FedRAMP ConMon이 왜 여러분의 오픈소스 선택을 끊임없이 재검토하는가

주요 내용

• 연방 위험 및 승인 관리 프로그램(FedRAMP) 개정판 5(Rev5) 플레이북에 따르면, 서비스 제공업체는 매월 업데이트된 실행 계획과 주요 일정을 업로드해야 합니다.
• FedRAMP의 2026년 통합 규정에 따르면, 새로운 취약점 규정의 적용 시작일은 2026년 12월 7일로 정해졌으며, 유예 기간은 2027년 3월 7일까지입니다.
• 미해결 지적 사항은 시정 조치가 완료될 때까지 제공자의 월간 보고서에 그대로 남아 있으며, 2026년 규정에 따르면 평가일로부터 192일 이내에 완전히 완화되거나 시정되지 않은 경우 이를 ‘인정된 취약점’으로 분류해야 합니다.
• 베이스 이미지, 고정된 종속성, 그리고 더 이상 유지보수되지 않는 컴포넌트들은 누군가가 빌드를 수정할 때까지 동일한 오픈소스 문제점이 반복적으로 발생하게 만듭니다.
• 플랫폼 팀은 베이스 이미지의 리베이스 일정을 수립하고, 반복적으로 발견되는 문제를 분석하며, 업스트림에서 수정 사항이 제공되지 않는 구성 요소에 대해 조기에 대응 방안을 결정할 수 있습니다.

FedRAMP 지속적 모니터링(ConMon)에 따라 클라우드 서비스 제공업체는 매월 업데이트된 조치 계획 및 마일스톤(POA&M)을 업로드해야 합니다. 각 고유한 취약점은 해당 문서 내에서 별도의 항목으로 처리됩니다. 빌드 내 구성 요소에 미해결 발견 사항이 남아 있는 경우, 해당 발견 사항은 다음 달 POA&M에도 그대로 남아 있는 경향이 있습니다. 이것이 바로 연방 위험 및 승인 관리 프로그램(FedRAMP)의 ‘지속적 모니터링 플레이북’에 명시된 개정판 5(Rev5) 절차입니다.

매월 반복되는 평가 결과로 인해 검토자들에게 동일한 오픈소스 선택지가 다시 제시되는데, 이것이 바로 제목에서 말하는 ‘재논의’를 의미합니다. Rev5 절차에 따라, 플레이북은 여러 기관이 참여하는 ConMon 회의에서 기한이 지난 항목, 공급업체 의존성, 그리고 위험 수용이 필요한 모든 사항을 집중적으로 다룰 것을 지시합니다. 평가자들은 또한 매년 실시되는 평가에서 예외 요청 사항과 공급업체 의존성을 검증합니다. FedRAMP의 2026년 규정에 따르면, 평가 후 192일이 지나도 완전히 완화되거나 시정되지 않은 지적 사항은 ‘수용된 취약점’으로 분류되어야 하며, 그 사유에 대한 서면 설명이 첨부되어야 합니다. 2027년부터는 모든 기관 고객도 분기별로 수용된 취약점 요약 보고서를 받게 됩니다.

FedRAMP의 2026년 규정에는 또한 서비스 제공업체가 기본적으로 취약점 위험을 줄일 수 있도록 서비스를 설계해야 한다고 명시되어 있습니다. 오픈 소스 구성 요소의 경우, 이는 빌드에 포함될 요소를 선택해야 함을 의미하며, 이러한 선택은 플랫폼 팀이 담당합니다.

FedRAMP 지속적 모니터링이 매월 어떻게 운영되는지

Rev5 경로(플레이북 버전 1.0, 2025년 11월 17일)에 따라, 서비스 제공업체는 운영 체제, 웹 애플리케이션 및 데이터베이스를 최소한 매월 한 번씩 스캔합니다. 그런 다음 업데이트된 POA&M 및 인벤토리를 업로드하고, 기관 계약에 명시된 경우 원본 스캔 파일도 함께 업로드합니다. 기관 승인 담당자는 POA&M을 검토하고, 특정 발견 사항을 오탐지, 위험 조정 또는 운영 요건으로 처리해 줄 것을 요청하는 편차 요청을 승인합니다.

