옵스왓, N2SF 대응 SW공급망 보안 플랫폼 발표

인섹시큐리티서 유통...SW 개발·배포부터 검증

미국 플로리다주 탬파(Tampa)에 본사가 있는 보안기업 옵스왓(OPSWAT)이 국가망 보안체계(National Network Security FRAMEwork, N²SF) 전환에 대응, 소프트웨어 공급망 보안부터 파일 전송, 망간 데이터 이동까지 아우르는 ‘소프트웨어 공급망 통합 보안 플랫폼’을 발표했다.

국내 디지털포렌식 악성코드 및 침해사고 분석 대응 전문기업 인섹시큐리티(대표 김종광)가 유통을 담당한다.

국가 망 보안체계(N²SF)는 국가·공공기관의 업무 정보를 중요도에 따라 기밀·민감·공개 정보로 분류하고, 정보의 중요도와 위험 수준에 따라 차등적인 보안 통제를 적용하는 보안체계다. 생성형 AI와 클라우드 등 새로운 업무 환경이 확산하면서 기존의 물리적인 망분리 중심 보안에서 벗어나 데이터와 업무 특성, 위험 수준에 따라 보안 통제를 적용하는 방식이 중요해졌다.

한국인터넷진흥원(KISA) 역시 2026년 N²SF 도입 지원사업을 추진하며 실제 업무환경에서의 적용을 지원하고 있다. 이에 따라 서로 다른 보안 영역 간 데이터와 소프트웨어의 이동이 증가하는 환경에서는 단순히 네트워크를 분리하는 것뿐 아니라, 이동하는 파일과 소프트웨어의 안전성을 검증하고 악성코드와 민감정보가 보안 경계를 넘어가지 않도록 통제하는 기술이 중요해졌다.

옵스왓은 소프트웨어 공급망 영역은 '메타디펜더 소프트웨어 공급망((MetaDefender Software Supply Chain)'을 통해 소프트웨어 개발·빌드·배포 전 과정에서 무결성, 취약점, 악성코드, 비밀정보 및 오픈소스 구성요소 등을 검증한다.

최근 소프트웨어 개발환경은 오픈소스 소프트웨어(OSS)와 외부 구성요소 활용이 확대되고 있으며, 소프트웨어 저장소, 컨테이너, CI/CD 파이프라인 등을 기반으로 개발·빌드·배포가 이뤄지고 있다. 이에 따라 최종 소프트웨어뿐 아니라 개발 과정에서 사용하는 구성요소와 코드, 저장소, 컨테이너 및 빌드·배포 과정 전반에 대한 보안 검증이 필요하다.

이에 SW 공급망 보안은 'SCA + 악성코드 검사 + 악성 패키지 분석 + 보안 정책 기반 차단 (Policy Enforcement)'을 함께 적용해야한다는게 옵스왓 판단이다.

'메타디펜더 소프트웨어 공급망'은 멀티 안티바이러스 검사(Multi A/V), 소프트웨어 자재 명세서(SBOM), 취약점 진단(Vulnerability Assessment), 비밀정보 탐지(Secrets Detection), 라이선스 검사(License Inspection) 등을 결합해 소프트웨어 공급망 전반의 위험을 관리할 수 있게 지원한다.

주요 기능은 ▲소프트웨어 취약점 및 종속성 탐지 ▲멀티 안티바이러스 검사(Multi A/V)를 통한 악성코드 탐지·차단 ▲소프트웨어 자재 명세서(SBOM) 생성 및 구성요소 추적 ▲소스코드 내 개인정보 및 민감정보 탐지 ▲소프트웨어 저장소(Repository) 위험요소 검사 ▲컨테이너 악성코드 및 위험요소 검사 ▲CI/CD 파이프라인 위험 탐지 및 빌드·배포 제어 ▲라이선스 위반 검사 등이다.

또 옵스왓의 교차 도메인 솔루션(CDS, Cross-Domain Solution)은 서로 다른 신뢰 수준 또는 보안 등급을 가진 네트워크 간 데이터 이동을 통제하기 위한 솔루션 아키텍처다. 통합 악성코드 대응 플랫폼인 메타디펜더(MetaDefender)의 위협 방지 기술과 데이터 다이오드(Data Diode), 보안 게이트웨이 및 정책 기반 통제 기능 등을 결합해 데이터 반입·반출 과정에서 보안 검증과 통제를 적용할 수 있다.

특히 데이터 이동 과정은 정책(Policy), 필터링(Filtering), 감사(Audit)의 단계로 관리할 수 있다. 정책(Policy) 단계에서는 사용자 인증, 안전한 자료 전송, 저장·전송 과정의 암호화, 사용자·부서·업무별 전송 권한 및 관리자 승인 등을 적용한다. 필터링(Filtering) 단계에서는 멀티 안티바이러스 검사(Multi A/V), 콘텐츠 무해화 및 재구성(Deep CDR), 샌드박스(Sandbox), 파일 기반 취약점 평가 등을 통해 악성코드 유입을 차단하고, 선제적 데이터 유출 방지(Proactive DLP)를 통해 개인정보와 기밀정보 등 민감정보의 유출을 방지한다. 감사(Audit) 단계에서는 보안 검사 및 로그, 무결성, 실시간 모니터링 등을 통해 파일 이동 과정에 대한 가시성과 추적성을 확보할 수 있다고 회사는 설명했다.