의존성 및 공급망 보안(SCA)

현대 애플리케이션은 대부분 타사 의존성으로 구성됩니다. 의존성 트리 깊숙한 곳에 있는 취약한 패키지 하나만으로도 전체 앱이 손상될 수 있습니다.

이것이 바로 소프트웨어 공급망 위험이며, 이를 보호하는 것은 DevSecOps의 핵심 부분입니다.

소프트웨어 구성 분석 (SCA)은 프로젝트의 의존성을 검사하고 알려진 취약점(CVE) 데이터베이스와 비교합니다.

사용자가 작성한 코드를 검사하는 SAST와 달리 SCA는 가져오는 라이브러리에 초점을 맞춥니다.

• 알려진 취약 버전을 탐지합니다
• 위험하거나 호환되지 않는 라이선스를 표시합니다
• 안전한 업그레이드 버전을 제안합니다

GitHub는 데펜더봇을 제공합니다. 데펜더봇은 프로젝트의 매니페스트 파일을 지속적으로 검사하고 의존성에 알려진 취약점이 있으면 알림을 생성합니다.

설정 > 코드 보안 및 분석에서 활성화할 수 있습니다. 알림은 심각도 등급과 함께 보안 탭에 표시됩니다.

데펜더봇은 취약한 의존성을 자동으로 업데이트하는 풀 리퀘스트를 열 수도 있습니다. dependabot.yml 파일로 구성하십시오.

의존성 검토 작업은 풀 리퀘스트에서 실행되며, PR에 알려진 취약점이 있는 의존성이 추가되면 병합을 차단합니다.

이렇게 하면 보안을 왼쪽으로 이동하여 위험한 패키지가 기본 브랜치에 도달하기 전에 찾아낼 수 있습니다.

워크플로에서 호출하는 작업 자체도 의존성입니다. @v4를 참조하면 해당 태그를 관리하는 사람을 신뢰하게 됩니다.

최고 수준의 보안을 위해 작업을 변경할 수 없는 전체 커밋 SHA에 고정하십시오.

잠금 파일(예: package-lock.json 또는 poetry.lock)은 정확한 의존성 버전과 해시를 고정합니다.

CI에서는 결정적인 설치 명령을 사용하여 빌드를 재현 가능하게 만들고 변조된 버전을 모르게 가져오지 않도록 하십시오.

소프트웨어 구성 요소 목록 (SBOM)은 빌드에 포함된 모든 구성 요소의 전체 목록입니다. 규정 준수를 위해 이를 요구하는 경우가 점점 늘고 있습니다.

GitHub는 SPDX 형식으로 SBOM을 내보낼 수 있으며, 싯프트와 같은 도구를 CI 내부에서 실행하여 생성할 수도 있습니다.

SCA는 라이선스 위험도 다룹니다. 독점 제품에 GPL 라이선스 라이브러리를 포함하면 법적 의무가 발생할 수 있습니다.

허용되지 않는 라이선스를 표시하거나 거부하도록 스캐너를 구성하여 감사 과정이 아니라 CI에서 문제를 발견하도록 하십시오.

탐지는 문제가 있는 코드를 차단할 때만 도움이 됩니다. 심각한 취약점이 발견되면 파이프라인을 실패시키도록 SCA 게이트를 구성하십시오.

심각도 기준을 설정하여 위험도가 낮은 발견 사항은 경고하고 심각한 발견 사항은 병합 또는 배포를 차단하도록 하십시오.

새로운 취약점은 매일 공개되므로 한 번의 검사만으로는 충분하지 않습니다. 모든 PR에서 실행하는 것과 함께 일정에 따라서도 SCA를 실행하십시오.

이렇게 하면 병합 시점에는 안전했지만 나중에 취약해진 패키지를 찾아낼 수 있습니다.

소프트웨어 공급망 보안에 대한 이해도를 확인해 보십시오.

소프트웨어 공급망을 보호하는 방법을 배웠습니다.

• SCA는 알려진 취약점이 있는지 의존성을 검사합니다
• 데펜더봇은 위험한 패키지를 알리고 자동으로 업데이트합니다
• 의존성 검토는 위험한 PR을 차단합니다
• 작업을 SHA 값에 고정하고, 잠금 파일을 사용하며, SBOM을 생성하십시오

SAST 및 비밀 관리와 함께 사용하면 안전한 파이프라인을 완성할 수 있습니다.