업스트림 지원이 중단된 후에도 패치 제공을 계속하는 ActiveState의 대안 - TuxCare

두 카탈로그의 비교

기능
시큐어체인
ActiveState
카탈로그 모델 ✓소스 코드에서 재컴파일하여 사전 검증된 패키지로 구성된 하나의공유 카탈로그 ✓ActiveState 라이브러리에서 추출하여 소스 코드부터 다시 구축한, 고객별 전용 카탈로그
SLSA 출처 ✓레벨3 ✓레벨3
SBOM 및 VEX ✓포함됨 ✓포함됨
CVE 대응 SLA ✓모든 심각도 수준에 대해 공개되며, 업스트림에 수정 사항이 있든 없든 상관없이 카운트다운이 진행됩니다. ⚠업스트림 수정 사항이 마련되는 즉시 시작되며, 5, 10, 30 영업일 소요될 것으로 안내됩니다.
수정 사항은 누가 작성하나요? ✓사용 중인 버전에 대한 업스트림수정 사항과 당사가 직접 적용한 패치 ✗상류에 의존적
수명 종료(EOL) 패치 ✓현재 실행 중인 정확한 버전을 기준으로 ‘무한 라이프사이클 지원’이 계속제공됩니다. ⚠보장 기간은제품 수명이 다하면 종료되며, 그 이후에는 별도의 계약이 필요합니다.
EOL 시정 조치 SLA ✓네, CVE 공개 내용을 기준으로 측정함 ✗게시된 내용 없음
사전 공지 없이 중단된 버전 ✓공개된 SLA에 따라 패치되었으며, EOL 공지가 필요하지 않습니다. ✗게시된 내용 없음
악성코드 방어 ✓접수 시 소스코드를 검토하여, 단순히 알려진 시그니처뿐만 아니라 숨겨진 악성 행위와 의심스러운 패턴도 확인합니다. ⚠공개된 방법이 없으며, 소스 코드가 검토되었는지 여부에 대해서는 알려진 바가 없음
주문형 패키지 ✓대부분의패키지는 이미 카탈로그에 수록되어 있으며, 누락된 항목은 추가 비용 없이 추가됩니다. ⚠카탈로그의구성품은 고객별로 선정되며, 누락된 부품이 있을 경우 해당 부품이 도착할 때까지 기다려야 합니다.

업스트림에서 중단했다고 해서 패치 작업도 멈춰서는 안 됩니다

구버전에 대한 종료 공지가 나오는 경우는 드뭅니다. 업스트림은 그저 다음 단계로 넘어갈 뿐입니다. SecureChain은 공개된 SLA에 따라 사용자가 실행 중인 버전에 지속적으로 패치를 제공하므로, 오래된 종속성이 예기치 못한 마이그레이션 프로젝트로 번지는 일을 방지합니다.

견적 받기
시큐어체인

제작 과정에서 느껴지는 세 가지 차이점

첫날부터 검증된 패키지를 가져오세요

SecureChain에는 생태계별로 이미 검증을 거친 수천 개의 패키지가 포함되어 있으므로, 사용자가 요청을 제출하기 전부터 일반적인 종속성들이 이미 준비되어 있습니다. ActiveState 카탈로그는 고객별로 구성됩니다.

업스트림에서 업데이트가 중단된 후에도 계속 패치가 제공되고 있습니다

수많은 오픈소스 라이브러리는 지원 종료(EOL)를 공식적으로 발표하지 않습니다. 단지 수정 패치 제공을 중단할 뿐이죠. SecureChain은 이를 파악하고 지속적으로 패치를 제공합니다. ActiveState는 요청 시 별도의 계약을 통해 이를 지원해 줍니다.

아직 아무도 신고하지 않은 내용을 찾아보세요

CVE 기록이 깨끗하다고 해서 해당 패키지가 안전하다고 단정할 수는 없습니다. SecureChain은 모든 패키지를 등록할 때 소스 코드를 스캔하여 숨겨진 악성코드가 있는지 확인합니다. ActiveState는 자사의 악성코드 검사 방식에 대해 공개하지 않습니다.

우리는
에서 전례 없는 규모로 엔터프라이즈급 패치 관리를 지원해 왔으며 , 이제 막 시작에 불과합니다.

