아티팩트 저장소에는 방화벽이 필요합니다.

안녕하세요,그로메트릭 입니다. 🐸 npm 등 공개 패키지 저장소에 의존해 개발하는 팀이라면 패키지가 개발 환경에 들어오는 지점을 반드시 점검해야 합니다.공격자는 악성 패키지를 직접 배포하거나 정상 프로젝트를 탈취해, 평범한 의존성 다운로드를 자격 증명 탈취와 빌드 침해의 통로로 바꾸고 있습니다. 악성 패키지는 설치 과정에서 코드를 실행되며, 이 시점의 개발자 PC와 빌드 시스템은 소스 코드, 토큰, 클라우드 계정, 배포 자격 증명에 접근할 수 있는 상태입니다. 여기에 CI 파이프라인과 AI 에이전트가 사람의 검토 없이 패키지를 자동으로 내려받으면서 요청량 자체가 늘고 있습니다. 소프트웨어 공급망 보안 관점에서 패키지 유입 시점의 통제 여부가 실질적인 비즈니스 리스크를 좌우하는 상황입니다.이번 소나타입 ..

안녕하세요,그로메트릭 입니다. 🐸 생성형 AI 사용 정책은 마련했지만 실제로 어떤 AI가 쓰이고 있는지는 파악하지 못한 조직이라면 가볍게 넘겨서는 안 될 소식입니다.더욱더 늘어나는 AI 보안 위협, 소나타입(Sonatype)은 섀도우 AI를 하나의 위험이 아니라 세 가지 서로 다른 문제로 나눠 설명합니다.훌륭한 사용 정책이 있더라도 자사 소프트웨어 안에서 어떤 AI 모델이 동작하는지 모를 수 있다는 점에서, 소프트웨어 공급망 보안 관점의 실질적인 비즈니스 리스크로 이어질 수 있는 사안입니다. *아래 글은 소나타입(Sonatype)의 공식 블로그 글을 번역하여 작성되었습니다.섀도우 AI는 하나의 위험이 아니라 '세 가지 문제'입니다요약대부분의 기관과 계약업체는 생성형 AI 정책을 갖췄지만, 구성원이 실제..

안녕하세요,그로메트릭 입니다. 🐸 Maven Central에서 Java 의존성을 가져오는 개발팀이라면, 빌드가 성공하는 이면의 구조를 한 번쯤 짚어볼 필요가 있습니다. 개발팀이 의존성을 추가할 때 신뢰하는 대상은 파일 하나가 아닙니다.좌표와 일치하는 컴포넌트, 올바른 버전 해석을 돕는 메타데이터, 빌드 시점에 항상 가능한 다운로드까지 함께 신뢰하게 됩니다.이 과정은 대부분 자동으로 수행되기 때문에, 신뢰가 전제되어 있다는 사실은 평소에 잘 드러나지 않습니다. 소나타입의 OSPO Global Director인 Paul Horton은 퍼블리싱, 메타데이터, 가용성, 문제 대응, 장기 보존이라는 운영 요소가 이 신뢰를 만든다고 설명합니다. 의존성의 출처와 위험을 설명해야 하는 조직에게는 공급망 보안 관점에서..

안녕하세요,그로메트릭 입니다. 🐸 PHP 기반 웹사이트나 사내 포털, 또는 PHP 런타임을 내장한 제품을 운영하는 조직이라면 절대 가볍게 넘겨서는 안 될 소식입니다.PHP2Shell은 PHP 런타임에서 확인된 두 건의 치명적 취약점(CVE-2026-109618, CVE-2026-109619)을 묶어 부르는 명칭입니다.두 취약점 모두 인증 없이 원격 코드를 실행할 수 있는 상태로 이어질 수 있습니다.PHP 프로젝트는 웹 요청을 처리하는 모든 PHP 설치 환경이 영향 범위에 있으며, 특히 Apache의 mod_php 구성에서 위험이 가장 높다고 밝혔습니다. 소프트웨어 공급망 보안 관점에서, 패치 자체보다 어느 시스템에 PHP가 있고 누가 책임지는지 모르는 상태가 실질적인 비즈니스 리스크로 이어질 수 있는 ..

안녕하세요,그로메트릭 입니다. 🐸 npm, PyPI 등 오픈소스 패키지를 내려받아 빌드하는 개발팀이라면 이번 3분기 데이터는 가볍게 넘겨서는 안 될 내용입니다.소나타입(Sonatype)은 2026년 3분기에 149,329건의 악성 오픈소스 패키지를 식별했습니다.2017년 추적을 시작한 이후 누적 건수는 1,960,846건으로 200만 건에 근접했습니다.이 중 npm이 133,579건으로 전체의 89.5%를 차지했습니다.그러나 이번 분기의 핵심은 물량이 아닙니다. 악성 행위가 명확히 확인된 패키지 27,618건 가운데 약 4분의 3이 추가 페이로드 배포 또는 시크릿 탈취를 수행했다는 점이 더 중요합니다.하나의 패키지 침해가 자격 증명 유출, 추가 악성코드 설치, 신뢰된 계정 탈취로 이어지면 공급망 보안 ..

