Cloud Computing On Demand

(2021.12.14 업데이트) 그 사이 log4j 의 패치 버전이 나오고, 패치된 log4j를 탑재한 Logstash의 새로운 버전이 공개되었습니다. 자세한 내용은 새로 올린 아래 포스팅을 참고해 보세요!

주말 내내 log4j 에 대한 폭풍이 계속 이어지고 있습니다. 직접 개발한 소스코드를 이용하는 경우 새로 공개된 log4j 의 바이너리(2.15.0+)를 이용해 빌드를 다시 하면 되지만 그렇지 않은 오픈소스나 외부의 패키지를 이용한 경우들이 계속 발견되고 보고되고 있습니다. 

저 역시 로그 수집을 위해 Logstash 클러스터를 운영하고 있던 관계로 log4j 에 대한 취약점 대응을 해야 했습니다. 직접 만든 코드가 아니다보니 log4j 에 대한 대응을 어떻게 해야 하나 찾아본 결과를 정리해 봅니다.

https://ondemand.tistory.com/345

영향받는 logstash 버전은?

Logstash의 6.8.20 이하, 혹은  7.16.0 이하 버전은 모두 영향범위에 들어갑니다. 오래된 버전은 log4j 의 낮은 버전이 탑재되어 있을 수 있겠지만 기본적으로 현시점까지 릴리즈된 버전은 모두 영향범위로 보는 것이 맞겠습니다.

// logstash의 경로는 사용 환경에 따라 다를 수 있습니다
//
$ /usr/share/logstash/bin/logstash --version
logstash 7.3.1

새로운 버전의 릴리즈는?

가장 확실한 방법은 새로운 버전의 릴리즈를 기다리는 것입니다. Logstash의 가장 최신 버전은 7.16.0 버전으로 확인됩니다 (2021.12.13 오전 7:38 기준) 이 버전에서 사용하고 있는 log4j 는 취약점이 있는 버전으로 조치가 필요합니다.

현재 예고되어 있는 패치 버전의 공개는 한국 시간으로 늦어도 14일까지 릴리즈 될 예정입니다. 따라서 아직까지는 보안 취약점이 제거된 새로운 릴리즈 버전을 사용할 수 없고, log4j 의 취약점 대응을 다른 방식으로 해야만 합니다.

Logstash core-jar 파일에서 jdni 클래스를 삭제하기

elastic 에서 logstash 의 log4j 취약점 제거를 위해 공식 가이드하고 있는 방법은 logstash 패키지에 포함된 core-jar 파일에서 jdni 클래스를 제거하는 방법입니다. 느낌이 왔겠습니다만 아주 확실하고 강려크한 방법이라고 생각합니다. 참고로 한때 유통되던 log4j 의 실행시 옵션을 주는 방법은 유효하지 않다고 합니다. 클래스를 확 날려버리는게 현재로서는 가장 확실한 방법입니다.

// jdnilookup.class 를 삭제합니다
// 경로 (/usr/share/logstash)는 각자의 환경에 맞추어 수정합니다
//
sudo zip -q -d /usr/share/logstash/logstash-core/lib/jars/log4j-core-2.* org/apache/logging/log4j/core/lookup/JndiLookup.class

// 자바 클래스 재로딩을 위해 logstash 를 재기동합니다
//
sudo systemctl restart logstash

log4j 처럼 광범위하게 사용되는 패키지의 취약점 발견으로 여기저기 들썩들썩합니다. 모두들 무탈히 이슈 대응 하시길 기원합니다!

지난주 후반부, 한국 뿐만 아니라 전세계가 시끌시끌했습니다. 
사실상의 서버측 로깅 표준으로 자리잡힌 log4j 로깅 모듈의 보안 취약점이 발견되었고
공격방법이 인터넷에 고개되면서 Zero Day Vulnerability 가 발생했기 때문입니다.

취약점을 간단히 요약하자면,
"로그로 기록되어야 하는 문자열에 악의적인 내용을 집어넣어 원격지에서 서버의 코드, 명령을 실행할 수 있는 취약점이 있었음"
입니다.

취약점을 통해 외부에 노출되지 않은 LDAP 서버 등으로 악의적인 코드가 담긴 자바 클래스를 전송하고 
log4j 를 통해 이 클래스를 메모리에 로딩하는 방식으로 서버에 침투하게 됩니다. 
이번 취약점은 오래전 SSL 프로토콜의 취약점으로 명성을 날렸던 하트블리드(heartbleed)급으로 알려졌습니다.

취약점에 대한 대응은 크게 두가지 방식으로 진행되었습니다. 
1. 취약점이 패치된 log4j 가 배포되기 전까지는 코드 인젝션이 발생할 수 있는 JNDI 의 옵션을 끈다
2. 취약점 패치 버전 (2.15.0+) 가 배포된 후에는 새로운 log4j 로 교체한다

이런 대응이 여러 회사의 개발조직 중심으로 대응되는 동안 
물들어올때 노를 저어야 한다는 것을 잘 알고 있는 클라우드 벤더들은 
열심히 관련된 포스팅을 날리며 자사의 보안 솔루션들을 홍보하기 시작했습니다. 

