Bitwarden CLI npm 패키지, 개발자 자격 증명 탈취 위해 침해당해

핵심 요약

Bitwarden CLI npm 패키지가 공격자들에 의해 침해당하여 개발자 자격 증명 탈취 페이로드를 포함한 악성 패키지가 npm에 업로드되었습니다. 이는 소프트웨어 공급망을 통해 다른 프로젝트로 확산될 수 있는 위협으로, MITRE ATT&CK의 Supply Chain Compromise(T1195) 전술 중 Compromise Software Dependencies and Development Tools(T1195.001) 기법을 활용한 것으로 분석됩니다. IT 감사인은 소프트웨어 개발 및 배포 파이프라인 전반에 걸쳐 공급망 보안 통제가 적절히 구현되고 있는지, 특히 외부 라이브러리 및 패키지 사용에 대한 검증 절차가 충분한지 점검하여 잠재적인 자격 증명 탈취 및 시스템 침해 리스크를 식별해야 합니다.

💡 개선 권고안

• ✔기술적 조치소프트웨어 개발 및 배포 파이프라인(CI/CD)에 외부 라이브러리 및 패키지의 보안 취약점 스캔, 악성 코드 검사, 코드 서명 검증 등 자동화된 보안 검증 절차를 의무적으로 적용해야 함을 권고함.
• ✔기술적 조치개발자 자격 증명(API 키, 토큰 등)은 비밀 관리 솔루션(예: HashiCorp Vault, AWS Secrets Manager)을 통해 안전하게 저장 및 관리하고, 최소 권한 원칙을 적용하여 접근 통제를 강화할 것을 권고함.
• ✔관리적 조치소프트웨어 공급망 보안 강화를 위한 정책을 수립하고, 외부 라이브러리 및 오픈소스 소프트웨어 사용에 대한 승인 절차, 정기적인 보안 감사 및 공급망 위험 평가를 시행할 것을 권고함.
• ✔관리적 조치개발자를 대상으로 소프트웨어 공급망 공격 유형, 안전한 패키지 사용 방법, 자격 증명 관리 수칙 등 최신 보안 위협에 대한 정기적인 교육을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문