컨테이너 서비스의 대명사 큐버네티스도 버그바운티 시작

컨테이너화 된 앱 관리하는 오픈소스 시스템 큐버네티스...CNCF가 관리
버그바운티는 해커원 플랫폼에서 진행...최대 상금은 1만 달러

[보안뉴스 문가용 기자] 클라우드 네이티브 컴퓨팅 재단(Cloud Native Computing Foundation, CNCF)가 큐버네티스를 주제로 한 공공 버그바운티 프로그램을 시작한다고 발표했다. 취약점 하나당 최고 1만 달러의 상금이 주어질 예정이라고 한다.

큐버네티스는 컨테이너화 된 애플리케이션들의 구축, 배포, 확장, 관리를 자동화 할 수 있게 해주는 오픈소스 시스템이다. 원래는 구글에서 먼저 개발한 것이었으나, 지금은 CNCF가 관리하고 있다.

CNCF가 새롭게 진행할 버그바운티 프로그램은 해커원(HackerOne)이라는 버그바운티 전문 플랫폼을 통해 진행될 것이라고 한다. 전문가들이 이곳을 통해 보고서를 제출하면 해커원이 접수하고 CNCF가 검토한다는 것이다. CNCF는 “보고서가 제출되면 근무일 기준 하루 안에 답장을 하고, 열흘 안에 평가하며, 평가 후 열흘 안에 지불을 완료할 계획”을 세우고 있다고 한다.

상금 자체는 최소 100달러에서 최대 1만 달러 사이에서 책정될 예정이다. 큐버네티스 코어에 영향을 주거나 소스코드를 변경할 수 있게 해주거나 디도스 공격을 가능하게 해주는 오류나 버그들이 가장 높은 상금을 받을 수 있는 취약점들이다.

코어 외 요소들에서 발견된 취약점의 경우 가장 높은 금액은 5천 달러가 될 예정이다. 큐버네티스 인프라나 코어 내 알파 기능에 영향을 주는 취약점이라면 최대 2500달러까지 지급된다고 한다.

이 버그바운티를 담당하는 건 큐버네티스 제품 보안 위원회(Kubernetes Product Security Committee)다. 이 위원회는 구글, 레드햇, 쇼피파이(Shopify)의 전문가들로 구성되어 있다. 버그바운티 상세 내용은 여기(https://hackerone.com/kubernetes)서 열람이 가능하다.

큐버네티스에서는 얼마 전 보안 감사가 진행되었고, 이를 통해 치명적인 위험도를 가진 취약점들이 일부 발견되기도 했었다.

3줄 요약
1. 몇 개월 전 보안 감사 진행해 취약점 발견한 큐버네티스.
2. 내친김에 해커원이라는 플랫폼 통해 버그바운티도 시작.
3. 최대 상금은 취약점 하나당 1만 달러. 최저는 100달러.
[국제부 문가용 기자(globoan@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다