Over 100 NPM, PyPI Packages Hit in New Shai-Hulud Supply Chain Attacks

핵심 요약

Shai-Hulud 공급망 공격의 새로운 변종(Miasma, Hades)이 100개 이상의 NPM 및 PyPI 패키지를 감염시켰습니다. 이는 소프트웨어 개발 생태계의 핵심 구성요소인 오픈소스 패키지 저장소를 악용하여, 개발 단계에서부터 악성 코드를 주입하는 공급망 공격(Supply Chain Compromise, T1195)의 전술을 사용합니다. 이러한 공격은 기업이 사용하는 소프트웨어의 신뢰성을 근본적으로 훼손하며, 개발 및 운영 환경 전반에 걸쳐 잠재적인 백도어 설치, 데이터 유출, 시스템 제어권 탈취 등 심각한 보안 사고로 이어질 수 있으므로, IT 감사인은 소프트웨어 공급망 보안 통제에 대한 철저한 점검이 필요합니다.

💡 개선 권고안

• ✔기술적 조치소프트웨어 구성 분석(SCA) 도구를 도입하여 사용 중인 모든 오픈소스 라이브러리 및 패키지의 취약점, 라이선스, 그리고 악성 코드 포함 여부를 지속적으로 모니터링하고, 알려진 취약점 또는 의심스러운 패키지 사용을 즉시 차단할 것을 권고함.
• ✔기술적 조치개발 환경 및 CI/CD(지속적 통합/지속적 배포) 파이프라인에 대한 보안을 강화하고, 코드 서명, 빌드 무결성 검증, 그리고 배포 전 보안 스캔을 의무화하여 악성 코드 주입을 방지해야 함을 권고함.
• ✔관리적 조치오픈소스 소프트웨어 사용 정책을 수립하고, 개발자가 신뢰할 수 있는 저장소에서만 패키지를 다운로드하도록 교육하며, 패키지 사용 전 보안 검토 절차를 의무화할 것을 권고함.
• ✔관리적 조치개발자 워크스테이션 및 개발 서버에 대한 보안 취약점 관리 및 패치 적용 절차를 강화하고, 개발 인프라에 대한 접근 통제 및 모니터링을 철저히 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문