시프트 레프트 보안이란 무엇인가요?

2026 X-Force Threat Intelligence Index에 따르면, 취약점 악용은 IBM X-Force 팀이 관찰한 인시던트의 40%를 차지하며 사이버 공격의 주요 원인으로 꼽혔습니다. IBM 사이버보안 서비스 글로벌 매니징 파트너 Mark Hughes는 Threat Intelligence Index 보도자료에서 "보안 리더들은 보다 선제적인 접근 방식으로 전환해야 한다"고 말했습니다. 시프트 레프트 전략은 사이버 보안을 사후 대응에서 선제적 모드로 전환하여, 나중에 고려하는 사항이 아닌 우선순위로 끌어올립니다.밀

보안을 개발 초기 단계로 옮기는 것은 안전한 소프트웨어 개발 수명주기(SSDLC)에 내장되어 소프트웨어 개발의 모든 단계에 보안을 통합하는 것을 의미합니다. 또한 애플리케이션 보안(AppSec)과 인프라 보안을 DevOps 프로세스에 자동으로 통합하는 DevSecOps의 주요 모범 사례이기도 합니다.

보안을 초기 단계에서부터 감지하는 시프트 레프트 방식은 보안 위험을 줄이고, 위험이 커지기 전에 조기에 발견하는 데 도움이 됩니다. 다음과 같은 핵심 사례로 구성됩니다.

• 위협 모델링

• 보안 코딩

• 보안 테스트

• CI/CD 통합

• 코드형 보안

위협 모델링은 설계 단계에서 이루어집니다. 여기에는 시스템에 대한 잠재적인 위협을 식별 및 평가하고 이를 완화하거나 예방하기 위한 조치를 설명하는 것이 포함됩니다.

이 프로세스는 시스템 아키텍처를 분석하고, 액세스 포인트를 찾고, 데이터 흐름을 매핑하는 것으로 시작됩니다. 다음으로 위협의 심각도에 따라 순위를 매겨 우선순위를 결정합니다. 그 후에는 위협을 관리하기 위한 제어 또는 보호 장치가 마련됩니다. 그 결과로 생성된 위협 모델은 SDLC 전반에 걸쳐 개선될 수 있습니다.

위협 모델링에는 STRIDE 방법론과 MITRE ATT&CK 프레임워크 등 다양한 기법이 포함됩니다. OWASP(Open Worldwide Application Security Project)에서 위협 모델링에 대한 더 자세한 지침을 제공합니다.

보안 코딩 관행에는 사이버 공격에 대한 소스 코드를 강화하는 방어적 프로그래밍 전략이 포함됩니다. 그 예는 다음과 같습니다.

• 코드 검토의 일부로 보안 추가

• 인증 및 권한 부여를 통해 개체의 신원을 확인하고 적절한 수준의 접근 권한을 부여

• SQL 주입 공격을 방지하기 위해 매개변수화된 쿼리와 준비된 문을 결합

• 강력한 로깅 및 안전한 오류 처리 메커니즘

• 서버 측 입력 유효성 검사 및 정제, 인젝션 공격 방지를 위한 아웃풋 인코딩

• 데이터 가용성, 기밀성 및 무결성을 보호하기 위한 강력한 암호화 프로토콜

종합적인 보안 테스트를 통해 소스 코드에 내장된 보안 조치를 검증합니다. 코드 커버리지와 코드 품질 향상을 목표로 하는 시프트 레프트 테스트와 달리, 보안 테스트는 애플리케이션 전체에 초점을 맞춰 보안 문제를 찾아냅니다.

보안 테스트의 일반적인 유형은 다음과 같습니다.

• 정적 애플리케이션 보안 테스트(SAST): '화이트 박스' 테스트라고도 하는 SAST는 애플리케이션을 실행하지 않고 코드를 스캔합니다. 사전 정의된 규칙을 적용하여 보안 결함에 플래그를 지정합니다.

• 동적 애플리케이션 보안 테스트(DAST): 블랙 박스 테스트라고도 하는 DAST는 실행 중인 앱을 평가합니다. 이 시스템은 실제 위협 행위자를 모방하기 위해 모의 공격을 사용합니다.

• 대화형 애플리케이션 보안 테스트(IAST): IAST는 코드 컨텍스트와 런타임 동작을 모두 평가하여 실시간으로 취약점을 보고합니다.

