공급망 보안, 해법은 ‘자동화된 길목 통제’... OWASP 세미나

요약 : OWASP 서울 챕터 6월 세미나에서 당근과 토스의 보안 실무자들이 파이썬 공식 저장소(PyPI)에 하루 900개 이상의 신규 패키지가 등록되고 최근 1년간 멀웨어 2800개 이상이 보고되는 대규모 소프트웨어 공급망 위협에 대응한 사내 인프라 구축 사례를 공유했으며, 당근은 클라이언트 개별 통제 대신 사내 「레지스트리 프록시」를 구축해 배포 후 일정 기간이 지나지 않은 패키지 접근을 차단하는 「쿨다운」 정책으로 악성 패키지의 짧은 생애주기 감염 리스크를 선제 제어하고, 토스는 피클(Pickle) 등 직렬화 포맷의 역직렬화 시 임의 코드 실행 취약점과 커스텀 아키텍처용 파이썬 스크립트를 악용한 스캐너 우회 공격이 MLOps 환경을 노리는 상황에서 쿠버네티스 기반 자체 「아티팩트 방화벽」으로 하루 6만 건 이상 패키지를 스캔하고 HTTP 캐시 스펙을 활용해 개발 속도를 저해하지 않으면서 유해 버전만 숨기는 방식을 구현했다고 밝혀, 개별 개발자의 주의력에 의존하던 수동적 관행에서 벗어나 사내망 진입 길목에 프록시·방화벽을 세우는 중앙 통제형 자동화 아키텍처가 공급망 보안의 실무적 대안으로 자리 잡고 있다는 것이 기사의 주된 메시지입니다.

느낀점/소감 : 여기서는 파이썬 얘기위주로만 했지만 이런 오픈소스들이 하루에도 ai때문에 많이 생성되면서 그 사이에 악성 패키지들이 존재할텐데 이런걸 걸러내는 시스템을 만든다는것같은데 이런 얘기들이 아이디어 떠올리는데 좋은 소스들인것같다. 이런 오픈소스들이 공급망 공격에 어떻게 사용되는지에 대해 알게되었고 이런걸 거르는 시스템도 필요한것도 알게되었다.