어플리케이션 탈중앙화가 진행되는 현실을 감안하면 각 개발자가 언제 안전하지 않은 오픈 소스 패키지를 사용하는지 파악하는 것은 매우 어렵습니다.
이 문제를 해결하기 위해 CxSCA는 코드베이스를 자동으로 스캔하고 SBOM을 만들어 냅니다. 이를 통해 어떠한 외부 코드를 사용하고 있는지, 그리고 커스텀 어플리케이션 내의 해당 코드 위치 식별이 가능합니다.
다시 말해 소프트웨어 공급망의 포괄적 모습을 파악이 가능하며, 오픈 소스 결함으로 인해 발생할 수 있는 어플리케이션 내의 취약성 교정 준비 태세가 높아집니다. 또한 코드의 출처를 자세히 설명하고, 타사 종속성 관련 보안을 보장하기 위해 취한 조치를 보여주는 감사 보고서를 준비할 수 있습니다.
애플리케이션에 통합하는 오픈 소스 라이브러리, 모듈 또는 기타 종속성 등에 알려진 취약점이 존재하는 경우, 해당 취약점이 악용되기 전에 즉시 결함을 찾아 수정해야 합니다.
물론 취약점 데이터베이스를 수동으로 살펴보고, 경보와 종속성을 하나씩 연계해서 위험을 관리할 수는 있습니다.
하지만 CxSCA를 사용하여 프로세스를 자동화할 수도 있습니다. CxSCA는 코드베이스를 스캔하고, 오픈 소스 구성 요소를 검색한 다음, 취약점이 있을 경우 경보를 제공합니다.
또한 CxSCA는 각 취약점에 대한 악용 가능 경로(Exploitable Paths) 정보를 제공하여, 사용자가 실제로 위험에 처해 있는지 여부를 알려줍니다.
이러한 맥락 정보를 활용하여 취약점의 위험 메트릭스를 정확하게 평가하고, 위험 완화를 위한 가장 효율적인 계획을 식별할 수 있습니다.
예를 들어 업스트림 오픈 소스 프로젝트에 아직 문제 해결 조치가 나와 있지 않은 경우, 공격자가 취약점 악용에 사용하는 데이터 인풋 차단이 가능합니다. 이를 통해 근본적인 결함이 해결될 때까지 효과적으로 위험의 완화가 가능합니다.
모든 오픈 소스 코드는 사용 방식에 제약 조건이 없으며, 준수해야 할 규칙이 거의 없다고 알려져 있습니다.
하지만 이는 사실이 아니며
현실은 그렇게 단순하지 않습니다.
일부 오픈 소스 라이센스는 원래 개발자의 저작자 표시를 요구합니다.
혹은 파생적으로 생성된 어플리케이션도 오픈 소스 라이센스 하에서 출시될 것을 요구하기도 합니다.
또한 라이브러리의 원래 개발자가 자신의 코드 사용에 대한 비용 지불을 요구하는 경우도 있습니다. 결국 많은 사람들의 생각과는 달리 오픈 소스가 항상 무료인 것도 아니며, 라이센스 위반에 대한 문제가 발생한다면 소송에 휘말릴 가능성도 있습니다.
Solutions
Industry
Solutions For
Services
Partners
Company
Resources
Community
©2023 Checkmarx Ltd. All Rights Reserved. iISO/IEC 27001:2013 Certified