FedRAMP의 2026년 통합 규정(CR26)이 2026년 6월 24일에 발표되었습니다. 이 규정 중 ‘취약점 탐지 및 대응’과 ‘취약점 평가 및 보고’라는 두 가지 규칙 세트는 Rev5의 B~D 등급과 FedRAMP의 새로운 인증 경로인 20x의 B 및 C 등급을 다룹니다. 일부 이행 주기는 인증 경로와 등급 모두에 따라 달라집니다. 조기 도입 기간은 2026년 7월 4일에 시작되었습니다. 신규 신청자는 2026년 12월 7일부터 해당 규정 세트를 준수해야 합니다. 기존 제공업체는 해당 날짜까지 이를 도입해야 하며, 그렇지 않을 경우 시정 조치 계획이 적용됩니다. 2027년 3월 7일에 유예 기간이 종료되며, FedRAMP는 규정을 준수하지 않은 제공업체의 인증을 취소합니다.

초기 보고서 발표 후 확정되지 않은 조사 결과가 어떻게 처리되는가

Rev5 프로세스에서는 해결되지 않은 발견 사항이 시정 계획과 함께 POA&M에 기록되며, 공급업체는 기관의 결정을 받기 위해 편차 요청을 제출할 수 있습니다. 상류 공급업체에 의존하는 POA&M 항목은 공급업체 의존 사항으로 관리됩니다.

하나 이상의 기관 고객을 보유한 서비스 제공업체의 경우, 이 플레이북은 매월 진행되는 협력적 ConMon 회의를 설명하고 있습니다. 이 문서에 따르면, 모든 POA&M 항목을 다 다루는 것은 현실적으로 어렵으며, 특히 서비스 제공업체가 FedRAMP가 정한 기한 내에 해결할 것으로 예상되는 항목들의 경우 더욱 그렇습니다. 논의는 기한이 지난 항목, 공급업체 의존성, 그리고 특히 위험 수락이 필요한 편차 요청에 중점을 두어야 합니다. 따라서 기한이 지났음에도 미해결 상태로 남아 있는 지적 사항은 해당 그룹에 속한 모든 기관 앞에서 논의되어야 합니다.

2026년 FedRAMP 통합 규칙에 따르면: FedRAMP는 공급자가 완화 조치를 권장하거나 해당 서비스가 고위험 연방 시스템에 속해 있는 경우가 아닌 한, 기관들은 기한이 지난 취약점 및 ‘잠재적 기관 영향(Potential Agency Impact)’ N 등급이 2 이상인 승인된 취약점만 검토할 것을 권장합니다. N0에서 N5까지의 N 등급은 해당 서비스를 이용하는 기관에 악용 시 발생할 수 있는 피해의 정도를 공급자가 평가한 것입니다. 승인된 취약점은 일반적으로 해당 취약점이 추가되거나 기관의 사용 방식이 변경된 경우에만 검토가 필요합니다.

2026년 규정에서는 또한 공급자가 취약점을 수정할 계획을 세우는 동안 해당 취약점을 ‘미해결’ 상태로 둘 수 있는 기간을 제한하고 있습니다. 평가 후 192일 이내에 완전히 완화되거나 수정되지 않았거나, 향후에도 그렇게 되지 않을 것으로 예상되는 모든 취약점은 ‘인정된 취약점’으로 분류해야 합니다. 그 이후부터는 매월 제출되는 보고서마다 그 사유, 해당 취약점이 인터넷을 통해 접근 가능한지 여부, 악용될 가능성이 있는지 여부, 그리고 현재의 N 등급을 설명해야 합니다.

조사 결과를 수용하면 위험 결정 권한이 고객에게 넘어가게 됩니다. 각 기관은 조사 결과가 미해결 상태인 채로 서비스를 계속 이용할지 여부를 결정하며, FedRAMP는 기관들이 해당 결정을 자체 POA&M에 기록하도록 요청합니다.

