Trivy 침해 사례를 통한 CI/CD 파이프라인 무신뢰 설계 및 SBOM 준수 전략

Context

소프트웨어 공급망 공격 증가에 따라 EU CRA 등 법적 규제로 인한 SBOM 생성 의무화 추세. 기존 CI/CD 파이프라인 내 장기 생존 자격 증명(Long-lived Credentials) 사용 및 가변적인 Git Tag 기반 의존성 관리로 인한 보안 취약점 노출.

Technical Solution

• OIDC(OpenID Connect) 도입을 통한 단기 생존 자격 증명(Short-lived Credentials) 체계로의 전환
• GitHub Action 모듈 참조 방식을 Version Tag에서 Immutable한 Commit Hash Pinning으로 변경하여 임의 코드 주입 방지
• SBOM 생성 도구의 신뢰성 검증을 위해 Trivy 등 외부 도구의 잠재적 침해 가능성을 고려한 다중 검증 파이프라인 설계
• 공급망 보안 강화를 위해 Secure by Design 원칙에 기반한 고품질 SBOM 자동 생성 프로세스 구축
• 런타임 환경의 최소 권한 원칙 적용을 통한 CI/CD 파이프라인 내 횡적 이동(Lateral Movement) 차단