피드로 돌아가기
Dev.toSecurity
원문 읽기
보안 스캐너가 무기가 된 Trivy 공급망 공격의 교훈
When Your Security Scanner Becomes the Weapon: Lessons from the Trivy Supply Chain Attack
AI 요약
Context
GitHub Actions의 가변 태그(Mutable Tag) 시스템을 악용한 공급망 공격 발생. 공격자가 메인테이너 계정을 탈취하여 악성 코드가 포함된 릴리스 태그를 강제 푸시함. 보안 도구가 가진 광범위한 파일 시스템 접근 권한을 이용해 자격 증명을 탈취한 사례.
Technical Solution
- 가변적인 태그 참조 대신 고유한 commit SHA를 사용하여 immutable한 버전 관리 체계 구축
- cosign 도구를 활용해 실행 전 바이너리 서명 및 OIDC issuer 기반의 신원 검증 절차 도입
- 보안 스캔 작업에 필요한 최소 권한만 부여하고 무관한 자격 증명 주입을 차단하는 권한 격리 설계
- StepSecurity harden-runner를 통해 CI/CD 실행 중 외부 네트워크 연결을 감시하는 Egress 모니터링 적용
- CI 파이프라인 진입 전 로컬 환경에서 먼저 스캔을 수행하여 자격 증명 노출 범위와 피해 반경을 최소화하는 Local-First 전략 채택
Impact
- 공격 기간: 2026년 3월 19일부터 3월 24일까지 총 5일간 지속
- 피해 규모: aquasecurity/trivy-action의 태그 75개 오염
- 탐지 지표: C2 서버 IP 142.11.206.73 및 도메인 sfrclak.com으로의 네트워크 통신
Key Takeaway
신뢰 기반의 벤더 평판보다 암호학적 검증에 기반한 무결성 확인이 필수적이며, 보안 도구 자체가 공격 벡터가 될 수 있음을 전제로 한 제로 트러스트 아키텍처 설계가 필요함.
실천 포인트
모든 GitHub Action 참조를 태그에서 commit SHA로 전환하고, CI/CD 러너의 외부 네트워크 통신을 화이트리스트 기반으로 제어할 것