패키지 설치, 당신의 모든 비밀을 노출시킬 수 있습니다!

실제 사례로, Aqua의 Trivy 공격과 LiteLLM의 악성 패키지 배포 사건이 언급되었다. Trivy 공격은 CI 환경의 신뢰된 경로를 악용하여 런너의 비밀 정보를 탈취했으며, LiteLLM은 Trivy 의존성을 통해 환경 변수, SSH 키, 클라우드 자격 증명 등을 수집하여 외부로 전송했다. 이러한 사건들은 의존성 관리(Dependency Management)의 중요성을 강조하며, 패키지 잠금, CI 액션 고정, 아웃바운드 트래픽 모니터링 등 구체적인 방어 전략의 필요성을 보여준다.

의존성 패키지 보안을 강화하기 위해, 패키지 잠금 파일(`package-lock.json`, `requirements.txt`)을 사용하여 의존성 트리를 고정하고, CI 액션을 특정 커밋 SHA에 고정해야 한다. 또한, 빌드 타임과 런타임에 사용되는 비밀 정보를 분리하여 각 환경에 필요한 최소한의 정보만 노출하도록 해야 한다. 특히, 신뢰도가 낮은 패키지나 직접 Git에서 설치하는 패키지는 더욱 주의해야 하며, 아웃바운드 트래픽을 모니터링하여 의심스러운 통신을 감지해야 한다. 이러한 조치들은 공격 표면(Attack Surface)을 줄이고, 잠재적인 보안 사고의 영향을 최소화하는 데 기여한다.