보안 코드 실행의 미래: 협업적 eBPF 접근 방식 수용하기

David Lenrow

기술 책임자, 기술 탐색

Illumio Editorial

1월 9, 2025

23 분 읽기

사이버 보안 분야에서는 항상 강력하고 신뢰할 수 있는 코드 실행 방법을 찾고 있습니다. eBPF(확장 버클리 패킷 필터) 및 특수 샌드박싱 기술과 같은 도구가 핵심 솔루션으로 자리 잡았습니다.

하지만 2024년 여름에 있었던 두 가지 이벤트는 이러한 도구의 강점과 약점을 모두 보여줍니다.

2024년 6월: 주요 EDR(엔드포인트 탐지 및 대응) 공급업체의 Linux 드라이버가 eBPF(향상된 버클리 패킷 필터) 코드 검증기의 버그로 인해 Linux 커널이 충돌하여 Linux 고객들에게 큰 장애를 일으킬 수 있었습니다.

2024년 7월: 같은 공급업체가 자체 개발한 보안 코드 실행 환경의 버그로 인해 업데이트가 커널을 충돌시키고 시스템을 부팅할 수 없게 만들 수 있었습니다. 이로 인해 Windows 고객에게 더 큰 피해를 입히고 널리 알려지게 되었습니다.

이 두 사건은 라이브 시스템에 대한 저수준 시스템 업데이트를 수행하는 두 가지 다른 방법과 코드 실행의 보안을 유지하기 위해 통합된 개방형 접근 방식을 선호해야 하는 이유를 보여줍니다.

빠른 코드 업데이트와 시스템 안정성 사이의 균형 유지

요즘처럼 빠르게 변화하는 위협 환경에서는 위협이 문제를 일으키기 전에 차단하려면 보안 도구에 업데이트를 신속하게 보내는 것이 중요해요. 이러한 업데이트는 몇 분 또는 몇 시간 내에 모든 보안 시스템에 도달해야 해요. 위협으로 인해 그러한 양이 필요한 경우 공급업체가 EDR “센서”를 하루에 여러 번 원격으로 라이브 패치할 수도 있어요.

하지만 균형이 중요합니다.

운영 체제와 긴밀하게 통합된 보안 도구에 업데이트를 보내면 때때로 심각한 정전이 발생할 수 있어요.

하지만 업데이트를 너무 오래 미루면 악성 소프트웨어가 확산될 수 있습니다.

해결책은 코드의 취약점을 빠르게 완화하고 운영 체제 코드가 보안 도구와 인터페이스해야 하는 위치를 정의하는 안전한 방법을 찾는 거예요.

안전한 코드 실행 솔루션: 고급 샌드박싱 vs. eBPF

코드 실행 전에 코드의 안전성과 정확성을 확인하는 데 도움이 되는 두 가지 기술이 등장했습니다.

특화된 샌드박스 기술

샌드박싱은 작고 특정 기능에 특화된 가상 머신(VM)과 검증 도구를 사용하여 안전하고 승인된 코드만 실행되도록 합니다.

이러한 가상 머신은 완전한 운영 체제를 실행하는 기존의 하이퍼바이저 기반 시스템과는 다릅니다. 대신, 이러한 서버는 특정 가상 명령어 세트를 사용하여 프로그램을 안전하게 실행하도록 설계되었습니다(VMware가 아닌 Java 또는 JavaScript VM의 작동 방식과 유사합니다).

검증기는 핵심적인 역할을 합니다. 코드가 실행되기 전에 안전하고 정확한지 확인하는 역할을 하기 때문입니다. 이 접근 방식은 잠재적으로 위험한 행동을 격리하여 코드가 실행될 안전한 공간을 만들어 줍니다.

