OpenAI, 악성 Axios 공급망 사고 후 macOS 앱 인증서 취소

핵심 요약

OpenAI의 macOS 앱 서명 워크플로가 GitHub Actions를 통해 악성 Axios 라이브러리를 다운로드하는 공급망 공격에 노출되어, 앱 인증서가 취소되는 사고가 발생했습니다. 이는 MITRE ATT&CK의 T1195.002 (Compromise Software Supply Chain) 및 T1553.002 (Code Signing) 전술에 해당하는 공격으로, 소프트웨어 개발 및 배포 과정에서 외부 라이브러리 의존성 관리의 중요성을 부각합니다. IT 감사인은 소프트웨어 공급망 보안, 특히 CI/CD 파이프라인의 무결성 및 코드 서명 프로세스에 대한 통제 강화를 핵심 감사 영역으로 삼아 잠재적 위험을 식별하고 관리해야 합니다.

💡 개선 권고안

• ✔기술적 조치CI/CD 파이프라인에서 사용되는 모든 외부 라이브러리 및 오픈소스 컴포넌트에 대해 정기적인 보안 취약점 스캐닝 및 무결성 검증을 자동화하고, 서명된 패키지만 사용하도록 정책을 강화할 것을 권고함.
• ✔기술적 조치코드 서명에 사용되는 인증서 및 개인 키를 하드웨어 보안 모듈(HSM) 또는 전용 키 관리 시스템(KMS)에 안전하게 저장하고, 접근 통제를 최소 권한 원칙에 따라 엄격하게 관리할 것을 권고함.
• ✔기술적 조치GitHub Actions와 같은 클라우드 기반 개발 환경에 대한 보안 설정을 강화하고, 모든 활동에 대한 상세 로깅 및 실시간 모니터링 시스템을 구축하여 비정상 행위 탐지 및 즉각적인 대응 체계를 마련할 것을 권고함.
• ✔관리적 조치소프트웨어 공급망 보안 정책을 수립하고, 개발 및 운영 담당자를 대상으로 공급망 공격 유형 및 대응 방안에 대한 정기적인 보안 교육을 시행하여 임직원의 보안 인식을 제고할 것을 권고함.
• ✔관리적 조치소프트웨어 공급망 위험 평가를 주기적으로 수행하고, 잠재적 위험을 식별하여 이에 대한 완화 계획을 수립 및 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문