다섯 살도 알 수 있게 · 보안
공급망 공격이 뭐예요?
공급망 공격(Supply Chain Attack)을 벽은 튼튼한데 목수가 마을에서 사 온 연장통 속에 벌레가 미리 들어 있던 이야기로 풀어봤어요.
우리 벽은 튼튼해요. 그런데 목수님은 언제나 어서 오세요예요.목수는 매달 판자를 들고 와요. 아는 얼굴이라 성문이 활짝 열려요. 연장통은 아무도 안 열어봐요.
연장통 안에 벌레가 미리 들어 있었어요. 대장간이 털린 거예요.도둑은 우리 벽을 뚫지 않았어요. 목수가 늘 사던 마을 대장간에 몰래 들어가 벌레를 넣어 뒀어요. 목수는 몰라요.
공급망 공격은 목수의 연장통에 숨어 들어온 벌레예요.벌레는 성문으로 안 와요. 우리가 믿는 사람의 짐에 실려 와요. 대장간 하나가 털리면 거기서 사는 성 모두가 위험해요.
부품 목록표연장통에 뭐가 들었는지
봉인 확인대장간 도장이 그대로인지
대장간도 검사사 오는 곳도 살펴요
모래 방에서 먼저새 연장통은 빈 방에서 열어요
믿더라도, 열어 보고 믿어요.부품 목록표로 안에 뭐가 들었는지 알고, 지문처럼 봉인이 그대로인지 보고, 새 연장통은 창문 없는 빈 방에서 먼저 열어요.
봉인이 다르면 연장통은 성문 밖에서 멈춰요.목수는 여전히 우리 친구예요 — 잘못한 건 대장간을 턴 도둑이에요. 망루 친구가 "서쪽 대장간이 털렸대요" 하고 알려주면 성마다 연장통을 확인해요.
한 줄로
공급망 공격 = 우리 벽을 뚫는 대신, 우리가 믿고 사 오는 대장간을 털어 연장통 속에 벌레를 미리 넣어 두는 것. 막으려면 목록표, 봉인, 대장간 검사, 모래 방이 필요해요.
Supply Chain Attack. 조직이 직접 공격받는 대신, 사용하는 소프트웨어·부품·업데이트·서비스를 만드는 공급업체(벤더, 오픈소스 프로젝트)가 먼저 침해되어 그 경로로 악성 코드가 들어오는 공격이에요. SBOM, 코드 서명 검증, 벤더 평가, 샌드박스 검사로 대비해요.
어른들은 이렇게 불러요
- 연장통 속 벌레
Supply chain attack - 믿는 사람의 짐에 실려 오는 벌레. 우리 벽이 아니라 대장간이 뚫린 거예요. 문지기는 아는 얼굴을 의심하지 않아요.
- 대장간
Third party / vendor - 목수가 연장을 사 오는 곳. 우리 성 밖에 있지만 우리 성 안에 들어오는 물건을 만들어요. 그래서 대장간의 안전이 곧 우리 안전이에요.
- 봉인
Code signing - 대장간이 찍은 도장. 도장이 깨졌거나 다르면 누가 손댄 거예요. → 물건마다 찍는 지문, 봉인 편지
- 부품 목록표
SBOM (Software Bill of Materials) - 연장통에 뭐가 들었는지 적은 종이. "서쪽 대장간 털림" 소식이 오면 어느 연장통을 봐야 할지 바로 알아요. → 도구에 붙은 부품 목록표
- 가짜 판자 배달
Update hijacking - 목수가 보낸 판자인 척. 매달 오는 판자 배달을 도둑이 가로채 벌레 든 판자를 보내요. → 목수가 보낸 판자
- 마을에서 얻어온 부품
Open-source dependency - 누구나 쓰는 공짜 못과 나사. 연장통의 부품 대부분은 목수가 만든 게 아니라 마을에서 얻어와요. 하나가 썩으면 그걸 쓴 연장통이 다 위험해요.
- 대장간 검사
Vendor assessment - 사 오는 곳도 가끔 살피기. 대장간에 자물쇠는 있는지, 밤에 누가 지키는지 물어봐요. 대답 못 하는 대장간에선 안 사요.
- 실제 있었던 일
SolarWinds (2020) - 판자 하나에 실린 벌레가 성 수천 곳으로. 많은 성이 쓰는 도구의 정기 업데이트에 벌레가 실려 나가, 한 번에 수천 곳이 열렸어요.
다음 이야기
어느 문부터 지킬지 정하는 저울 →