이러한 방법을 결합하여 발생 가능한 취약점을 보다 전체적으로 파악할 수 있습니다.

보안 자동화는 지속적 통합/지속적 배포(CI/CD)에 통합될 수 있습니다. CI/CD 파이프라인에 보안을 통합하는 기술은 다음과 같습니다.

• 개발자가 풀 요청을 시작하고 하드코딩된 시크릿(예: API 키, 연결 문자열 및 기타 자격 증명)이 포함된 변경 사항을 차단하기 전에 시크릿 스캔이 필요한 사전 커밋 후크 구현

• 코드형 인프라(IaC)에서 잘못된 구성 검색

• 프로덕션 환경에 배포되기 전에 노출된 시크릿을 찾아내기 위해 아티팩트, 빌드 로그 및 환경 변수에 대한 시크릿 탐지 기능을 제공합니다.

• 오픈소스 라이브러리와 구성 요소를 검사하고 소프트웨어 구성 요소 명세서(SBOM)를 생성한 다음, 이를 알려진 보안 취약점 데이터베이스와 비교하는소프트웨어 구성 분석(SCA)을 수행합니다.

• 클라우드 네이티브 애플리케이션 컨테이너 이미지에 대한 취약점 검사

정책을 코드로 관리하는 것과 마찬가지로, 보안을 코드로 관리하는 것은 보안 규칙과 정책을 실행 가능한 논리로 취급하는 것입니다. 개발자는 코드 변경 사항을 커밋하기 전에 자동화된 검사를 실행하여 보안 규칙 및 정책을 준수하는지 확인할 수 있습니다.

코드형 보안은 소프트웨어 엔지니어링 팀이 코드를 관리할 때 사용하는 것과 동일한 버전 관리 시스템에 존재합니다. 따라서 코드 기반 보안 정책을 반복 가능하고 확장 가능한 방식으로 광범위하게 적용할 수 있으며, 모든 업데이트를 쉽게 검토하고 추적할 수 있습니다.

시프트 레프트 보안은 조직의 공격 표면을 줄이면서 소프트웨어 품질을 유지하는 데 도움이 됩니다. 기업이 시프트 레프트 보안을 채택하면 다음과 같은 이점을 얻을 수 있습니다.

• 팀 문화 향상

• 고객 만족도 향상

• 비용 절감

• 더 빠른 출시

시프트 레프트 보안은 개발자, DevOps 및 보안 팀 간의 협업을 촉진합니다. 보안 지식과 모범 사례를 공유하여 정보 사일로를 제거합니다. 그리고 보안 목표에 동의하며, 더욱 안전한 소프트웨어를 구축하기 위해 협력합니다.

개발 수명 주기 초기에 보안을 도입하면 주요 익스플로잇이 운영 환경에 도달해 사용자에게 부정적인 영향을 미치는 것을 방지할 수 있습니다. 또한 보안 침해에 대한 긴급 복구 또는 패치 작업으로 인한 시스템 다운타임을 최소화합니다. 이를 통해 팀은 고품질의 신뢰할 수 있고 안전하며 안정적인 시스템을 제공할 수 있으며, 결과적으로 고객 신뢰를 높이는 데 도움이 됩니다.

SDLC의 후반 단계에서 취약성을 탐지하면 비용이 많이 드는 재작업이 발생할 수 있습니다. 조기에 발견하면 보안 문제를 해결하는 데 드는 비용이 줄어듭니다.

시프트 레프트 보안은 개발 프로세스가 끝날 때 취약점을 찾는 지연으로 인해 발생하는 병목 현상을 방지하여 제공 주기를 단축합니다. 한편, 시프트 레프트 보안을 SDLC에 원활하게 통합하면 워크플로를 간소화하는 데 도움이 되며, CI/CD 파이프라인의 일부로 자동화된 테스트 및 자동화가 더 빠른 출시에 기여합니다.

시프트 레프트 보안은 기업의 전반적인 보안 태세를 강화하는 데 기여합니다. 다음은 팀이 시프트 레프트 보안을 구현할 때 도움이 될 수 있는 몇 가지 팁입니다.

