구글, 공급망 공격 방지 솔루션 공개

전방위 보안 도구툴 ‘소프트웨어 딜리버리 쉴드’ 공개

구글이 기업에 막대한 피해를 입히는 공급망 공격을 막기 위한 보안 솔루션을 공개했다.

11일(현지시간) 구글 클라우드는 보안 솔루션 ‘소프트웨어 딜리버리 쉴드(SDS)’를 구글 클라우드 넥스트 컨퍼런스에서 공개했다.

SDS는 사이버공격으로부터 종단 간 소프트웨어 공급망을 보호하기 위한 완전 관리형 보안 솔루션이다.

공급망 공격 방지툴 '소프트웨어 딜리버리 솔루션' (이미지=구글)

어디를 통해 침투할 지 모르는 만큼 개발자와 데브옵스 및 보안 팀 등 각 분야에서 안전한 보안 환경을 구축하고 모니터링하는데 필요한 다양한 보안 도구를 제공한다. GKE, 클라우드 코드, 클라우드 빌드, 클라우드 빌드, 아티팩트 레지스트리, 바이너리 인증 등으로 이뤄져 있다.

SDS는 애플리케이션 개발, 소프트웨어 공급, CI/CD, 프로덕션 환경 및 정책 등 소프트웨어 공급망을 따라 보안 문제를 해결하기 위한 5가지 영역을 포함한다. 점진적인 채택 경로를 허용해 기존 환경 및 보안 우선 순위에 따라 시작할 기본 도구를 선택하여 요구 사항에 맞춰 솔루션을 조정 가능하다.

클라우드 워크스테이션은 개발 단계부터 소프트웨어를 보호할 수 있도록 구현된 웹기반 개발 환경이다. 언제 어디서나 빠르고 안전하게 접근할 수 있으며, 사용자 지정도 가능하다.

오픈 소스 보안을 전반적으로 강화하기 위해 신뢰할 수 있는 오픈소스만 묶어 패키지로 제공하는 어슈어드 오픈소스 소프트웨어(어슈어드OSS)도 제공한다. 어슈어드OSS는 구글 보안팀에서 정기적으로 취약점을 검사해 보다 안전하게 오픈스를 사용할 수 있도록 지원한다. 현재 250개 이상 자바 및 파이썬 선별된 패키지가 제공됐다.

해커의 CI/CD 파이프라인 공격을 막기 위한 완전관리형 CD플랫폼 클라우드 빌드와 클라우드 디플로이도 선보인다.

두 플랫폼은 세분화된 IAM 제어, VPC 서비스 제어, 격리 및 임시 환경, DevOps 팀이 빌드 및 배포 프로세스를 더 잘 관리할 수 있도록 지원하는 승인 게이트와 같은 보안 기능이 내장돼 있다.

이 밖에도 SDS는 전체 공급망 간에 신뢰 체인을 설정해 유지 및 확인하는 데 도움이 되는 신뢰 기반 정책 엔진을 제공한다.

공급망 공격은 소프트웨어를 배포하거나 업데이트하는 과정에 침투해, 파일을 변조하거나 악성코드를 숨기는 방식이다. 변조된 파일은 탐지가 어렵고 한 번에 대규모 유포가 가능해 피해 규모가 크다.

지난해 미국 정부 기관과 수많은 고객이 악성코드에 감염된 솔라윈즈, 카세야 보안 사고가 공급망 공역이었다.

공급망 공격이 전세계 사이버 보안 위협으로 떠오르면서 마이크로소프트(MS)와 구글 등 주요 IT 기업은 보안 문제 개선에 앞장서고 있다.