'SW, 완성도는 높이고 위험도는 최소화'
개발SW 오류ㆍ취약성 분석해 사전조치
글로벌기업 중심 도구ㆍ기술ㆍ방법론 투자 확대
화이트ㆍ블랙ㆍ그레이박스 방식 분류… 특성달라
동적분석 일환인 '결함주입' 방식 많이 채택돼
IT기술이 급속하게 발전하면서 소프트웨어(SW)는 우리 일상생활에서 어디에서나 쉽게 접하고 활용할 수 있는 도구가 됐습니다. 여행 및 출장에 자주 이용하는 비행기는 자동항법장치와 비행관제시스템의 통제를 통해 운영되고 자동차는 교통통제 제어시스템에 의해 신호에 따라 운행됩니다. 또 출ㆍ퇴근 시 많이 이용하는 지하철도 통제시스템에 의해 승객들을 실어 나르고 있습니다.
이러한 사람들의 삶을 편리하게 하는 기반 시설들의 시스템들은 SW에 의해 운영되는 것으로 어떻게 보면 SW는 우리 생활 전반을 관리하고 지원하는 것을 넘어서 통제하고 조종하는 역할까지 수행한다고 할 수 있습니다. 지난해 개봉했던 몇몇 블록버스터 영화들에서는 컴퓨터 해킹에서부터 제어장치 오류를 이용해 사회기반을 마비시키는 내용을 주로 다룬 바 있는데, 이는 사용 범위가 확대되면서 그 위험성이 커지고 있는 SW의 오류 및 취약성과 직접 연관돼 있습니다.
이에 글로벌 기업들을 중심으로 SW의 안전성을 향상시키기 위해 많은 예산과 인력을 투입하는 한편 다양한 분석도구와 기술을 활용하는 등 적극 대응하고 있습니다. 최근에는 개발 과정에서부터 안전한 SW 개발 방법론을 적용, 발생 가능한 보안 위협을 최소화하기 위한 노력을 기울이고 있습니다. 오늘은 현재 활용되고 있는 SW 안정성 분석방법에 대해서 알아보도록 하겠습니다.
◇다양한 SW안전성 분석기법=SW안전성 분석 기법은 크게 화이트박스 테스팅(white box testing)과 블랙박스 테스팅(black box testing)으로 나눌 수 있습니다. 화이트박스 테스팅은 분석 대상이 되는 SW의 소스코드를 대상으로 취약성이 발생 가능한 패턴을 분석, 버퍼오버플로우 및 포맷스트링 취약점 등을 점검함으로써 SW가 적절하게 데이터를 처리하는지를 점검하는 방식입니다.
반면 블랙박스 테스팅은 SW의 입력부에 데이터를 주입하고 SW의 동작을 모니터링하는 방법을 통해 안전성을 점검합니다. 블랙박스 테스팅은 소스코드가 반드시 필요 없으며 화이트박스 테스팅이 발견하지 못하는 예외상황을 유발시킬 수 있으나 성공적인 안전성분석을 위해 다양한 형태의 테스팅을 수행해야 하기 때문에 막대한 시간과 비용이 소요됩니다. 따라서 효율적인 테스팅을 위해 자동화된 안전성 분석도구가 이용되고 있으며 이와 관련된 원천기술개발을 위한 연구들이 진행되고 있습니다.
SW의 안전성을 분석하기 위해서는 분석 대상 SW가 제공해주는 자원의 수준에 따라 분석 방법을 결정하는데 실행프로그램만 제공되는 경우에는 블랙박스 테스팅을, 소스코드가 제공되는 경우에는 화이트박스 테스팅을 수행할 수 있습니다. 때문에 SW 개발자 입장에서는 화이트 박스 테스팅과 블랙박스 테스팅 모두 적용이 가능한 것이지요. 최근에는 블랙박스 테스팅과 리버스 엔지니어링(reverse engineering) 기술을 접목한 그레이박스 테스팅(gray box testing)이 등장, 보다 정확한 분석을 위한 도구로 사용되고 있습니다. ▶
◇가장 대표적인 화이트박스와 블랙박스 테스팅=소스코드를 대상으로 실행되지 않는 환경에서 분석을 수행해 정적 분석(static analysis)이라고 불리는 화이트박스 테스팅은 분석가가 코드리뷰를 통해 수행하기도 하나 일반적으로 PREfast, Flawfinder, ITS4, RATS 등의 정적분석 도구를 활용합니다. 화이트박스 테스팅은 소스코드를 대상으로 발생 가능한 모든 경우에 대해 수행, 분석 범위가 넓어 상대적으로 많은 취약 요소들을 발견할 수 있다는 장점이 있습니다.
