소프트웨어 공급망 보안은 애플리케이션 보안(AppSec) 분야에서 점점 더 중요해지고 있으며, 그 중심에는 SBOM(Software Bill of Materials)과 SCA(Software Composition Analysis)가 있습니다. 그러나 이 두 개념은 오해와 혼용 속에 사용되는 경우가 많습니다.
이 글에서는 SBOM과 SCA의 차이점, 기존 접근 방식의 한계, 그리고 이를 해결하기 위한 Mayhem의 동적 SBOM 생성 및 SCA 검증 기능에 대해 소개합니다.
SBOM & SCA: 명확한 구분이 필요합니다
SBOM과 SCA는 종종 혼용되어 사용되지만, 실상 서로 다른 개념입니다. 특히 CycloneDX와 같은 도구들이 이 두 가지를 모두 포괄하려 하면서 혼란이 더욱 심화되고 있습니다. 그러나 SBOM과 SCA는 각기 다른 목적을 가지고 있습니다.
SBOM은 소프트웨어에 포함된 구성 요소를 나열하는 목록입니다. 규제 준수, 라이선스 확인, 공급망 투명성 확보에 중요한 역할을 합니다.
SCA는 소프트웨어 구성 요소를 분석하여 보안 취약점(CVE) 및 잠재적인 라이선스 문제를 식별합니다.
SBOM은 소프트웨어의 ‘스냅샷’을 제공하고, SCA는 ‘지속적인 위험 평가’ 도구라는 점에서 목적과 활용 방식이 다릅니다. 특히 SBOM은 정적(Static)이며, SCA는 동적(Dynamic)일 수 있다는 점이 핵심 차이입니다.
기존 SCA/SBOM의 한계: 오탐과 현실과의 괴리
전통적인 SBOM 및 SCA 도구의 가장 큰 문제 중 하나는 과도한 오탐입니다. 연구에 따르면 SCA 결과의 절반 이상이 오탐으로 분류되며, 실제 취약점을 해결하는 것보다 잘못된 경고를 분석하는 데 더 많은 시간을 소모하게 됩니다. 결국 실질적인 위험을 평가하기 어려워지고, 가장 중요한 보안 문제를 해결할 시간이 부족해집니다.
Mayhem: 동적 SBOM 및 실시간 SCA 검증으로의 진화
이러한 한계를 해결하기 위해 Mayhem은 동적 SBOM 생성과 실시간 SCA 검증 기능을 제공합니다. 애플리케이션이 실제로 실행되는 환경에서 실제로 사용 중인 구성 요소만을 추적 및 분석함으로써, 불필요한 보안 경고를 최대 90%까지 줄여 실제로 실행되는 구성 요소와 관련된 취약점만을 식별할 수 있도록 지원합니다.
Mayhem Security 주요 기능
실행 중인 구성 요소 식별 :
빌드/패키징 시점이 아닌, 런타임 기준으로 구성 요소를 탐지합니다.
컨테이너 환경 지원 :
Docker, Kubernetes 등의 컨테이너 기반 애플리케이션에서 효과적으로 작동합니다.
정확도 향상 :
오탐 비율을 최대 90%까지 줄입니다.
AI 기반 자동 보안 테스트 :
애플리케이션의 실행 경로를 자동으로 탐색하며, 취약점을 실시간으로 식별합니다.
API 보안 검증 :
OWASP Top 10 기반 스트레스 테스트 수행으로 API의 보안성을 지속적으로 평가합니다.
통합 보고서 제공 :
Slack, Jira, SOC 대시보드, GitHub, GitLab, Jenkins 등 주요 CI/CD 파이프라인과 연동되는 API 기반 보고 시스템을 제공합니다.
결론: 효율성과 정확성을 갖춘 보안 운영의 시작
SBOM과 SCA는 각각 소프트웨어 보안을 강화하는 데 필수적인 역할을 하며, 그 목적과 기능은 명확히 구분됩니다. SBOM은 소프트웨어 구성의 투명성을 확보하고, SCA는 그 구성 요소에 내재된 보안 리스크를 식별하여 대응하는 데 중점을 둡니다.
이 두 개념의 차이를 이해하고, 보안 및 규정 준수 요건에 따라 적절한 도구와 형식을 선택하는 것이 무엇보다 중요합니다. 이상적인 방식은 소프트웨어 개발 생애 주기(SDLC) 전반에 걸쳐 SBOM과 SCA 아티팩트를 함께 생성하고 활용하는 것이지만, 현실적으로 시간과 자원이 제한된 상황에서는 조직의 우선순위—예를 들어 공급망 투명성, 규정 준수, 보안 중 어떤 요소를 중시할지—에 따라 전략적으로 선택하는 것이 바람직합니다.
Mayhem은 이러한 현실적인 요구를 반영하여, 동적 SBOM 생성과 실시간 SCA 검증을 통해 기존 도구의 오탐 문제를 해소하고, 실제로 사용되는 구성 요소 기반의 정밀한 보안 분석을 가능하게 합니다. 더불어 AI 기반 동적 분석 엔진으로 보안 테스트를 자동화하고, 실행 중 취약점을 실시간으로 탐지함으로써 보안팀과 개발팀 모두에게 실질적인 통찰력을 제공합니다.
SBOM과 SCA는 더 이상 단순한 체크리스트 항목이 아니라, 조직의 보안 경쟁력을 좌우하는 전략적 요소입니다. Mayhem은 그 중심에서, 정확하고 효율적인 보안 운영을 실현하는 강력한 해결책이 됩니다.
