에 대한 신뢰를 악용한다는 점을 보여준다.
• SBOM 생성, 소프트웨어 구성 분석(SCA), 아티팩트의 암호화 서명과 같은 보안 제어는 식별된 공격 패턴 완화에 매우 효과적이라는 것이 확인되었다.
• 위협 지능을 자동화된 위험 평가 도구와 통합하면 공급망 위협에 대한 조기 탐지 및 대응 능력이 크게 향상된다.
• 본 연구는 기존 프레임워크의 핵심 격차를 드러내며, 위협 지능을 특정 기술적 제어에 연결하는 표준화되고 실행 가능한 위험 평가 모델의 부재를 지적한다.