아티팩트 저장소에는 방화벽이 필요합니다.

안녕하세요,그로메트릭 입니다. 🐸 npm 등 공개 패키지 저장소에 의존해 개발하는 팀이라면 패키지가 개발 환경에 들어오는 지점을 반드시 점검해야 합니다.공격자는 악성 패키지를 직접 배포하거나 정상 프로젝트를 탈취해, 평범한 의존성 다운로드를 자격 증명 탈취와 빌드 침해의 통로로 바꾸고 있습니다. 악성 패키지는 설치 과정에서 코드를 실행되며, 이 시점의 개발자 PC와 빌드 시스템은 소스 코드, 토큰, 클라우드 계정, 배포 자격 증명에 접근할 수 있는 상태입니다. 여기에 CI 파이프라인과 AI 에이전트가 사람의 검토 없이 패키지를 자동으로 내려받으면서 요청량 자체가 늘고 있습니다. 소프트웨어 공급망 보안 관점에서 패키지 유입 시점의 통제 여부가 실질적인 비즈니스 리스크를 좌우하는 상황입니다.이번 소나타입 ..

CVE 대응만으론 부족하다: AI 시대 오픈소스 의존성 관리

안녕하세요,그로메트릭 입니다. 🐸 소프트웨어 취약점(CVE)이 공개될 때마다 보안·개발팀은 같은 순서로 움직입니다. 영향받는 컴포넌트를 쓰고 있는지 확인하고, 취약한 코드에 도달하는지 따지고, 수정 버전을 찾아 테스트한 뒤 프로덕션에 반영합니다. 그리고 곧 다음 권고문이 도착합니다. 문제는 CVE를 하나씩 쫓는 방식이 의존성이 이미 소프트웨어 안에 들어온 뒤에야 위험에 대응하게 만들 수 있다는 점입니다. 소나타입이 분석한 오픈소스 CVE 1,552건 중 64%에는 CVSS 점수가 없었고, 출처 간 심각도 분류가 일치한 비율은 19%에 그쳤으며, 점수 부여까지는 평균 6주가 걸렸습니다. AI가 컴포넌트를 찾고 도입하는 속도를 높이면서, AI 코딩 어시스턴트가 제안한 라이브러리가 검증되기 전에 프로젝트에 ..

안녕하세요,그로메트릭 입니다. 🐸“Agent 등록은 완료됐는데, 로그는 왜 들어오지 않을까요?”“설정을 저장했는데, 왜 실제 동작은 그대로일까요?” 관리 화면을 사용하다 보면 이런 의문이 생깁니다. 이번 개발일지에서는 GroSaaS Agent GUI의 기존 화면을 살펴보고, 기능을 쉽게 찾고 상태를 정확히 이해하도록 설계한 과정을 소개합니다. 이 글에서는 Agent 등록과 로그 수집의 차이, 설정 저장과 적용의 차이, 그리고 관리 화면을 개선할 때 고려한 기준을 확인할 수 있습니다.※ 본문에 소개하는 개편 화면은 설계안입니다. 실제 구현·배포 완료를 의미하지 않으며, 이미지의 상태와 데이터는 이해를 돕기 위한 예시입니다GroSaaS Agent 기존 화면과 개편 방향 요약기능은 다 있는데, 찾으려면 보물..

안녕하세요,그로메트릭 입니다. 🐸 탈취된 npm 패키지에서 PolinRider 로더가 다시 발견되었습니다. 소나타입 리서치 랩스는 2026년 11월 4일, 탈취된 npm 패키지 10개의 릴리스 12건에서 숨겨진 런타임 로더를 확인했습니다. 영향받은 패키지는 Redux 연동, health API, 브라우저 활동 추적, 유틸리티 등 서로 무관한 기능을 제공합니다. 이 로더는 기존 PolinRider 활동에서 보고된 것과 동일한 하드코딩 이더리움 지갑이 보낸 트랜잭션을 조회해 페이로드 서버의 IP 주소를 알아낸 뒤, XOR로 인코딩된 JavaScript를 내려받아 실행하도록 설계되어 있습니다. 패키지 매니페스트에는 install·postinstall 훅이 없어, install 스크립트를 비활성화하는 것만으..

안녕하세요,그로메트릭 입니다. 🐸 생성형 AI 사용 정책은 마련했지만 실제로 어떤 AI가 쓰이고 있는지는 파악하지 못한 조직이라면 가볍게 넘겨서는 안 될 소식입니다.더욱더 늘어나는 AI 보안 위협, 소나타입(Sonatype)은 섀도우 AI를 하나의 위험이 아니라 세 가지 서로 다른 문제로 나눠 설명합니다.훌륭한 사용 정책이 있더라도 자사 소프트웨어 안에서 어떤 AI 모델이 동작하는지 모를 수 있다는 점에서, 소프트웨어 공급망 보안 관점의 실질적인 비즈니스 리스크로 이어질 수 있는 사안입니다. *아래 글은 소나타입(Sonatype)의 공식 블로그 글을 번역하여 작성되었습니다.섀도우 AI는 하나의 위험이 아니라 '세 가지 문제'입니다요약대부분의 기관과 계약업체는 생성형 AI 정책을 갖췄지만, 구성원이 실제..

