[12월 월간브리핑] 과기정통부, '아파치 로그4j 2' 긴급 보안업데이트 권고 및 점검 실시

• 코로나19 사태가 장기화되면서 오픈소스 업계도 과거 방식으로 돌아가기보단 코로나 환경 속에 적응하며 현 상황에 맞는 새로운 기업문화와 원칙을 만들어야 한다는 목소리가 높아짐
  1. 깃허브는 데이터를 통해 연간 활동을 분석하고 오픈소스 업계에서 나타난 변화를 소개하고 이에 맞는 전략을 제시
  2. 심층 분석은 ‘코드 작성과 배포’, ‘문서화 체계’, ‘지속 가능한 커뮤니티’라는 3가지 주제로 진행

• 깃허브 연간 활동 현황 분석
  1. 1) 깃허브에 생성된 코드와 커뮤니티
     1. 깃허브의 총 이용자 수는 약 7천3백만 명
     2. 2021년 깃허브 신규 가입자 수는 약 1천6백만 명
     3. 포춘50 기업(미래유망기업)의 84%가 깃허브 기업용 버전을 이용
     4. 약 6천1백만 개의 레포지토리가 새로 생성
  2. 2) 국가 및 대륙별 사용자 현황
     1. 깃허브 사용자 현황은 과거 비율로만 공개됐지만 올해 처음으로 구체적인 수치로 공개됐으며 한국 사용자 수는 약 120만 명

     2. 순위	국가명	사용자수(단위:명)
        1	미국	13,551,846
        2	중국	7,555,311
        3	인도	7,210,455
        4	브라질	2,369,096
        5	영국	2,276,780
        6	러시아	1,981,853
        7	독일	1,929,413
        8	일본	1,747,877
        9	캐나다	1,636,278
        10	인도네시아	1,629,831
        11	프랑스	1,541,090
        12	한국	1,239,541

     3. [국가별 깃허브 사용자 수]
     4. * 출처 : https://octoverse.github.com/#future
     5.  
     6. 대륙별 비율은 작년과 크게 다르지 않으며 북아메리카(31.5%), 아시아(31.1%), 유럽(27.3%), 남아메리카(5.9%), 아프리카(2.3%), 오세아니아(1.7%) 순으로 집계
  3. 3) 주요 사용 언어
     1. 
     2. [연도별 깃허브 프로젝트 내 인기 프로그래밍 언어]
     3. * 출처 : https://octoverse.github.com/#top-languages-over-the-years
     4.  
     5. 깃허브에서 가장 많이 사용 중인 언어는 자바스크립트이며, 파이썬, 자바, 타입스크립트, C# 순으로 인기가 높음
     6. 대다수 언어가 작년과 동일한 순위를 유지하고 있으며 C언어 인기도는 점점 하락 중