샌드박스에서 실행되는 프로그램은 어셈블리 언어 프로그램과 같습니다. 이들은 대부분의 프로세서에서 작동할 수 있는 작고 기본적인 명령어 세트를 사용합니다. 이러한 단순한 설계 덕분에 코드가 효율적이며 샌드박스 또는 커널 환경에서 안전하게 실행될 수 있습니다.

eBPF

확장형 버클리 패킷 필터는 특히 리눅스 시스템에서 보다 통합적인 접근 방식을 취합니다. 이를 통해 코드가 커널 내부에서 안전하게 실행될 수 있으므로 시스템 안정성을 위협하지 않고 가시성과 제어력을 향상시킬 수 있습니다.

eBPF에는 코드의 안전성을 보장하는 강력한 내장 검증기가 있습니다. 이는 안전하지 않은 명령어가 포함된 코드의 실행을 방지하고, 보다 간소화되고 효율적인 코드 실행 방식을 제공합니다.

2024년 7월 IT 시스템 장애: 안전한 코드 실행에 대해 우리가 배운 점

보호 조치가 마련되어 있음에도 불구하고 최근 발생한 사건들은 샌드박싱 도구와 eBPF 기술의 취약점을 드러냈습니다.

리눅스 시스템 장애는 eBPF 검증기의 버그로 인해 운영체제가 오류를 일으킨 것이 사실입니다. 이는 eBPF와 같은 고급 도구조차도 문제가 있을 수 있음을 보여주며, 따라서 경계를 늦추지 않고 지속적으로 개선하는 것이 중요합니다. 하지만 eBPF 검증기 문제를 해결하는 것은 커뮤니티 솔루션의 일부이기 때문에 미래에 다른 의미를 갖습니다.

검증기 버그가 발견되었을 때, 커뮤니티는 신속하게 협력하여 이를 수정했습니다. 이러한 공동의 노력은 모두를 위한 eBPF 개선에 도움이 되며, 유사한 문제가 다시 발생할 가능성을 줄여줍니다.

윈도우 환경의 블루 스크린 오브 데스 (BSOD) 사고는 메모리 오류로 인해 발생했어요. 이러한 오류는 특수 샌드박싱 도구와 검증 시스템에서 배열 크기가 일치하지 않아서 발생했습니다. 사건을 분석하고 완화하려는 노력은 강력한 검증 프로세스를 갖추는 것이 얼마나 중요한지 보여줬어요. 이렇게 하면 취약성이 시스템 안정성을 손상시키는 것을 방지할 수 있어요.

eBPF와 달리, 독점적인 샌드박싱 VM 및 검증 시스템은 폐쇄된 생태계에서 작동합니다. 발견된 버그를 수정할 수는 있지만, 그러한 개선 사항은 특정 업체의 사용자에게만 도움이 될 뿐입니다. 이렇게 사일로화된 작업 방식은 보안 개선 사항의 공유 속도를 늦추고 다른 곳에서 비슷한 문제가 발생할 가능성을 높여요.

통합적 접근 방식을 향하여: eBPF의 필요성

서로 대조되는 이러한 사건들은 보안 코드 실행을 위해 공유된 개방형 시스템을 사용하는 것이 중요하다는 것을 보여줘요.

eBPF의 협업 접근 방식은 다양한 플랫폼의 보안 도구를 개선하기 위한 강력한 기반을 만들어줘요. 운영 체제에 내장된 단일 VM 및 검증 도구를 사용함으로써 조직은 일관성이 없고 잠재적으로 보안에 취약한 여러 개의 자체 구축 시스템을 만드는 것을 방지할 수 있습니다.

이러한 아이디어를 잘 보여주는 예가 eBPF를 Windows에 도입하기 위해 진행 중인 작업입니다. 운영 체제에 eBPF를 추가함으로써 조직은 낮은 수준의 보안 도구를 실행할 수 있는 안전하고 표준화된 환경을 만들 수 있어요. 이러한 변화는 운영 체제를 더욱 안전하게 만들 뿐만 아니라 eBPF의 검증된 접근 방식을 업계 전반에 걸쳐 활용하도록 장려합니다.

안전한 커널 통합을 통해 여러 운영 체제의 보안 기반을 변화시키려는 노력은 이 아이디어의 잠재력을 보여줘요. 이 프로젝트들은 eBPF의 기능을 사용하여 보안 도구가 다양한 운영 체제에서 작동할 수 있는 더 안전하고 더 연결된 시스템을 구축하는 것을 목표로 해요.