안녕하세요,그로메트릭 입니다. 🐸GroSaaS는 여러 보안 장비에서 발생하는 로그를 수집하고 분석하는 서비스입니다. 로그가 모이고 나면 “관리자가 화면을 처음 열었을 때, 무엇을 가장 먼저 봐야 하는가?”라는 문제가 남습니다. 데이터가 충분해도 화면이 질문에 답하지 못하면 관리자가 숫자를 직접 해석해야 하고, 그만큼 대응이 늦어지기 때문입니다. 이번 개발일지에서는 대시보드를 화면 유형별로 나누고, 각 화면이 어떤 정보를 어떤 구조로 보여주는지 살펴봅니다. 이어서 정보의 성격에 따라 차트를 고르는 기준을 시각 인지 연구와 함께 정리하고, 눈에 잘 들어오는 화면의 설계 원칙으로 마무리합니다. 본문의 이미지는 이해를 돕기 위해 가상 데이터로 새로 그린 예시입니다.문제: 화면마다 답해야 하는 질문이 다르다 ​..

안녕하세요,그로메트릭 입니다. 🐸 2026년 10월 17일, 한 연구자가 eMudhra 중간 인증기관(CA) 8곳의 개인키가 불충분한 무작위성으로 생성되어 복구될 수 있다고 보고했습니다. 여기에는 TLS 인증서용 6개와 코드 서명용 2개가 포함됩니다. 영향받는 TLS 키를 가진 사람은 웹사이트나 서비스용 인증서를 만들 수 있고, 해당 체인을 여전히 신뢰하는 클라이언트는 이를 받아들일 수 있다는 점이 핵심 리스크입니다. 브라우저와 운영체제 벤더는 영향받는 인증서를 차단했지만, 다른 소프트웨어는 별도로 존재하거나 번들된 인증서 신뢰 저장소(trust store)에 의존할 수 있어 브라우저 보호만으로는 조직 전체의 조치가 끝났다고 말할 수 없습니다.이번 글은 소나타입이 10월 21~23일에 공개한 eMudh..

안녕하세요,그로메트릭 입니다. 🐸 Maven Central에서 Java 의존성을 가져오는 개발팀이라면, 빌드가 성공하는 이면의 구조를 한 번쯤 짚어볼 필요가 있습니다. 개발팀이 의존성을 추가할 때 신뢰하는 대상은 파일 하나가 아닙니다.좌표와 일치하는 컴포넌트, 올바른 버전 해석을 돕는 메타데이터, 빌드 시점에 항상 가능한 다운로드까지 함께 신뢰하게 됩니다.이 과정은 대부분 자동으로 수행되기 때문에, 신뢰가 전제되어 있다는 사실은 평소에 잘 드러나지 않습니다. 소나타입의 OSPO Global Director인 Paul Horton은 퍼블리싱, 메타데이터, 가용성, 문제 대응, 장기 보존이라는 운영 요소가 이 신뢰를 만든다고 설명합니다. 의존성의 출처와 위험을 설명해야 하는 조직에게는 공급망 보안 관점에서..

안녕하세요,그로메트릭 입니다. 🐸GroSaaS는 여러 보안 장비에서 발생하는 로그를 수집하고 분석하는 서비스입니다. 로그를 안전하게 모으려면 저장과 분석뿐 아니라, “지금 데이터를 보내는 Agent가 우리가 등록한 Agent가 맞는가?”도 확인해야 합니다.이번 개발일지에서는 등록용 키를 이용한 최초 인증부터 CSR(Certificate Signing Request)과 CA(인증기관)의 전자서명까지, Agent의 신원을 신뢰하는 과정을 살펴봅니다. 발급된 인증서가 TLS와 mTLS 통신에서 어떤 역할을 하는지도 함께 알아보겠습니다.Agent는 처음 연결할 때 어떻게 신원을 증명할까? 🔍보안 장비의 로그를 수집하는 시스템에서는 각 Agent를 구분할 수 있어야 합니다. 이를 위해 관리 서버는 등록된 Ag..

안녕하세요,그로메트릭 입니다. 🐸 PHP 기반 웹사이트나 사내 포털, 또는 PHP 런타임을 내장한 제품을 운영하는 조직이라면 절대 가볍게 넘겨서는 안 될 소식입니다.PHP2Shell은 PHP 런타임에서 확인된 두 건의 치명적 취약점(CVE-2026-109618, CVE-2026-109619)을 묶어 부르는 명칭입니다.두 취약점 모두 인증 없이 원격 코드를 실행할 수 있는 상태로 이어질 수 있습니다.PHP 프로젝트는 웹 요청을 처리하는 모든 PHP 설치 환경이 영향 범위에 있으며, 특히 Apache의 mod_php 구성에서 위험이 가장 높다고 밝혔습니다. 소프트웨어 공급망 보안 관점에서, 패치 자체보다 어느 시스템에 PHP가 있고 누가 책임지는지 모르는 상태가 실질적인 비즈니스 리스크로 이어질 수 있는 ..