• 코드 작성과 배포에 대한 분석
  1. 1) 자동화
     1. 자동화 기술을 도입하면 기술성과를 높이는 동시에 협업 문화를 증진 시키는 것으로 나타남
        1. * 여기서 말하는 자동화 기술은 CI/CD(Continuous Integration/Continuous Deploy)로 소스코드의 빌드, 테스트, 병합, 배포 과정 등을 자동화해주는 기술을 가리킴
        2. * 깃허브는 자체적으로 ‘액션(Actions)’이란 서비스로 CI/CD 자동화 기술을 제공 중
     2. 규모가 큰 프로젝트에서 깃허브 액션을 사용한 결과 하루 풀 리퀘스트 (Pull Request, PR)를 병합하는 양이 2배 증가했으며, 모든 규모의 오픈소스 프로젝트를 기준으로는 PR 처리 양이 36% 향상
        1. * 풀 리퀘스트(Pull Request, PR)란 코드를 수정하고 검토자에게 기술을 업데이트해달라고 요청하는 과정이며, 해당 요청을 처리하는 것을 ‘병합(Merge)한다’고 표현
  2. 2) 코드 재사용
     1. 기존 오픈소스 프로젝트를 재활용해서 소스코드를 개발하는 프로젝트가 점점 많아지고 있는 추세
        1. * 대표적으로 도커(Docker)는 4만 개가 넘는 오픈소스 기술을 활용하고 있으며 여기에 관여된 오픈소스 개발자는 약 63만 명
     2. 코드 재사용을 편하게 할 수 있는 환경에서 개발자의 업무 성과는 최대 87%까지 높일 수 있음
        1. * 따라서 코드 접근 권한을 두거나 정보를 여러 곳에 나눠 저장하는 것은 코드를 재사용을 막는 걸림돌이 될 수 있음
  3. 3) 코드 검색
     1. 깃허브의 총 이용자 수는 약 7천3백만 명개발자 중 60%가 필요한 정보를 쉽게 찾을 수 있을 때 업무를 더 잘할 수 있다고 느끼며, 레포지토리 검색이 잘 될 경우 업무 생산성이 11% 증가됨
     2. 팀 내부에서 검색 기능을 강화하면 일관된 코드 문법을 유지하는데 효과적
  4. 4) 업무방식
     1. 설문 조사 응답자의 업무 방식을 조사한 결과 코로나 이전 사무실에서 근무한 비중은 40%, 재택근무는 26.5%, 사무실과 재택근무를 혼합한 형태는 28.1%였음
     2. 코로나 종식 이후에 ‘어떤 업무 방식을 선호하겠는가’란 질문에 47.6%가 사무실과 재택을 혼합한 형태를 선택했으며, 재택근무는 38.8%, 사무실 근무는 10.7%만 선택
        1. * 개발자들은 이로서 더이상 코로나 이전 상태로 돌아가는 방식을 선호하지 않음을 시사
     3. 
     4. [깃허브 사용자의 코로나 이전 업무 형태(좌)와 코로나 종식 이후 선호하는 업무형태(우)]
     5. * 출처 : https://octoverse.github.com/writing-code-faster/#where-work-will-happen-next
  5. 5) 검토자와 기여자의 균형
     1. 풀 리퀘스트(PR)를 집중적으로 검토하는 인력을 따로 둘 경우 오류를 줄이고, 코드 로직을 일관적으로 유지하는데 도움이 됨
     2. 하지만 전담 검토자를 추가할 때마다 PR를 병합하는 속도가 느려지기 때문에 적절한 수의 검토자를 두는 게 필요
     3. 오픈소스 프로젝트에서 PR 하나당 검토자를 3명 이하로 할당할 경우, 24시간 이내 통합될 확률이 높음
     4. 기업에서 PR를 확인하는 전담 검토자 1명을 지원할 경우, 하루 안에 PR이 병합될 가능성이 높음
     5. 2021년 기업에서 PR를 처리하는 속도는 일반 커뮤니티보다 2배 높음
        1. * 깃허브는 이런 속도를 봤을 때 현재 기업들의 업무 생산성이 코로나 사태 이전 수준으로 돌아왔다고 평가
        2. * 재택근무 및 코로나 환경에서 일하는 방식에 개발자들이 어느 정도 적응했다는 것을 시사

• 문서화 체계에 대한 분석
  1. 기업 및 커뮤니티 모두가 양질의 문서가 제공될 경우 업무 생산성이 높아진다고 응답
  2. 문서가 최신이고, 상세한 내용을 담고, 기사, 영상, 토론 게시판 같은 다양한 형태로 지원될 경우 생산성이 50% 증가한다고 답변
     1. * 문서는 리드미(Readme), 기여 가이드리인, 이슈 문의 및 답변 기록 등을 포함하며 문서 내용은 신입 교육 자료, 거버넌스, 튜토리얼, 코드 구조 및 의존성 소개, 모범 사례 등을 제공
  3. 문서 발행 일자가 최신이고 다른 사람들의 추천을 볼 수 있는 지표(예:좋아요 수)가 많을수록 문서에 대한 신뢰도가 높아짐
  4. 기업 및 커뮤니티에서 운영 중인 오픈소스 프로젝트에선 대부분 리드미 파일을 구비해놓았으며, 기여 가이드라인은 기업에서 운영하는 오픈소스 프로젝트에서 더 많이 작성해놓음
  5. 
  6. [커뮤니티 주도 오픈소스, 기업 주도 오픈소스, 일반 기업 프로젝트들의 리드미 파일(좌) 및 기여 가이드라인(우) 지원 비율]
  7. * 출처 : https://octoverse.github.com/#code-needs-documentation-to-become-a-project
  8. * 출처 : https://octoverse.github.com/creating-documentation/#contribution-guidelines
  9.  
  10. 굿 퍼스트 이슈(Good First Issues, 초보 기여자가 시작하기 좋은 이슈)를 별도로 표시해서 오픈소스 프로젝트를 관리하면 새로운 기여자를 늘리는 데 효과가 좋음
  11. 굿 퍼스트 이슈 표시가 40% 이상 있는 프로젝트에선 신규 기여자를 21% 추가로 영입할 수 있었음
  12. 데브옵스 연구기관인 도라(DORA)의 통계를 인용해 문서화가 잘 갖춰진 곳은 생산성이 2.5배 높다고 소개
      1. * 출처 : State of DevOps 2021 https://services.google.com/fh/files/misc/state-of-devops-2021.pdf
  13. 문서화 문화가 잘 정착된 대표 프로젝트에 ‘쿠버네티스 독스 스페셜 인터레스트 그룹(Special Interest Group, SIG)’으로 소개
  14. 쿠버네티스 독스 SIG은 누구나 문서 작성을 할 수 있으나 참여자를 멤버, 검토자, 승인자, 관리자로 나눠 문서를 체계적으로 생산 중