안녕하세요,그로메트릭 입니다. 🐸 npm install 한 줄이면 끝나는 패키지 설치가, 개발자의 열쇠 꾸러미를 통째로 넘기는 순간이 될 수 있습니다. 개발 환경에 저장된 자격증명이 노출되면 소스 코드 저장소와 빌드·배포 인프라 운영 전반으로 위험이 번질 수 있다는 점에서, 이는 개발자 한 사람의 문제로 끝나지 않습니다. 소나타입 리서치팀이 분석한 TensorLake TypeScript SDK의 악성 릴리스(tensorlake@0.5.144)는 설치 시점에 preinstall 훅으로 난독화된 JavaScript 페이로드를 실행했고, GitHub 토큰과 HashiCorp Vault 자격증명은 물론 Claude, Cursor, Kiro, Codex, Gemini, Windsurf 등 AI 개발 도구의 설..

안녕하세요,그로메트릭 입니다. 🐸 애플리케이션 하나가 평균 약 180개의 의존성(dependency)을 품고 있는 시대입니다. 개발자가 라이브러리 하나를 추가하는 순간, 패키지 매니저는 수십 개의 전이적 의존성(transitive dependency)까지 함께 가져옵니다. 그중 하나라도 악성 패키지라면 빌드가 시작되기도 전, 설치 단계에서 코드가 실행될 수 있습니다. 도입 이후 새로운 취약점이 공개되면 영향을 받는 애플리케이션을 모두 찾아내고, 적용 가능한 업데이트를 마련해야 합니다. 소나타입 리서치팀이 2026년 2분기 말까지 지난 10년간 기록한 악성 패키지는 180만 개를 넘습니다. 익숙한 레지스트리를 쓴다고 안전이 보장되지는 않는다는 뜻입니다.게다가 이제는 AI 코딩 어시스턴트까지 의존성과 업그..

안녕하세요,그로메트릭 입니다. 🐸 최근 npm 생태계에서 또 하나의 심상치 않은 공급망 공격이 포착됐습니다. 소나타입 리서치랩이 발견한 이번 사건은 npm 패키지 6종이 동일한 악성 페이로드를 유포한 사례로, sonatype-2026-005899, sonatype-2026-005901로 각각 추적되고 있습니다. 그중 3개는 원래 신뢰받던 정상 패키지가 하이재킹된 것이고, 나머지 3개는 처음부터 악성 코드를 품고 게시된 신규 패키지입니다. 더 눈길을 끄는 건 공격 방식입니다. 이 악성코드는 놀랍게도 이더리움 블록체인 트랜잭션을 명령제어(C2) 서버 주소를 찾는 용도로 활용합니다. 특정 지갑 주소의 최근 송금 내역을 조회해 수신자 주소를 IP로 디코딩하는 방식인데, 이는 북한(DPRK) 배후로 알려진 ..

안녕하세요,그로메트릭 입니다. 🐸 소프트웨어 공급망 보안과 컴플라이언스 전략이 빠르게 진화하고 있습니다. SBOM(소프트웨어 명세서)이 처음 주목받기 시작했을 때, 그 목적은 비교적 단순했습니다. "이 애플리케이션에 어떤 오픈소스 컴포넌트가 포함되어 있는가?"라는 질문에 답하는 것이었죠. 그러나 오늘날의 소프트웨어 생태계는 클라우드 서비스, API, 컨테이너, CI/CD 파이프라인, 그리고 AI/ML 모델까지 훨씬 복잡해졌습니다. SBOM은 이제 단순한 컴플라이언스 체크리스트를 넘어, 공급망 공격 대응, 규제 준수, 벤더 리스크 관리, 그리고 AI 거버넌스의 핵심 도구로 빠르게 자리를 잡아가고 있습니다. 특히 AI 기반 애플리케이션이 확산되면서, AI 모델과 데이터셋의 출처를 추적하는 AI BOM(인공..

더보기그로메트릭 네이버 블로그 확인하기!https://m.blog.naver.com/grometric/223975362887 SW 공급망 보안, 더 이상 선택이 아닌 이유안녕하세요 그로메트릭 입니다. 🐸 최근 IT 업계에서 더 이상 외면할 수 없는 화두, '소프트웨어 ...blog.naver.com 안녕하세요그로메트릭 입니다. 🐸​최근 IT 업계에서 더 이상 외면할 수 없는 화두, '소프트웨어 공급망 보안'에 대해 들어보셨나요?​최근 저희 그로메트릭의 김관영 대표님께서, 이 뜨거운 감자에 대해 국내 최고의 정보보호 전문 유튜브 채널 KISEC(한국정보보호교육센터)에 출연하여 깊이 있는 인사이트를 나누고 오셨는데요.복잡하고 어렵게만 느껴졌던 소프트웨어 공급망 보안의 모든 것을 전문가의 시선으로 알기..