간만에 글로벌 초대형 급의 취약점으로 주말이 시끌시끌 했습니다. 
아직까지 취약점은 현재 진행형이기 때문에 두눈 부릅뜨고
log4j 를 쓰는 곳이 없는지 살펴봐야 하겠습니다!

스크래치 Scratch 를 비롯한 드래그 앤 드랍 방식의 코딩 도구들이 아이들 코딩 교육에 많이 쓰입니다.
스크래치 이후 등장한 엔트리 entry 등 수많은 도구들은 스크래치가 제안한 블록 코딩을 철저히(?) 따르고 있기도 합니다.
성인들의 세계에서는 블록 코딩은 아니지만 노코드 No code 개발이 하나의 트랜드가 된 것 같습니다.

구글에서 내놓은 앱시트 AppSheet 역시 노코드를 표방하는 개발 도구입니다.
단순히 노코드를 하는 것을 넘어서 데이터 기반으로 개발한다는 것을 강조하고 있습니다. 
파이어베이스 Firebase 류의 Pass Storage를 바탕으로 개발 작업을 할 때 느꼈던 감성을 
앱시트를 사용한 개발에서도 느낄 수 있는 것인가, 하는 기대감이 생기게 되더군요. 

사실 원래부터 모든 어플리케이션, 소프트웨어, 서비스는 데이터 중심이었죠. 
데이터가 없으면 잘 만든 UI도 아무짝에 쓸모 없습니다. 
근래에는 데이터하면 결국 AI, ML로 이어지니 이런 맥락에서 앱시트는 포지셔닝을 하는 느낌입니다. 
쉽고 빠르게 필요한 것을 데이터 기반으로 만들고 거기서 또 데이터를 추출해낸다?

가령 구글 시트에 위와 같은 간단한 테이블을 만들어 두고
앱시트를 통해서 Form 중심으로 CRUD 를 할 수 있는 앱을 만든다가 기본적인 컨셉입니다.
어차피 대부분의 어플리케이션이 DB에 대한 CRUD 라는 것에서 착안한 듯 합니다.
특히나 기업에서 사용하는 In-House 도구에서는 무척 유용할 것 같네요

노코드는 앱 에서 뿐만 아니라 머신러닝 쪽에서도 대세로 자리잡는 느낌입니다.
코드를 써야하는 과제와 쓰지 않아도 되는 과제의 분리를 통해 
누구나 필요한 것을 만들어 쓸 수 있게 하는 방향성은 이제 대세가 된 것 같네요!

피쳐에 대해서 잘 정리된 블로그 하나 링크해 둡니다!
https://meir.tistory.com/m/89

트위터의 창업주 3인방중 하나였던 잭 도시가 트위터 CEO직을 내려놓았다. 
이로써 먼저 회사를 떠난 에반 윌리엄스, 비즈스톤에 이어 마지막으로 회사를 떠났다.
물론, 스퀘어 Square 라는 걸출한 사업을 하고 있기 때문에 
재벌 걱정, 부자 걱정 할 필요 없는 것과 마찬가지라는 느낌이다.

그런데, 그 직후 바로그 스퀘어가 사명을 블록 Block 으로 바꿨다.
위 이미지에서 보이는 것처럼 블록 = ["스퀘어", "캐시앱", "스파이럴", "타이달", "TBD54566975"] 라고 정의하고 있다. 
스퀘어를 제외한 나머지가 뭔지 좀 찾아봤다.

• 스퀘어 Square / https://squareup.com/us/en
  • 전자 결제 회사
  • 기기도 만들고 온/오프라인에 걸쳐 사업 영역이 꽤 넓다
  • 상장사
• 캐시앱 Cash App
  • 아티스트와 팬이 직접 지불(?)할 수 있는 서비스 플랫폼
• 타이달 Tidal / https://tidal.com/
  • 음원 스트리밍 서비스. 사용자 수? 잘 모르겠음
  • 그 어느 서비스보다 많은 음원 수수료를 아티스트에게 지급한다는 소문
• 스파이럴 Spiral / https://spiral.xyz/
  • Formerlly called <Square Crypto>
  • 비트코인과 관련한 개발을 하고 있으며 SDK, 툴킷 등을 만들고 있음
• TBD54566975 / https://twitter.com/TBD54566975
  • 스퀘어에서 차세대 파이낸셜 서비스를 만들고 있던 개발 유닛이었음
  • 이제 막 독립을 시작하여 활발하게 채용도 전개하고 있는 중
  • TBD 는 To be detailed... 인듯 -_-;;

대략 정리해보면 컨텐츠 서비스들과 파이낸셜 서비스가 밍글되고 있는 느낌이다.
용처를 이미 찾아놓고 비트코인, 새로운 결제 수단? 시스템?을 만들어 나가려고 진영을 구축하는 것 같기도 하다.

가끔 드는 생각이지만, 오래전에 <소셜 네트워크로 세상을 바꾼 사람들> 책을 썼을때
트위터 편의 중심이 "에반 윌리엄스"였던 것은 다소 좀 실책이었다는 느낌이다. 
이후 비즈 스톤을 정말 좋아했었는데... 근래에는 잭 도시만 존재감이 있다.
세상은 알다가도 모르겠다... 싶다.