  15. 기여자 분류	기여자들의 조건 및 주요역할
      멤버 (Member)	깃허브 계정으로 로그인 및 이중 인증 공식 기여 가이드라인을 숙지 최소 1개 이상 서브 프로젝트에 기여 2명의 검토자에게 피드백을 받아야 함
      검토자 (Reviewer)	멤버로 활동한지 최소 3개월이 지나야함 20개 이상의 풀 리퀘스트를 검토하거나 통합 담당 코드 저장소에 대한 충분한 지식을 보유 검토자가 된 이후에는 타 멤버들의 기여를 파악하고 적절한 전문가에게 풀 리퀘스트 분배 및 관리
      승인자 (Approver)	검토자로 활동한지 최소 3개월이 지나야함 30개 이상의 풀 리퀘스트를 검토하거나 통합 승인자가 된 이후에는 멤버 및 검토자들의 멘토 역할을 해야함 코드리뷰같은 방식으로 코드 품질을 전체적으로 관리해야함
      관리자 (Subproject owner)	하위 프로젝트에 대한 기술적 방향과 우선순위를 설정 직접, 회의, 이메일, 게시판을 통해 토론과 기술 방향을 주도 쿠버네티스 관련 다른 하위 프로젝트와 협력 모든 커뮤니티 멤버에게 멘토링 제공

  16. [쿠버네티스 독스 SIG에서 분류한 멤버들의 주요 역할과 요구사항]
  17. * 출처 : https://github.com/kubernetes/community/blob/master/community-membership.md
  18.  

• 지속 가능한 커뮤니티에 대한 분석
  1. 규모가 큰 오픈소스 프로젝트에선 '커뮤니티 행동강령(codes of conduct)'을 열려있는 문화를 표현하는데 활용
  2. 사용자들은 기여 가이드라인, 굿 퍼스트 이슈, 존중하는 말투로 토론하는 것이 커뮤니티에 대한 신뢰와 안정성을 평가하고 있음
  3. 신규 기여자들은 복잡한 기술 커뮤니티 외에도 단순히 흥미나 취미를 기반으로 가벼운 프로젝트에 관심을 가지고 있으며, 신규 기여자가 가장 많이 유입된 프로젝트는 게임, 만화, 과학, 교육 관련 프로젝트가 포함
  4. 
  5. [가입한지 2년 이내 사용자가 많은 오픈소스 프로젝트]
  6. * 출처 : https://octoverse.github.com/sustainable-communities/#gateways-to-open-source
  7.  
  8. 최근 오픈소스 커뮤니티에서 주로 주목하고 있는 사항은 크게 아래의 5가지로 조사됨
     1. △법률적 문제를 일으키지 않고 혁신을 추구하는 방법
     2. △전 세계 퍼져있는 개발자들과의 효율적인 글로벌 협력
     3. △어떤 차별도 없이 누구나 개발자가 되도록 평등한 기회를 보장하는 방식
     4. △커뮤니티 안에서 의견 조율 및 중재를 하고 건강한 온라인 협업 문화를 만드는 것
     5. △정부의 오픈소스 프로젝트에 대한 투자 및 기여 상황으로 조사됨

• (금융) 케이뱅크, 계정계 시스템을 유닉스에서 리눅스로 전환 추진
  1. 상반기 중 계정계 간편결제 시스템을 리눅스로 전환하고, 지난달 11월 계정DB(데이터베이스), 카드AP(애플리케이션)도 리눅스 체제로 전환
  2. 2022년까지 뱅킹AP의 리눅스 전환을 통해 채널계를 포함하여 정보계와 계정계의 모든 시스템을 리눅스로 전환 예정
  3. 리눅스로의 전환을 통해 비용 약 30% 절감, 처리속도 개선도 기대
     1. * 최근 고객이 급증, 동시접속 고객 최대 10배로 증가했음에도 안정적인 서비스 제공 중
  4. 또한 리눅스 전환을 통해 최종적으로 클라우드로 시스템으로 전환, 고객의 이용 환경을 획기적으로 개선한다는 방침

• (자동차) '현대차 자율주행' 모셔널, VR '뉴리얼리티' 오픈소스 공개
  1. 모셔널이 개발한 가상현실(VR) 환경인 뉴리얼리티(nuReality)를 오픈소스로 공개, 모회사이자 합작관계인 현대자동차의 자율주행 차량 개발에 적극적으로 활용할 계획
     1. * 지속적인 오픈소스 공개를 통해 자율주행 관련 연구의 가속화 및 데이터 공유 문화 확립 등을 목표로 세계 자율주행 자동차 업체들과 연구성과를 공유 추진
  2. 자동차의 교차로 정지 상황, 보행자와 자전거가 도로를 횡단하는 상황 등 도로에서 흔히 볼 수 있는 총 12가지 상황을 뉴리얼리티에 포함