그러나 정적분석 도구들을 통해 분석된 결과는 수많은 오류 메시지를 산출, 보안전문가가 각각의 오류 메시지에 대한 진위여부를 판단해야 하기 때문에 상당한 비용 부담이 필요하다는 것이 단점입니다. 이 때문에 오류 메시지의 정확도를 향상시키는 것이 정적분석 연구 분야의 가장 중요한 요소로 부각되고 있으며 이에 대한 연구도 다양하게 진행되고 있습니다.
블랙박스 테스팅은 실행프로그램을 대상으로 외부의 입력부에 다양한 입력을 주입해 프로그램을 동적으로 분석한다고 해서 동적분석 또는 강건성 테스팅(robustness testing)으로 칭해지기도 합니다. 이 기법은 실행프로그램의 외부에 노출된 응용프로그램인터페이스(API)ㆍ네트워크ㆍ파일ㆍ사용자 인터페이스(UI) 등에 대해 프로그램이 예상치 못한 다양한 값을 입력, 안전성을 점검합니다. 동적분석은 프로그램을 실질적으로 구동하면서 취약점을 분석한다는 점에서 정적분석에 비해 정확성을 높일 수 있다는 장점이 있으나 실행에 따른 실제 분석에 시간이 많이 소요되는 데다 발생 가능한 모든 경우를 점검했는지 여부를 인지하기 어렵다는 단점이 있습니다.
현재 마이크로소프트(MS) 등 SW 개발업체들이 보다 안전한 시스템 개발과 SW의 품질 향상을 위해 동적분석의 일환인 결함주입 분석을 많이 활용하고 있습니다. 결함주입 분석의 절차는 우선 결함을 주입할 대상 프로그램의 외부 인터페이스 선택하고, 선택된 외부 인터페이스에 결함을 유발할 수 있는 데이터를 주입해 결과 값 및 이상현상을 모니터링 하는 방식입니다.
이홍석기자 redstone@
개발SW 오류ㆍ취약성 분석해 사전조치
글로벌기업 중심 도구ㆍ기술ㆍ방법론 투자 확대
화이트ㆍ블랙ㆍ그레이박스 방식 분류… 특성달라
동적분석 일환인 '결함주입' 방식 많이 채택돼
IT기술이 급속하게 발전하면서 소프트웨어(SW)는 우리 일상생활에서 어디에서나 쉽게 접하고 활용할 수 있는 도구가 됐습니다. 여행 및 출장에 자주 이용하는 비행기는 자동항법장치와 비행관제시스템의 통제를 통해 운영되고 자동차는 교통통제 제어시스템에 의해 신호에 따라 운행됩니다. 또 출ㆍ퇴근 시 많이 이용하는 지하철도 통제시스템에 의해 승객들을 실어 나르고 있습니다.
이러한 사람들의 삶을 편리하게 하는 기반 시설들의 시스템들은 SW에 의해 운영되는 것으로 어떻게 보면 SW는 우리 생활 전반을 관리하고 지원하는 것을 넘어서 통제하고 조종하는 역할까지 수행한다고 할 수 있습니다. 지난해 개봉했던 몇몇 블록버스터 영화들에서는 컴퓨터 해킹에서부터 제어장치 오류를 이용해 사회기반을 마비시키는 내용을 주로 다룬 바 있는데, 이는 사용 범위가 확대되면서 그 위험성이 커지고 있는 SW의 오류 및 취약성과 직접 연관돼 있습니다.
이에 글로벌 기업들을 중심으로 SW의 안전성을 향상시키기 위해 많은 예산과 인력을 투입하는 한편 다양한 분석도구와 기술을 활용하는 등 적극 대응하고 있습니다. 최근에는 개발 과정에서부터 안전한 SW 개발 방법론을 적용, 발생 가능한 보안 위협을 최소화하기 위한 노력을 기울이고 있습니다. 오늘은 현재 활용되고 있는 SW 안정성 분석방법에 대해서 알아보도록 하겠습니다.
