tag: Supply-Chain-Security · 11건
- 근거: Rust 생태계 공급망 보안 사고로 개발자 도구/보안 인식 측면에서 관련되나, 사용 중인 특정 Rust 프로덕션 스택이 없어 즉각 조치 대상은 아님
- 액션: Rust 프로젝트가 있다면
cargo tree | grep arrayref로 의존성 여부 확인 후 공식 권고 조치 적용
- 근거: 오픈소스 공급망 보안 및 AI 에이전트 악용 사례 — DevOps/AI 관심 분야에 해당
- 액션: socket.dev 블로그 포스트 읽고 소셜 엔지니어링 기반 공급망 공격 패턴 파악하기
- 근거: npm 공급망 보안 사고 뉴스로, 개발자 도구/DevOps 영역의 보안 인식 관련 기사
- 액션: npm provenance attestation의 한계 파악: https://docs.npmjs.com/generating-provenance-statements 읽고, 현재 사용 중인 npm 패키지 중 취약 패키지 여부
npm audit로 확인
- 근거: DevOps/공급망 보안 관련 기술 해설 기사로 관심 분야(인프라/시스템)에 해당하나 특정 저장소 도입 대상 아님
- 액션: OpenSSF malicious-packages 저장소(github.com/ossf/malicious-packages) 살펴보고 Advisory Database 연동 구조 파악
- 근거: DevOps/개발 생산성 영역 — Dependabot PR 노이즈 줄이는 설정 가이드
- 액션: GitHub Blog 원문 읽고 dependabot.yml에 groups 및 schedule.interval 설정 적용 방법 파악
- 근거: DevOps/CI·CD 보안 및 공급망 공격 방어 전략 관련 기술 해설 기사
- 액션: 기사 읽고 npm provenance, GitHub Actions 권한 최소화(OIDC, pin-to-SHA) 등 주요 변경 사항 파악하기
- 근거: 자체 호스팅 문서 서명 오픈소스로, 빌드 아티팩트에 cosign 호환 서명·SLSA 프로브넌스 첨부 기능이 DevOps 공급망 보안 영역에 해당
- 액션: git clone https://github.com/letsseal/letsseal 후 로컬에서 PDF 또는 빌드 산출물에 서명 발급·검증 PoC 실행
- 근거: DevOps/공급망 보안 관련 트렌드 기사 — 특정 저장소가 아닌 GitHub Dependabot 기능 변경 공지
- 액션: Dependabot 3일 쿨다운 정책 내용 읽고, 현재 운영 중인 저장소의 dependabot.yml 설정에 영향이 있는지 파악해두기
- 근거: GitHub Dependabot의 기본 동작 변경(신규 패키지 릴리즈 후 3일 대기) — 공급망 보안 관련 DevOps 정보
- 액션: Dependabot 사용 중인 저장소에서 별도 설정 없이 cooldown이 적용되는지 .github/dependabot.yml 확인
- 근거: 소프트웨어 공급망 보안 트렌드 해설 — DevOps/인프라 보안 관심 분야에 해당하나 특정 저장소나 도구를 짚지 않는 일반 기사
- 액션: 기사 읽고 zero-CVE 패키지의 공급망 리스크 유형(타이포스쿼팅, 악성 업데이트 등) 파악하기
- 근거: DevOps/인프라 영역의 소프트웨어 공급망 보안(SBOM, hardened images) 트렌드
- 액션: CISA 2025 SBOM 가이드라인 읽고 컨테이너 이미지 공급망 점검 체크리스트 정리