이렇게 교묘한 공급망 공격에 효과적으로 대응하려면 단순히 방어적인 접근만으로는 한계가 있습니다. 때로는 공격자의 시선으로 생각해 보는 것이 필요한데요. 공격자들이 어떻게 시스템을 침투하고 악용할지를 이해하는 것이죠. 이를 통해 공격자가 공급망의 어느 지점을 노릴 가능성이 높은지, 어떻게 숨어들 수 있는지를 미리 예측하고 대응할 수 있습니다.

앞으로 기업, 조직 보안을 위해선 공격자 관점에서 생각하고 그들이 시스템을 어떻게 침투하고 악용할 수 있을지를 이해하는 것이 필수적이게 될 것이라 생각되는데요. 이를 위해 실제 공격자처럼 행동해 보는 접근이 필요한데, 예를 들어 침투 테스트(Penetration Testing)를 통해 기업 시스템의 취약점을 직접 찾아내는 것입니다. 침투 테스트는 공격자가 취할 수 있는 다양한 경로를 모의 실험해 봄으로써, 기업의 보안 상태를 현실적으로 평가할 수 있습니다.

또한 시나리오 기반의 공급망 공격 훈련도 중요합니다. 이 훈련은 실제 공급망 공격 시나리오를 기반으로 하여 기업 내부의 보안 팀이 어떤 식으로 대응할 수 있는지 실습하는 것을 목표로 하는데요. 이렇게 훈련된 팀은 실제 공격 상황에서 더 빠르고 정확하게 대응할 수 있죠. 마치 연습 경기에서 미리 전략을 다져보는 축구팀처럼, 실전에 앞서 충분히 준비하는 것입니다.

이메일 APT(Advanced Persistent Threat) 훈련도 빼놓을 수 없습니다. APT 공격은 매우 정교하게 설계된 피싱 메일을 통해 시작되는 경우가 많습니다. 이를 대비해 내부 직원들이 APT 메일을 식별하고 대응하는 훈련을 정기적으로 실시하면, 공격자가 아무리 교묘하게 메일을 위장하더라도 그들의 첫 번째 시도를 무력화시킬 수 있습니다.

SW 공급망 공격은 단순히 한 기업의 문제가 아닙니다. 해당 소프트웨어를 사용하는 모든 조직에 큰 영향을 미칠 수 있는 심각한 위협이죠. 공급망이 복잡하고 다단계적이라 완벽히 보호하는 것이 쉽지 않지만, 공격자 관점에서의 사고와 대응이 그 해법이 될 수 있습니다. 공격자를 이해하고 그들이 노릴 만한 지점을 미리 예측함으로써, 보다 강력하고 실질적인 보안 체계를 구축할 수 있을 것입니다.

'The proof of the pudding is in the eating(푸딩의 진가는 먹어봐야 안다)'는 말이 있죠. 우리 동양권에서는 '百聞不如一見, 백문이 불여일견'라고도 하는데요, 보안에서도 마찬가지입니다. 직접 경험하고 실험해 보는 것이야말로 그 진가를 알 수 있는 방법입니다. 결국, 우리는 이 싸움에서 먼저 한 수 앞서야 합니다. 공격자가 올 때, 우리는 이미 그들을 기다리고 있어야 하니까요.