◇다양한 SW안전성 분석기법=SW안전성 분석 기법은 크게 화이트박스 테스팅(white box testing)과 블랙박스 테스팅(black box testing)으로 나눌 수 있습니다. 화이트박스 테스팅은 분석 대상이 되는 SW의 소스코드를 대상으로 취약성이 발생 가능한 패턴을 분석, 버퍼오버플로우 및 포맷스트링 취약점 등을 점검함으로써 SW가 적절하게 데이터를 처리하는지를 점검하는 방식입니다.
반면 블랙박스 테스팅은 SW의 입력부에 데이터를 주입하고 SW의 동작을 모니터링하는 방법을 통해 안전성을 점검합니다. 블랙박스 테스팅은 소스코드가 반드시 필요 없으며 화이트박스 테스팅이 발견하지 못하는 예외상황을 유발시킬 수 있으나 성공적인 안전성분석을 위해 다양한 형태의 테스팅을 수행해야 하기 때문에 막대한 시간과 비용이 소요됩니다. 따라서 효율적인 테스팅을 위해 자동화된 안전성 분석도구가 이용되고 있으며 이와 관련된 원천기술개발을 위한 연구들이 진행되고 있습니다.
SW의 안전성을 분석하기 위해서는 분석 대상 SW가 제공해주는 자원의 수준에 따라 분석 방법을 결정하는데 실행프로그램만 제공되는 경우에는 블랙박스 테스팅을, 소스코드가 제공되는 경우에는 화이트박스 테스팅을 수행할 수 있습니다. 때문에 SW 개발자 입장에서는 화이트 박스 테스팅과 블랙박스 테스팅 모두 적용이 가능한 것이지요. 최근에는 블랙박스 테스팅과 리버스 엔지니어링(reverse engineering) 기술을 접목한 그레이박스 테스팅(gray box testing)이 등장, 보다 정확한 분석을 위한 도구로 사용되고 있습니다. ▶
◇가장 대표적인 화이트박스와 블랙박스 테스팅=소스코드를 대상으로 실행되지 않는 환경에서 분석을 수행해 정적 분석(static analysis)이라고 불리는 화이트박스 테스팅은 분석가가 코드리뷰를 통해 수행하기도 하나 일반적으로 PREfast, Flawfinder, ITS4, RATS 등의 정적분석 도구를 활용합니다. 화이트박스 테스팅은 소스코드를 대상으로 발생 가능한 모든 경우에 대해 수행, 분석 범위가 넓어 상대적으로 많은 취약 요소들을 발견할 수 있다는 장점이 있습니다.
그러나 정적분석 도구들을 통해 분석된 결과는 수많은 오류 메시지를 산출, 보안전문가가 각각의 오류 메시지에 대한 진위여부를 판단해야 하기 때문에 상당한 비용 부담이 필요하다는 것이 단점입니다. 이 때문에 오류 메시지의 정확도를 향상시키는 것이 정적분석 연구 분야의 가장 중요한 요소로 부각되고 있으며 이에 대한 연구도 다양하게 진행되고 있습니다.
블랙박스 테스팅은 실행프로그램을 대상으로 외부의 입력부에 다양한 입력을 주입해 프로그램을 동적으로 분석한다고 해서 동적분석 또는 강건성 테스팅(robustness testing)으로 칭해지기도 합니다. 이 기법은 실행프로그램의 외부에 노출된 응용프로그램인터페이스(API)ㆍ네트워크ㆍ파일ㆍ사용자 인터페이스(UI) 등에 대해 프로그램이 예상치 못한 다양한 값을 입력, 안전성을 점검합니다. 동적분석은 프로그램을 실질적으로 구동하면서 취약점을 분석한다는 점에서 정적분석에 비해 정확성을 높일 수 있다는 장점이 있으나 실행에 따른 실제 분석에 시간이 많이 소요되는 데다 발생 가능한 모든 경우를 점검했는지 여부를 인지하기 어렵다는 단점이 있습니다.
현재 마이크로소프트(MS) 등 SW 개발업체들이 보다 안전한 시스템 개발과 SW의 품질 향상을 위해 동적분석의 일환인 결함주입 분석을 많이 활용하고 있습니다. 결함주입 분석의 절차는 우선 결함을 주입할 대상 프로그램의 외부 인터페이스 선택하고, 선택된 외부 인터페이스에 결함을 유발할 수 있는 데이터를 주입해 결과 값 및 이상현상을 모니터링 하는 방식입니다.
이홍석기자 redstone@