• (머신러닝) MIT AI연구소, '시각적 관계 작성 방법' 머신러닝 플랫폼 오픈소스로 공개
  1. 미국 메사추세츠공과대학교(MIT) 컴퓨터과학인공지능연구소(Computer Science and Artificial Intelligence Laboratory, CSAIL) 연구팀은 장면에서 물체 간의 근본적인 관계를 이해하는 인공지능 머신러닝 모델을 개발
     1. * 이를 통해 산업용 로봇이 창고에 물건을 쌓거나 기기를 조립하는 것과 같이 복잡한 다단계 작업을 수행해야 하는 상황에도 적용
  2. 이번 연구 결과는 세계 최고 권위의 인공지능(AI) 학회인 신경정보처리시스템학회(Neural Information Processing systems. NeurIPS)2021’에서 '시각적 관계 작성 방법 학습(Learning to Compose Visual Relations)'란 제목으로 발표되었으며 코드는 깃허브를 통해 공개

• (오픈소스) 국립중앙도서관, 공공도서관 자료관리시스템 웹버전(KOLAS-WEB) 프로그램 오픈소스로 공개
  1. 개작 프로그램 소스를 공개할 의무가 없는 오픈소스 소프트웨어 라이선스를 적용해 누구나 자유롭게 활용 가능
     1. * KOLAS-WEB은 개발자가 선호하는 프로그램언어 JAVA로 개발
  2. 지난해 7월 공공도서관 자료관리시스템 클라이언트-서버 버전(KOLASⅢ) 프로그램 소스 공개 후 1년 5개월 만에 추가 공개
     1. * 업무기능과 데이터베이스 구조가 KOLASⅢ와 동일하여 KOLASⅢ 사용 도서관에서는 KOLAS-WEB 오픈소스를 활용해 웹버전 형태의 도서관 자료관리시스템으로 쉽게 전환 가능

※ 참고 Reference

• 과기정통부, 아파치 로그4j 2 긴급 보안패치 권고…악성코드 감염 위험, 조선비즈, 2021.12.12.
  https://biz.chosun.com/it-science/ict/2021/12/12/O2IPC72WYVGTPCY7KKIAEWNNJ4/
• "역사상 최악" 비번 없이 내부망 뚫는단 '로그포쉘' 피하려면, 중앙일보, 2021.12.12.
  https://www.joongang.co.kr/article/25031495
• 최악의 해킹 공격에 노출된 기업·금융권…긴장감 최고조, 조선비즈, 2021.12.13.
  http://it.chosun.com/site/data/html_dir/2021/12/13/2021121301464.html
• '로그4j' 허점 비상…열흘전 공격 시도 있었다, ZDNet Korea, 2021.12.13.
  https://zdnet.co.kr/view/?no=20211213165728
• Apache Log4j Security Vulnerabilities
  https://logging.apache.org/log4j/2.x/security.html
• 과기정통부, 아파치(Apache) 취약점(Log4j) 대응 긴급 정보보호최고책임자(CISO) 간담회 개최, 과기정통부 보도자료, 2021.12.16.
  https://www.msit.go.kr/bbs/view.do?sCode=user&mId=113&mPid=112&pageIndex=&bbsSeqNo=94&nttSeqNo=3181153&searchOpt=ALL&searchTxt=
• GitHub, The 2021 State of The OCTOVERSE,
  https://octoverse.github.com/
• Top 3 Takeaways from Octoverse 2021, 21.11.28,
  https://interconnected.blog/top-3-takeaways-2021-state-of-the-octoverse/
• 케이뱅크 계정계 DB 등 핵심 시스템 리눅스 전환 …디지털 금융플랫폼 속도, 디지털데일리, 2021.12.8.
  https://www.ddaily.co.kr/news/article/?no=226996
• '현대차 자율주행' 모셔널, VR '뉴리얼리티' 오픈소스 공개…"데이터 공유", 더그루, 2021.12.1.
  https://www.theguru.co.kr/news/article.html?no=28431
• 사람처럼 객체 관계를 이해하는 인공지능 개발...MIT AI연구소, '시각적 관계 작성 방법' 머신러닝 플랫폼 오픈소스로 공개, 인공지능신문, 2021.12.5.
  https://www.fnnews.com/news/202112141419113256
• 국립중앙도서관, 'KOLAS-WEB' 오픈 소스로 공개, 파이낸셜뉴스, 2021.12.14.
  https://www.fnnews.com/news/202112141419113256
• 공개SW 포털(oss.kr) ‘공개SW 소식’ 참조
  https://www.oss.kr/news