왜 똑같은 오픈소스 관련 연구 결과가 계속해서 나오고 있을까

컨테이너화된 시스템의 경우, 플레이북은 각 컨테이너 이미지 클래스마다 고유한 자산 식별자를 요구하며, 모든 운영 환경 컨테이너를 해당 소스 이미지와 연결하도록 규정합니다. 또한 소프트웨어 패치는 운영 환경에 직접 적용해서는 안 되며, 반드시 대체 이미지에 적용해야 한다고 명시하고 있습니다. 따라서 베이스 이미지에 포함된 취약한 패키지는 해당 이미지를 기반으로 빌드된 모든 컨테이너에 나타나는 경향이 있으며, 일반적인 해결책은 새로운 이미지를 빌드하는 것입니다. 누군가가 리베이스(rebase)를 수행하기 전까지는 패키지 세트가 동일하게 유지되는 경향이 있으며, 이에 따라 해당 취약점도 함께 재현됩니다.

고정된 종속성도 같은 방식으로 작동합니다. 잠금 파일(lockfile)은 라이브러리를 사용자가 선택한 버전으로 고정하므로, 보안 권고 사항이 공개된 라이브러리는 누군가가 변경할 때까지 해당 버전을 유지합니다. 활발하게 유지 관리되는 구성 요소의 경우, 해결책은 업스트림에서 수정된 릴리스 버전을 누군가가 빌드에 반영하는 것입니다. 업그레이드에는 그 자체의 위험이 따르며, “그냥 업그레이드하라”는 조언이 왜 보안 측면에서 좋지 않은지 설명한 저희 게시물에서 이에 대해 다루고 있습니다.

업스트림에서 구성 요소의 유지보수를 중단하더라도 해당 구성 요소에 대한 새로운 취약점은 여전히 발견될 수 있지만, 대개 수정된 버전이 출시되지는 않습니다. 따라서 192일이 지나 ‘수락됨(accepted)’ 라벨이 부여되더라도, 해당 구성 요소가 교체되거나 누군가가 사용 중인 버전에 패치를 적용할 때까지는 해당 취약점 보고가 미해결 상태로 남아 있습니다. 서비스가 단일 언어만 사용하는 경우는 드물기 때문에, 유지보수가 중단된 구성 요소들이 여러 생태계에 걸쳐 한꺼번에 쌓일 수 있습니다.

스캐너가 택배에 대해 알려주지 않는 사실

스캔 결과는 알려진 취약점을 중심으로 구성됩니다. 이 플레이북은 국가 취약점 데이터베이스(National Vulnerability Database)에 등재된 모든 취약점에 대해, 기계 판독 가능한 검사 결과 내에 공통 취약점 및 노출(Common Vulnerabilities and Exposures, CVE) 참조 번호를 포함할 것을 요구합니다. 2026년 규칙에 따르면, 이전의 FedRAMP 지침은 일반적으로 CVE 유형의 취약점에 초점을 맞추고 다른 유형의 취약점은 다루지 않았으며, 탐지 규칙에는 공급업체가 사용하는 기법 중 하나로 공급망 모니터링이 포함되어 있습니다.

서비스 제공업체가 운영하는 스캐너 및 기타 FedRAMP 지속적 모니터링 도구는 빌드에 포함된 내용을 보고합니다. 변조되었거나 공개 소스 코드가 아닌 다른 것으로 빌드된 패키지는 CVE 발견 항목으로 표시되지 않을 수 있으며, 악성 패키지에는 CVE가 전혀 없을 수도 있습니다. 소프트웨어 자재 명세서(SBOM)에도 동일한 사각지대가 존재합니다. 즉, 구성 요소가 정확하게 나열되어 있어도 실제로는 변조되었을 수 있습니다. 두 가지 모두 전달된 내용을 기술할 뿐, 그것이 전달되어야 했는지에 대해서는 언급하지 않습니다.

