피드로 돌아가기
Dev.toSecurity
원문 읽기
Zero Dependency 기반 4KB 초경량 CVSS v3.1/v4.0 오프라인 스코어링 라이브러리
Score Any CVSS Vector Offline - v3.1 and v4.0, Zero Dependencies
AI 요약
Context
NVD API 의존 시 발생하는 Network Egress 제한 및 Rate-limit 문제로 인한 성능 저하 발생. 기존 라이브러리들의 무거운 Dependency와 오래된 Crypto 라이브러리 포함으로 인한 빌드 크기 증가 및 보안 취약점 노출 위험 존재.
Technical Solution
- 외부 네트워크 호출을 완전히 제거한 Offline Scoring 아키텍처 설계
- CVSS v3.1 및 v4.0 표준 스펙을 충실히 구현한 단일 패키지 구조 채택
- Vector 문자열 분석 후 버전별 전용 Scorer로 분기하는 Dispatch 로직 적용
- 별도의 Build Step 없이 즉시 실행 가능한 Zero Dependency 라이브러리 구현
- Web Component 형태로 제공하여 프레임워크 제약 없는 UI 통합 환경 구축
- CI Runner 내 SBOM 분석 및 Jira 티켓 우선순위 자동화를 위한 인터페이스 제공
실천 포인트
- 외부 API 의존성이 시스템 안정성에 영향을 주는 경우 Local Logic으로의 전환 검토 - 라이브러리 도입 시 Transitve Dependency로 인한 보안 취약점 전이 여부 확인 - CI/CD 파이프라인 내 네트워크 격리 환경(Air-gapped)을 고려한 도구 선정