• 명확한 보안 요구 사항 및 정책 수립

• 작게 시작하기

• 자동화 적극 활용

• 심각도에 따라 우선순위 결정

• 시프트 레프트와 시프트 라이트 결합

• 시간에 따른 조정

• 교육이 핵심

SDLC의 계획 및 분석 단계에서는 기능 및 기타 프로젝트 요구 사항과 함께 보안 요구 사항 및 정책을 정의해야 합니다. 지금이야말로 사이버 보안 팀을 투입하여 중요한 지침과 지원을 제공해야 할 때입니다.

보안을 초기 단계로 옮기는 것은 특히 대규모 소프트웨어 프로젝트의 경우 부담스러울 수 있습니다. 작고 간단하게 시작하면 프로세스를 더 쉽게 달성할 수 있습니다. 예를 들어, 특정 보안 코딩 방식을 적용하거나 사소한 기능에 대한 보안 테스트를 시범 운영하는 경우가 있습니다.

자동화는 시프트 레프트 보안과 관련하여 중요한 자산 역할을 합니다. 예를 들어, Red Hat Advanced Security for Kubernetes는 빌드 및 배포부터 실행까지 전체 수명 주기 동안 컨테이너화된 앱을 보호하는 Kubernetes 네이티브 보안 플랫폼입니다. 컨테이너 이미지에서 잘못된 구성과 알려진 취약점을 자동으로 스캔할 수 있습니다. 또한 이미지가 자동 검사에 실패할 경우 블록 빌드 또는 배포 파이프라인 중지와 같은 보안 정책을 자동으로 적용할 수 있습니다.

팀들이 시프트 레프트 보안을 실행에 옮기면서, 사용하는 도구에서 생성되는 수많은 경고로 인해 경고 피로감을 느낄 수 있습니다. 우선순위 결정 시스템을 구축하면 위험도가 높은 문제를 위험도가 낮은 문제보다 먼저 해결할 수 있습니다.

두 전략을 혼합하면 더 안전하고 강력한 소프트웨어를 만들 수 있습니다. 시프트 레프트는 SDLC 전반에 걸쳐 보안을 확산시키고 시프트 라이트는 프로덕션 환경에서 진화하는 보안 위협에 대응하므로, 두 기술은 상호 보완적입니다.

시프트 라이트 보안의 예로는 실시간으로 공격을 탐지하고 대응하는 런타임 애플리케이션 자체 보호(RASP), 앱에 대한 웹 트래픽을 모니터링하고 보안 정책에 따라 악성 트래픽을 차단하는 웹 애플리케이션 방화벽(WAF)이 있습니다.

시프트 레프트 보안은 지속적이고 반복적인 방법론입니다. 기업은 시간이 지남에 따라 학습한 내용을 적용하여 접근 방식을 지속적으로 개선할 수 있습니다.

사업체는 개발 또는 DevOps 팀의 보안 교육에 시프트 레프트 보안을 포함해야 합니다. 팀은 보안을 초기 단계로 옮기는 것이 왜 중요한지, 어떻게 구현해야 하는지, 그리고 필요한 도구를 어떻게 사용해야 하는지를 이해해야 합니다.

생성형 AI가 소프트웨어 개발 워크플로에 점점 더 통합됨에 따라 워크플로를 보호하는 데도 도움이 될 수 있습니다.

예를 들어, AI 기반 개발 파트너인 IBM Bob은 보안 우선 원칙을 기반으로 구축되었으며, 개발 초기 단계에서 문제를 해결하는 '시프트 레프트' 철학을 수용합니다. 개발자가 작업을 커밋하기 전에 코드 변경을 분석하고 잠재적인 보안 문제에 플래그를 지정하는 검토 워크플로가 내장되어 있습니다. 팀은 소스 코드에서 일반적인 취약점과 안전한 코딩 관행 준수 여부를 확인하는 보안 중심의 코드 검토 스킬을 생성할 수 있습니다.

더 나아가 Bob은 액터-크리틱 워크플로를 사용하여 안전한 코드를 생성할 수 있습니다. 액터 하위 에이전트는 구성된 보안 규칙에 따라 보안을 준수하는 코드를 작성하고, 크리틱 하위 에이전트는 게시된 보안 표준에 따라 코드의 유효성을 검사합니다.

한편, IBM Concert는 보안 위험이 프로덕션 문제로 확대되기 전에 조기에 선제적으로 발견하는 에이전트형 IT 운영 플랫폼입니다. Concert Protect는 AI 기반 취약점 관리를 통해 어떤 취약점이 중요한지 파악하고 해결 조치를 조율합니다.