다음 보고서 발표 전에 플랫폼 엔지니어링이 바꿀 수 있는 것들

FedRAMP 지속적 모니터링 주기의 대상이 되는 빌드를 관리하고 있다면, 해당 빌드에 포함되는 내용을 변경함으로써 다음 보고서의 내용을 조정할 수 있습니다.

2026년 FedRAMP 통합 규칙에 따르면: 서비스 제공업체는 영향을 받는 자원을 논리적으로 그룹화하여 취약점을 평가해야 하며, FedRAMP의 탐지 및 대응 규칙은 개별 인스턴스가 아닌 각 그룹에 적용됩니다.

먼저 기본 이미지의 리베이스 일정을 수립하세요. 재구축된 이미지가 월간 스캔 전에 운영 환경에 배포되도록 일정을 조정하면, 업데이트된 기본 이미지의 수정 사항이 다음 보고서에 반영됩니다. 그룹화 규칙에 따라, 단일 기본 이미지에 포함된 취약한 패키지는 여러 컨테이너에 나타나더라도 하나의 그룹으로 간주될 수 있습니다.

문제점을 수정해야 한다고 주장하기 전에, 얼마나 많은 문제점이 반복적으로 나타나는지 파악하십시오. 최근 세 건의 보고서를 살펴보고, 세 보고서 모두에 등장하는 문제점을 세어보십시오. 이를 통해 매월 처리해야 할 업무 중 얼마나 많은 부분이 이월된 것인지 대략적으로 파악할 수 있으며, 업무 자금을 지원하는 측에 구체적인 조치 근거를 제공할 수 있습니다. 그런 다음, 우선순위 분류 전에 반복되는 문제점과 새로운 문제점을 별도로 분류하십시오. 새로운 문제점은 새로운 판단이 필요하며, 익숙한 항목들 사이에서 간과되기 쉽기 때문입니다.

구성 요소에 상류 측에서 제공되는 수정 사항이 없는 경우, 192일이 되기 전에 해당 구성 요소를 교체할지, 현재 사용 중인 버전에 패치를 적용할지, 아니면 취약점을 그대로 수용할지 결정하십시오.

패키지 목록에 타동적 종속성을 포함시키세요. 직접 선택한 패키지만이 배포되는 전체의 일부에 불과하기 때문입니다.

반복적으로 나타나는 문제들은 빌드 단계에서 비롯되며, 빌드를 수정해야만 이러한 문제를 해결할 수 있습니다.

패키지 수명 주기에서 SecureChain이 차지하는 위치

SecureChain은 빌드에 포함된 오픈 소스 패키지를 위한 TuxCare의 제품입니다. 이 제품이 지원하는 패키지의 경우, 보안이 철저히 강화되고 격리된 환경에서 소스 코드부터 재컴파일하여 악성코드 및 의심스러운 코드를 검사함으로써, 검사에서 불합격된 항목이 사용자의 환경에 유입되는 것을 차단합니다. 각 패키지에는 SLSA 레벨 3 출처 증명, SBOM 및 VEX 성명서가 함께 제공됩니다. 여전히 유지보수 중인 패키지는 새로운 CVE에 대해 모니터링되며, 서비스 수준 계약(SLA)에 따라 패치가 적용됩니다. 업스트림 유지보수자가 지원을 중단하면, TuxCare는 귀사가 실행 중인 정확한 버전에 대해 중요 및 고위험 수정 사항을 백포트합니다. 지원 범위는 JavaScript, Python, Java, Go 및 PHP를 아우릅니다.

월간 보고서에 업스트림에서 더 이상 수정하지 않는 구성 요소가 계속 포함된다면, SecureChain이 어떤 부분을 다루는지 확인해 보세요.

자주 묻는 질문

FedRAMP에서 ConMon이란 무엇이며, 매월 어떤 내용이 보고되나요?

