[논문 리뷰] Taxonomy of Attacks on Open-Source Software Supply Chains

Piergiorgio Ladisa, Henrik Plate외 2명|arXiv (Cornell University)|2022. 04. 08.

Software Engineering Research인용 수 15

한 줄 요약

이 논문은 개방형 소스 소프트웨어(OSS) 공급망에 대한 포괄적이고 언어에 종속되지 않는 공격 유형 분류 체계를 제안한다. 이는 107개의 고유한 공격 벡터를 94宗 실제 사고와 33개의 보호 조치와 연결한 공격 트리 구조로 구성되어 있으며, 17명의 전문가와 134명의 개발자에 의해 검증되었다. 이 분류 체계는 다양한 OSS 생태계에서 위험 평가 향상, 개발자 교육 강화, 보안 자원의 전략적 배분을 가능하게 한다.

ABSTRACT

The widespread dependency on open-source software makes it a fruitful target for malicious actors, as demonstrated by recurring attacks. The complexity of today's open-source supply chains results in a significant attack surface, giving attackers numerous opportunities to reach the goal of injecting malicious code into open-source artifacts that is then downloaded and executed by victims. This work proposes a general taxonomy for attacks on open-source supply chains, independent of specific programming languages or ecosystems, and covering all supply chain stages from code contributions to package distribution. Taking the form of an attack tree, it covers 107 unique vectors, linked to 94 real-world incidents, and mapped to 33 mitigating safeguards. User surveys conducted with 17 domain experts and 134 software developers positively validated the correctness, comprehensiveness and comprehensibility of the taxonomy, as well as its suitability for various use-cases. Survey participants also assessed the utility and costs of the identified safeguards, and whether they are used.

연구 동기 및 목표

• 프로그래밍 언어나 생태계에 종속되지 않는 일반적이고 포괄적이며 이해하기 쉬운 개방형 소스 소프트웨어(OSS) 공급망 공격에 대한 분류 체계가 부족한 문제를 해결한다.
• 기여에서 배포에 이르기까지 OSS 공급망 전 단계에서 발생하는 공격 벡터를 체계적으로 식별하고 분류한다.
• 식별된 공격 벡터를 기존의 보호 조치와 연결하고, 실용성, 비용, 실제 적용도를 평가한다.
• 개발자 교육, 위험 평가, OSS 생태계 내 신규 보안 제어 설계를 지원하기 위한 검증된 기반 프레임워크를 제공한다.
• 공격 및 보호 조치 데이터의 상호작용 가능한 오픈소스 시각화와 지속적인 유지보수를 통해 장기적 유용성을 확보한다.

제안 방법

• 학술 및 그레이터 문헌에서 공격 벡터를 체계적으로 수집하기 위해 체계적 문헌 리뷰(SLR)를 수행하며, 이를 통해 실제 이용된 사고, 이용되지 않은 취약성, 개념 증명 기법을 포함한다.
• 공격 분류 체계를 공격 트리로 모델링하여 공급망 단계, 관련 이해관계자, 참여 시스템(예: 버전 제어, 패키지 매니저, 빌드 시스템)에 따라 벡터를 정리한다.
• 107개의 고유한 공격 벡터를 94宗 실제 사고와 33개의 보완 조치에 연결하여 추적 가능성과 실용적 관련성을 확보한다.
• 두 가지 사용자 설문 조사를 설계 및 시행한다: 17명의 전문가 대상 설문을 통해 분류 체계와 보호 조치의 완전성, 이해 가능성, 적용 가능성에 대한 검증을 수행하고, 134명의 개발자 대상 설문을 통해 보호 조치에 대한 인지도, 인식된 유용성, 실제 사용 여부를 평가한다.
• 선택 편향을 최소화하기 위해 스노우볼 샘플링을 활용하여 다양한 전문가 및 개발자 참여를 보장한다.
• 공격 트리를 온라인에서 상호작용 가능하고 오픈소스로 제공하며, 실제 사고, 공격 설명, 보호 조치 세부 정보에 대한 링크를 포함하여 공개 접근성과 지속적인 유지보수를 지원한다.

실험 결과

연구 질문

• RQ1 RQ1.1 – 프로그래밍 언어나 생태계에 종속되지 않는 OSS 공급망에 대한 포괄적인 공격 벡터 목록은 무엇인가?
• RQ2 RQ1.2 – 이러한 공격 벡터는 공격 트리와 같은 이해하기 쉽고 유용한 형식으로 어떻게 표현할 수 있는가?
• RQ3 RQ2.1 – 어떤 일반적 보호 조치가 존재하며, 각각 어떤 공격 벡터를 완화하는가?
• RQ4 RQ2.2 – 전문가 시각에서 이러한 보호 조치의 유용성과 비용은 어떠한가?
• RQ5 RQ2.3 – 실무에서 소프트웨어 개발자가 알고 있으며 실제로 사용하는 보호 조치는 무엇인가?

주요 결과

• 제안된 분류 체계는 OSS 공급망 전 단계에 걸쳐 107개의 고유한 공격 벡터를 포함하며, 17명의 전문가로부터 완전성과 이해 가능성 측면에서 검증을 통과했다.
• 공격 트리 구조는 공격 경로를 명확하게 시각화할 수 있게 하며, 94宗 실제 사고가 특정 공격 벡터에 연결되어 있어 실용적 관련성과 교육적 가치를 높인다.
• 전문가가 평가한 33개의 보호 조치는 유용성과 비용 측면에서 분석되어, OSS 프로젝트의 보안 투자 결정에 실질적인 통찰을 제공한다.
• 134명의 개발자 대상 설문 결과는 보호 조치에 대한 인지도와 사용 수준의 격차를 드러내었으며, 유용성이 인식됨에도 불구하고 적용도가 떨어지는 상황을 확인했다.
• 분류 체계의 상호작용 가능한 시각화는 https://sap.github.io/risk-explorer-for-software-supply-chains/ 에 공개되어 있어 지속적인 유지보수와 커뮤니티 참여를 지원한다.
• 이 분류 체계는 새로운 위협에 대응하기 위해 진화하도록 설계되었으며, 보안 뉴스와 문헌의 지속적 모니터링을 통해 동적인 위협 환경 속에서도 장기적인 관련성을 유지한다.