HoKing

지구별 여행자

팔로우

< 로그4j 취약점 스캐너 '오픈소스'로 공개했더니 생긴 일 > 지난해 12월 10일. "컴퓨터 역사상 최악"이라고 평가 받는 보안 취약점이 발견되면서 전 세계 IT 업계에 비상이 걸렸다. 거의 모든 자바 기반 애플리케이션에 사용되고 있는 로깅 라이브러리 로그4j에 공격자가 임의 코드를 실행할 수 있는 치명적인 버그가 확인된 것이다. 신속한 조치가 필요한 긴급상황이지만, 어떤 시스템에 로그4j가 쓰이고 있는지 또 쓰고 있는 버전이 취약한 것인지 아닌지 빠르게 확인하는 일부터 난관이었다. 국내 보안 스타트업 로그프레소의 양봉열 대표도 이런 상황에 주목했다. 그는 취약한 로그4j를 찾아주는 '스캐너'를 밤새 만들어 다음날인 11일 소스코드 저장소 깃허브에 공개했다. - https://github.com/logpresso/CVE-2021-44228-Scanner 비슷한 기능을 제공하는 스캐너들이 여러개 등장했지만, 로그프레소 스캐너는 그 중에서 가장 높은 신뢰를 받으며 빠르게 확산됐다. 오픈소스 커뮤니티와 실시간 소통하며 200여 개가 넘는 요구사항을 받아, 필요한 기능을 빨리 반영한 것이 통했다. "엔지니어로서 기여하고 싶다"는 생각에서 시작한 일이지만, 이 과정에서 돈으로 살 수 없는 글로벌 브랜드 인지도와 신뢰도를 쌓는 예상 밖의 수확도 얻었다. 로그프레소 로그4j 스캐너는 현재까지 깃허브를 통해 글로벌에서 약 45만 건 다운로드될 만큼 인기를 얻었다. 마이크로소프트, VM웨어, 델, SAS 같은 글로벌 초 대형 IT 벤더들이 로그프레소 스캐너를 보안 권고문에서 추천하고, 더 나아가 자사 제품에 통합하거나 소스코드를 가져다가(포크해) 새로운 제품을 개발한 것은 더 큰 성과다. 국내 소프트웨어 산업 전반이 오픈소스 기여 활동에 소극적이라는 점을 고려했을 때, 로그프레소의 사례는 의미가 있어 보인다. 최근 로그프레소의 양봉열 대표와 구동언 상무를 만나 로그4j 취약점 스캐너 개발기를 들어봤다. 대담 내용은 링크 참고 플리즈~

로그4j 취약점 스캐너 '오픈소스'로 공개했더니 생긴 일

Zdnet