서버 보안약점(SW 개발보안) 및 소프트웨어(SW) 공급망 보안에 대한 심화 점검 체계와 활용 방법

한국인터넷진흥원(KISA)에서 제공하는 서버 보안약점(SW 개발보안) 및 소프트웨어(SW) 공급망 보안에 대한 심화 점검 체계와 활용 방법입니다.

---

1. 서버 보안약점 (소프트웨어 개발보안) 점검

서버 내부의 소스코드에 숨어있는 웹 취약점과 실행시간 오류를 소프트웨어 실행 없이 선제적으로 찾아내는 정적 점검 방식입니다. 

• 진단 가이드라인 활용: KISA 법령·가이드라인을 통해 공개된 '소프트웨어 보안약점 진단가이드' 및 '소프트웨어 개발 보안 가이드'를 내려받아 내부 개발 보안 표준(시큐어 코딩)으로 활용할 수 있습니다.

소프트웨어 보안약점 진단가이드

https://www.kisa.or.kr/2060204/form?postSeq=9&page=1

KISA 한국인터넷진흥원

 

 

• 주요 점검 항목: 입력데이터 검증 및 표현, 보안기능 설계, 에러 처리, 세션 통제, 코드 오류, 캡슐화 등 전자정부 서비스 표준 49개 보안약점을 기준으로 점검합니다. 

주요정보통신기반시설 기술적 취약점 분석 평가 상세 가이드

https://www.kisa.or.kr/2060204/form?postSeq=12&lang_type=KO&page=1#fnPostAttachDownload

KISA 한국인터넷진흥원

주요정보통신기반시설_기술적_취약점_분석_평가_방법_상세가이드.pdf

18.66MB

 

• 전문 진단원 양성: 보안 역량 내재화를 원할 경우 KISA에서 운영하는 SW개발보안 교육안내(SWSCA)를 통해 SW 보안약점 진단원 양성 과정에 참여할 수 있습니다. 

---

2. SW 공급망 보안 체계 진단 서비스

외부 오픈소스나 제3자 소프트웨어 제품 도입이 늘어남에 따라 발생할 수 있는 공급망 내 악성코드와 취약점을 전주기적으로 관리하는 무료 전문 컨설팅 서비스입니다. 

• 지원 대상: 소프트웨어를 개발하는 국내 모든 중소·중견 기업 
• 제공 서비스:
  • 소스코드 정적·동적 진단: 개발 중인 SW의 직접적인 보안 결함 분석
  • SBOM(소프트웨어 자재명세서) 생성: 투명한 SW 구성요소 명세를 분석하고 오픈소스 라이선스 위반 및 포함된 취약점 매핑
  • 개발환경 진단: 소스코드 저장소, 배포 인프라 등 개발 생명주기(SDLC) 전반의 위험 관리 컨설팅 
• 자가 점검 도구: 컨설팅 신청 전, KISA 보호나라에서 제공하는 'SW 공급망 보안 자가 점검 체크리스트'를 다운로드하여 개발·공급·고객 단계별 보안 수준을 스스로 진단해 볼 수 있습니다. 

SW 공급망 보안 가이드라인 1.0 (전체본, 요약본)

https://www.kisa.or.kr/2060204/form?postSeq=15&page=1

KISA 한국인터넷진흥원

 

240525-(전체본)_SW_공급망_보안_가이드라인_최종 수정본.pdf

10.14MB

 

240513-(요약본)_SW_공급망_보안_가이드라인.pdf

3.14MB

3. 서버 인프라 자체 해킹 진단 (추가 자가점검)

서버 자체의 침해 여부가 의심될 때는 KISA가 배포한 '해킹진단도구(윈도우/리눅스)'를 사용해 볼 수 있습니다.

• 기능: 관리자 계정 무단 생성, 원격관리 프로그램 비정상 접속, 이벤트 로그 삭제 등 해킹 징후를 자동 분석하여 3단계(심각, 주의, 정상) 결과 리포트를 제공합니다.
• 신청: KISA 보호나라 누리집의 '정보보호 서비스' → '서비스 신청하기' 메뉴에서 무료 다운로드 가능합니다.

※ 자료 출처 : 구글 제미나이