Log4j 취약점 위협 사태가 장기화할 것으로 전망됐다. 소프트웨어 전 사용주기(SDLC)에 보안 강화도 필수로 제기됐다.
과학기술정보통신부는 한국인터넷진흥원은 26일 이 같은 내용의 '2021년 사이버위협 분석과 2022년 사이버위협 전망'을 발표했다.
과기정통부는 'Log4j 취약점 위협 장기화와 공급망 보안위협'을 새해 주요 사이버 위협으로 손꼽았다.
Log4j 취약점이 광범위하고 식별이 쉽지 않은 데다 직접 개발하지 않은 외부 구매제품의 경우 해당 업체가 보안업데이트를 제공해야 해 문제 해결에 상당 기간이 소요될 것으로 예상했다.
Log4j란 프로그램 동작 과정에서 일어나는 일련의 기록을 남기기 위해 이용하는 오픈소스(무료) 프로그램으로 자바 프로그램 특성상 압축 파일안에 또 다른 압축파일 등 여러 단계로 구성돼 하위단계에 있는 Log4j의 사용여부를 파악하는데 많은 시간, 자원이 필요하다.
과기정통부는 Log4j 취약점 사태로 소프트웨어공급망 보안 중요성이 부각되면서 소프트웨어 개발부터 유지관리까지 수요자 측면에서 소프트웨어 전반적인 사용주기에 보안 강화가 필요하다고 진단했다.
과기정통부는 또 △다양한 IoT 기기 대상 사이버위협 증가 △끝나지 않는 랜섬웨어와의 싸움 △디지털 대전환 핵심 인프라, 클라우드 보안 위협 증가 △메타버스, NFT, AI 등 신기술 대상 신종 위협 발생 △사회적 이슈를 악용한 스미싱, 해킹메일 지속 등도 대비해야 할 사이버 위협으로 제시했다.
AI 스피커, 스마트 TV, IP카메라 등 알려진 IoT 기기 외에 드론, 스마트카 등 새로운 연결기기에 대한 보안위협이 늘어나고 추적이 어려운 가상자산의 활성화와 서비스형 랜섬웨어 등장으로 랜섬웨어 범죄 생태계의 성장을 촉진, 위협이 지속될 것으로 분석했다.
정보통신환경이 클라우드 기반으로 전환되면서 보안 위협 또한 증가하고 메타버스, NFT, AI 등 신기술 대상 취약점을 악용한 새로운 유형의 신종 사이버위협이 발생할 것으로 예상했다. 자율주행 자동차의 사물/교통신호/차로 인식기능을 방해하거나, 인공지능의 성능을 떨어뜨리기 위해 오류가 있는 데이터 지속 입력하는 공격 등을 예로 들었다.
코로나19 지속과 정치적 상황 등 사회적 이슈를 악용한 스미싱, 해킹메일 유포를 통해 개인정보를 탈취하고 탈취 정보를 바탕으로 지능화된 보이스 피싱 등 전기통신금융사기도 지속될 것으로 전망했다.
홍진배 과기정통부 정보보호네트워크정책관은 “Log4j 취약점이 해결이 장기화될 조짐과 사회적 이슈를 악용한 스미싱 범죄 지속, 메타버스 등 신기술 대상으로 신종 위협의 출현 등 사이버환경이 악화될 가능성이 높다”며 “정부는 진화하는 사이버위협에 선제적으로 대응하기 위해 'K-사이버방역 추진전략' 시행과 '랜섬웨어 대응 강화 방안' 등을 추진할 것”이라고 덧붙였다.
최호기자 snoop@etnews.com
