안전한 종속 항목 관리

현대 애플리케이션은 수백 개의 서드파티 패키지를 가져옵니다. 각 종속성과 그 전이 종속성은 공격 표면을 넓힙니다. Log4j의 Log4Shell과 같은 인기 라이브러리의 취약점은 수천 개 애플리케이션을 동시에 노출할 수 있습니다.

잠금 파일(package-lock.json, yarn.lock, Pipfile.lock)은 모든 종속성을 전이 종속성까지 포함해 정확한 버전에 고정합니다. 잠금 파일을 버전 관리에 커밋하십시오. 이를 통해 재현 가능한 빌드를 보장하고, 취약점을 도입할 수 있는 의도하지 않은 버전 업그레이드를 방지합니다.

SCA 도구는 종속성 트리를 CVE 데이터베이스와 대조하여 취약한 패키지를 식별합니다. OWASP Dependency-Check, Snyk, GitHub Dependabot은 알려진 취약점을 자동으로 탐지하고, 해결 지침과 함께 패치된 버전을 제안합니다.

Dependabot과 Renovate Bot은 새롭고 호환성이 깨지지 않는 버전을 사용할 수 있을 때 자동으로 풀 리퀘스트를 생성합니다. 보안 업데이트를 우선 처리합니다. 지속적 통합을 통과한 패치 업데이트에 자동 병합을 구성하면 수동 작업을 최소화하면서 종속성을 최신 상태로 유지할 수 있습니다.

의존성을 추가하기 전에 다운로드 수, 최근 커밋 활동, 열린 이슈 수, 라이선스 호환성 및 알려진 CVE 이력을 확인하십시오. 유지 관리가 잘되고 활발한 보안 대응 절차를 갖춘 패키지를 유지 관리되지 않는 대안보다 우선하십시오.

직접 의존성은 자체 의존성을 추가로 가져옵니다. event-stream 사건에서는 공격자가 수백만 개 패키지에서 사용되던 전이 의존성을 장악했습니다. 직접 의존성만이 아니라 전체 의존성 트리를 감사하십시오.

의존성 혼동 공격은 내부 패키지와 같은 이름의 악성 패키지를 공개 레지스트리에 게시하는 방식으로 이루어집니다. 범위가 지정된 패키지 이름, 비공개 레지스트리 인증, 그리고 .npmrc 또는 pip.conf에서 승인된 레지스트리만 허용하는 목록을 사용하여 완화하십시오.

소프트웨어 구성 요소 명세서(SBOM)는 소프트웨어에 포함된 모든 구성 요소를 기계가 읽을 수 있는 형식으로 정리한 목록입니다. Syft 또는 CycloneDX로 SBOM을 생성하십시오. 새로운 CVE가 공개되면 SBOM을 통해 취약점의 영향을 신속하게 평가할 수 있습니다. 영향을 받는 버전을 몇 분 안에 식별할 수 있습니다.

OSS 라이선스에는 준수해야 할 의무가 있습니다. GPL은 소스 공개를 요구할 수 있습니다. MIT와 Apache 2.0은 허용 범위가 넓은 라이선스입니다. FOSSA와 TLDR-Legal은 라이선스 호환성을 평가하는 데 도움이 됩니다. 상용 제품에 실수로 GPL 코드가 포함되는 것을 방지하려면 지속적 통합에 라이선스 검사를 통합하십시오.

CDN에서 호스팅되는 스크립트에 사용하는 하위 리소스 무결성(SRI)은 integrity 특성에 암호화 해시를 넣는 방식입니다. npm package.json에는 integrity 필드가 포함되어 있습니다. 공급망 변조를 탐지하려면 지속적 통합에서 패키지를 다운로드할 때 체크섬을 검증하십시오.

심각한 취약점은 CVE가 공개된 후 24~48시간 이내에 보안 패치를 적용하십시오. 우선순위를 정할 때 CVSS 점수와 악용 가능성 데이터를 사용하십시오. 호환성을 깨뜨리는 변경 사항을 도입하는 패치된 의존성이 있더라도, 운영 환경에 악용 가능한 취약점이 존재하는 것보다는 낫습니다.

의존성 혼동 공격이란 무엇인가요?

안전한 의존성 관리를 위해서는 잠금 파일에 버전을 고정하고, 지속적 통합 및 지속적 배포에서 SCA 검사를 실행하며, 패치 업데이트를 자동화하고, 영향 평가를 위해 SBOM을 생성해야 합니다. 또한 새 의존성을 도입하기 전에 해당 의존성의 보안 상태를 평가해야 합니다.