미국 연방 클라우드 인증 프로그램인 FedRAMP에서, 지속적 모니터링(ConMon)은 서비스 인증 후 제공업체가 지속적으로 제출하는 보안 보고를 다룹니다. 개정판 5(Rev5) 경로에서 클라우드 서비스 제공업체는 운영 체제, 웹 애플리케이션 및 데이터베이스를 매월 스캔하고, ‘지속적 모니터링 플레이북(버전 1.0)’에 따라 업데이트된 조치 계획 및 주요 단계(POA&M)와 자산 목록을 업로드합니다.

Rev5와 20x 제공업체들은 취약점을 동일한 방식으로 보고하나요?

FedRAMP는 2026년 통합 규칙에 따라, 개정 5판(Rev5) 제공업체와 20x 등급 B 및 C 제공업체가 최소한 매월 취약점 활동 현황을 보고하고, 평가 후 192일 이내에 완전히 완화되거나 시정되지 않은 모든 취약점을 ‘수용됨’으로 표시할 것을 요구합니다. 검증 주기는 경로와 등급에 따라 다릅니다. Rev5 C등급 제공업체는 최소 월 1회, 20x C등급 제공업체는 3일마다 머신 기반 리소스를 검증하고 확인해야 합니다.

FedRAMP에서 ‘수용 가능한 취약점’이란 무엇인가요?

FedRAMP의 2026년 규정에 따르면, 공급자가 취약점을 완전히 완화하거나 시정할 의도가 없는 경우 해당 취약점은 ‘수용’된 것으로 간주됩니다. 또한 평가일로부터 192일 이내에 취약점이 완전히 완화되거나 시정되지 않았거나, 향후에도 그렇게 되지 않을 경우 이 라벨을 부여해야 합니다. 공급자는 각 취약점이 수용된 이유를 보고해야 하며, 이와 함께 해당 취약점의 인터넷 접근 가능성, 악용 가능성, 그리고 해당 기관에 미칠 것으로 예상되는 영향도 함께 보고해야 합니다.

FedRAMP에서 ‘예외 요청’이란 무엇인가요?

FedRAMP에서 개정판 5(Rev5) 제공업체는 특정 지적 사항을 오탐지, 위험 조정 또는 운영 요건으로 취급해 줄 것을 기관에 요청하는 편차 요청을 제출할 수 있습니다. ‘지속적 모니터링 플레이북’에 따르면, 기관은 이러한 요청을 승인하며, 평가자는 연례 평가 과정에서 이를 검증합니다.

FedRAMP 스캔에서는 오픈 소스 패키지를 다른 소프트웨어와 별도로 검사하나요?

FedRAMP는 ‘지속적 모니터링 플레이북’이나 2026년 취약점 규칙에서 발견 사항을 오픈 소스 여부에 따라 분류하지 않습니다. 플레이북은 발견 사항을 자산 목록 및 컨테이너 이미지와 연계하며, 2026년 탐지 규칙은 공급망 모니터링을 기술 중 하나로 나열하고 있습니다. 발견 사항의 출처를 추적하려면 자체적인 분석이 필요합니다.

FedRAMP의 2026년 취약점 규정은 언제 발효되나요?

FedRAMP는 2026년 7월 4일부터 2026년 취약점 규정의 선택적 적용을 시작했습니다. 신규 신청자는 2026년 12월 7일부터 해당 규정을 준수해야 합니다. 기존 제공업체는 그 시점까지 규정을 적용해야 하며, 2027년 3월 7일까지 반드시 적용해야 합니다. 그렇지 않을 경우 FedRAMP는 인증을 취소할 것입니다.

요약

기사 이름

192일 이내에 FedRAMP ConMon의 오픈 소스 관련 문제점을 시정하십시오

설명

FedRAMP의 2026년 규정에서는 평가 후 192일이 지나도 수정되지 않은 오픈소스 관련 문제점에 대해 ‘승인됨’ 라벨을 부여하도록 요구하고 있습니다. 이러한 문제가 반복되는 이유와 빌드 과정에서 이를 수정하는 방법을 확인해 보세요.

작성자

아르템 카라세프

게시자 이름

TuxCare

게시자 로고