SW 품질 및 보안취약점 분석 솔루션 및 서비스 전문 기업인 한국마이크로시스템(대표 정달용, www.microsystem.kr)은 오늘, 글로벌 솔루션 기업인 시높시스(Synopsys, www.synopsys.com, (Nasdaq: SNPS))의 오픈소스 라이선스 및 보안취약점 관리 솔루션인 ‘블랙덕 허브Black Duck Hub)’를 국내에 공급한다고 밝혔다.

한국마이크로시스템은 시높시스의 국내 공식 채널로서, 시높시스가 지난해 ‘블랙덕 소프트웨어’를 인수함으로써 블랙덕의 오픈소스 라이선스 및 보안취약점 관리 솔루션인 ‘블랙덕 허브Black Duck Hub)’를 국내에 공급하게 되었다.

소프트웨어 개발에 오픈소스를 채택하는 기업이 나날이 증가하고 있다. 오픈소스는 개발 기간을 줄이고 개발 비용을 절감하는 이점이 있다. 하지만 사용하는 오픈소스 라이선스를 파악 및 관리하지 못하면 법률 소송과 손해 배상에 휘말릴 수 있는 법적 위험이 있다. 또한 오픈소스에 포함된 보안취약점을 사전에 파악하고 대응하지 못하면 개발한 소프트웨어가 해킹에 노출되는 보안 위험이 존재한다.

오픈소스 라이선스 관리 및 보안취약점 분석 솔루션 기업인 ‘블랙덕소프트웨어’를 인수한 시높시스(Synopsys)의 조사에 따르면, 오픈소스 사용 증가와 함께, 오픈소스 보안취약점도 최근 5년 간 지속적으로 증가해 왔다. 조사 대상 소프트웨어의 96%가 오픈소스를 사용하였는데, 85%가 오픈소스 라이선스 정책을 위반하여 법적 위험을 내포하고 있었다.

또한, 2017년 새롭게 발견된 오픈소스 보안취약점은 약 4,800개 이상이며, 소프트웨어당 오픈소스 보안취약점 수는 2016년 대비 최대 134%까지 증가하였다. 오픈소스를 사용하는 애플리케이션 내 보안취약점 발견율은 약 78%로, 소스코드당 평균 64개의 보안취약점이 존재하는 것으로 확인됐다. 특히, 올해 보고된 보안취약점의 발견 시점 이후 기간이 작년 대비 2년 증가한 6년으로, 점점 더 많은 보안취약점이 소스코드에 축적되어 해커의 공격 대상이 되고 있는 것으로 조사됐다.

시높시스의 오픈소스 라이선스 관리 및 오픈소스 보안취약점 분석 솔루션인 ‘블랙덕 허브Black Duck Hub)’는 200만개 이상의 오픈소스 프로젝트 데이터 베이스를 보유한 업계 1위 오픈소스 소프트웨어(OSS) 분석 솔루션으로서, 8만여 보안 취약점 및 2,400여 오픈소스 라이선스 분석을 수행했다.

블랙덕 허브는 고객이 자체 개발한 소스코드로부터 오픈소스 라이선스 식별, 식별된 오픈소스를 기존에 알려진 보안취약점과 자동 맵핑, 라이선스 준수 및 컴포넌트 품질 위험도 분석, 정책 위반 표기 및 조치 프로세스 트래킹, 오픈소스 소프트웨어 관리 정책 설정 및 실행, 데브옵스 환경과 오픈소스 소프트웨어 관리 통합, 식별된 새로운 보안취약점 지속적인 모니터링을 지원한다.

블랙덕 허브는 개발부서, 법무부서, 보안부서가 서로 협업하여, 애플리케이션 포트폴리오 전반에 걸친 오픈소스 라이선스 법적 위험과 오픈소스 보안 위협을 식별하고 완화할 수 있도록 지원하여 업무 효율성 및 전체 IT 인프라의 보안성을 크게 높일 수 있다.

블랙덕 허브 (Black Duck Hub)의 주요 기능은 다음과 같다.

-오픈소스 라이선스 탐지: 2백만 오픈소스 프로젝트와 2,400 여 라이선스를 분석한 데이터베이스를 기반으로, 개발 또는 양산 중인 소프트웨어에서 사용된 오픈소스 라이선스를 자동 식별하고, 라이선스 준수 수준을 분석한다.

-보안보약점 탐지: 80,000 보안취약점에 대한 데이터베이스를 기반으로, 소프트웨어에 포함된 보안취약점을 탐지하여, 컴포넌트별 품질 위험도를 분석한다.

-오픈소스 정책 관리: 오픈소스 사용 및 보안 정책을 자동으로 설정 및 시행할 수 있으며, 보안 분석 일정 스케줄링 및 트래킹 기능을 지원한다.

-DevOps 연동을 통한 자동화: DevOps 연동을 통하여, 개발과 운영 전분야에서 오픈소스 라이선스 및 보안 취약점 분석을 자동화한다.

-새로운 보안취약점 모니터링: 개발 및 양산 과정 중에도 새로운 보안취약점을 지속적으로 모니터링한다.

한국마이크로시스템 김상모 이사는 “오픈소스는 어디서나 사용되므로, 자체 개발한 소스코드에 유입될 수 있는 경로 또한 다양하다. 애플리케이션 보안을 잠재적인 보안취약점으로부터 보호하기 위해서는 오픈소스 사용 현황, 업데이트 진행 현황, 정책 준수 여부 등을 구체적으로 점검해 볼 필요가 있다”라고 말하고, “블랙덕 허브는 실시간으로 오픈소스 소프트웨어의 보안 취약점에 빠르게 대응할 수 있고 라이선스 및 정책 관리까지 통합 관리할 수 있는 업계 대표 솔루션이다”라고 말했다.