npm, 공급망 공격 방지를 위한 2FA 기반 게시 및 패키지 설치 제어 기능 추가

핵심 요약

GitHub는 npm에 '스테이지드 퍼블리싱' 기능과 2단계 인증(2FA) 기반의 패키지 릴리스 승인 제어 기능을 도입했습니다. 이는 소프트웨어 공급망 공격(Supply Chain Compromise, T1195)을 방지하고, 악성 패키지(Malicious Library, T1204.005)가 개발 환경에 유입되는 것을 차단하기 위한 조치입니다. 특히, 개발 도구 및 의존성 조작(Compromise Software Dependencies and Development Tools, T1195.001)을 통한 공격을 방지하는 데 중점을 둡니다. IT 감사인은 조직이 사용하는 오픈소스 라이브러리 및 패키지 관리 시스템의 보안 통제 현황을 점검하고, 공급망 보안 강화를 위한 다단계 인증 및 승인 절차 도입 여부를 확인해야 합니다.

💡 개선 권고안

• ✔기술적 조치조직의 소프트웨어 개발 및 배포 파이프라인(CI/CD)에서 사용되는 모든 패키지 관리 시스템(예: npm, Maven, pip)에 대해 2단계 인증(2FA)을 의무화하고, 패키지 릴리스 및 배포 전 명시적인 관리자 승인 절차를 도입할 것을 권고함.
• ✔기술적 조치오픈소스 라이브러리 및 종속성에 대한 정기적인 보안 취약점 스캔을 자동화하고, 알려진 취약점(CVE)이 포함된 패키지의 사용을 차단하는 정책을 수립 및 적용해야 함을 권고함.
• ✔관리적 조치소프트웨어 공급망 보안 강화를 위한 내부 정책을 수립하고, 오픈소스 라이브러리 사용 및 관리 지침에 2단계 인증, 스테이지드 퍼블리싱과 같은 보안 통제 요건을 명확히 반영할 것을 권고함.
• ✔관리적 조치개발 및 운영 담당자를 대상으로 소프트웨어 공급망 공격의 위험성과 npm 등 패키지 관리 시스템의 보안 기능 활용 방법에 대한 정기적인 보안 교육을 시행할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문