New Shai-Hulud attack trojanizes 19 science-focused PyPI packages

핵심 요약

최근 'Shai-Hulud' 공격자들이 PyPI(Python Package Index)에 등록된 19개 과학 분야 패키지를 변조하여 공급망 공격을 수행했습니다. 공격자들은 변조된 패키지를 통해 개발자들의 중요한 비밀 정보(developer secrets)를 탈취하는 악성코드를 배포했으며, 이는 소프트웨어 개발 생명주기(SDLC)의 핵심 단계인 외부 라이브러리 의존성 관리의 취약점을 악용한 공급망 공격(Supply Chain Compromise, T1195)에 해당합니다. IT 감사인은 조직이 사용하는 오픈소스 라이브러리의 무결성 검증 절차와 개발 환경의 보안 통제 현황을 면밀히 점검하여 유사한 공급망 공격으로 인한 데이터 유출 및 서비스 중단 리스크를 사전에 식별하고 완화해야 합니다.

💡 개선 권고안

• ✔기술적 조치조직에서 사용하는 모든 오픈소스 라이브러리 및 서드파티 소프트웨어에 대해 소프트웨어 구성 분석(SCA) 도구를 도입하고, 정기적으로 취약점 및 악성코드 유입 여부를 점검하는 자동화된 프로세스를 구축 및 적용해야 함을 권고함.
• ✔기술적 조치개발 환경 및 CI/CD 파이프라인에서 사용되는 개발자 비밀 정보(API 키, 토큰, 자격 증명 등)는 비밀 관리 시스템(Secret Management System)을 통해 안전하게 관리하고, 최소 권한 원칙에 기반한 접근 통제 및 강력한 암호화 정책을 적용해야 함을 권고함.
• ✔기술적 조치개발자 워크스테이션 및 서버에 EDR(Endpoint Detection and Response) 솔루션을 도입하여 비정상적인 프로세스 실행, 파일 변경, 네트워크 연결 시도 등을 실시간으로 탐지하고 대응할 수 있는 체계를 구축 및 강화할 것을 권고함.
• ✔관리적 조치소프트웨어 공급망 보안 강화를 위한 정책 및 절차를 수립하고, 외부 라이브러리 도입 및 사용 시 보안 검토 프로세스를 의무화하며, 무결성 검증 절차를 포함해야 함을 권고함.
• ✔관리적 조치공급망 공격 및 오픈소스 라이브러리 취약점 관련 사고 발생 시 신속하게 대응할 수 있도록 비상 대응 계획(IRP)을 수립하고, 정기적인 모의 훈련을 통해 대응 역량을 강화할 것을 권고함.
• ✔관리적 조치개발자를 대상으로 오픈소스 라이브러리 사용 시 발생할 수 있는 보안 위협, 안전한 코딩 습관, 비밀 정보 관리 방법 등에 대한 정기적인 보안 교육을 실시하여 보안 인식을 제고할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문