2,700개 이상
기업 고객

14,000개 이상의
취약점 수정

420,000건 이상
패치 배포

70,000개 이상의엄선된 패키지

파이프라인을 재구축하지 않고 전환하기

  • ActiveState 카탈로그에서 현재 실행 중인 버전의 TuxCare 빌드로 전환하세요. 리포지토리당 한 번만 설정을 완료하면 됩니다.

  • 패키지 관리자와 설치 명령어는 그대로 사용하세요. 모든 패키지에는 SLSA 레벨 3 출처 정보, SBOM 및 VEX가 포함되어 있습니다.

오늘 바로 택배를 수령하고, 패치는 제때 받아보세요

팀에서 사용하는 패키지와 버전을 보내주세요. 카탈로그에 이미 어떤 항목이 포함되어 있는지, 그리고 업스트림 지원이 중단될 때 TuxCare가 어떤 역할을 맡는지 안내해 드리겠습니다.

견적 받기

자주 묻는 질문

ActiveState는 1990년대 후반부터 오픈소스 언어 런타임을 개발해 왔으며, 특히 Python, Perl, Tcl로 가장 잘 알려져 있습니다. 이 회사의 ‘Curated Catalog’는 자사 라이브러리에서 선별한 구성 요소들로 구성된 비공개 저장소로, SLSA 레벨 3 인프라에서 소스 코드 기반으로 빌드되었으며, 서명된 SBOM과 출처 정보가 포함되어 있습니다. 이 회사가 공표한 수정 SLA는 업스트림 수정 사항이 제공되는 시점부터 적용됩니다.

SecureChain은 사전 검증을 거친 패키지로 구성된 공유 카탈로그를 기본으로 제공하므로, 사용 첫날부터 필요한 대부분의 것을 바로 이용할 수 있습니다. 사용 중인 버전에 CVE가 발견되었는데 업스트림에서 수정 패치가 제공되지 않을 경우, TuxCare에서 패치를 작성하여 공개된 SLA에 따라 배포합니다. 또한 모든 패키지는 카탈로그에 등록되기 전에 소스 코드를 검토하여 악성 행위가 없는지 확인합니다.

보통은 아닙니다. 대부분의 패키지는 이미 SecureChain 카탈로그에 포함되어 있습니다. 누락된 항목이 있다면 추가 비용 없이 추가되며, 다른 모든 항목과 마찬가지로 지원됩니다.

SecureChain은 공개된 SLA에 따라 해당 버전을 실행하는 동안, 처음에는 SecureChain을 통해, 그 후에는 Endless Lifecycle Support를 통해 지속적으로 패치를 제공합니다. 여기에는 별도 공지 없이 구버전을 지원 중단하는 라이브러리도 포함됩니다.

네. 업스트림에 수정 사항이 있으면 SecureChain은 이를 적용합니다. 업스트림에서 해결하지 못하는 경우, TuxCare 엔지니어들이 수정 사항을 작성하여 귀사가 실행 중인 정확한 버전에 백포트합니다.

SecureChain은 모든 패키지가 유입될 때 소스 코드를 검사하여 의심스러운 코드 패턴, 설치 시 훅(hook)이나 난독화된 페이로드와 같은 공급망 위험 요소, 그리고 알려진 악성코드를 탐지합니다. ActiveState의 문서화된 검사 절차는 구성 요소를 알려진 CVE 및 악성 패키지와 대조하여 확인합니다.

모든 SecureChain 패키지에는 감사관이 요청하는 것과 동일한 증거 세트인 SLSA 레벨 3 출처 정보, SBOM 및 VEX 데이터가 포함되어 제공됩니다.

네. 리포지토리 관리자나 패키지 관리자의 대상 경로를 ActiveState 카탈로그 대신 SecureChain으로 지정하고, 출처 증명서를 다시 확인하시기 바랍니다. 빌드 및 워크플로는 기존과 동일하게 유지됩니다.

네. SecureChain은 JFrog Artifactory, Sonatype Nexus, GitHub Packages와 연동되며, 사용 중인 패키지 관리자가 SecureChain을 직접 지정할 수도 있습니다.

TuxCare는 지난 15년 동안 오픈소스 소프트웨어에 대한 패치를 제공해 왔으며, 그 중 상당수는 업스트림 지원이 종료된 지 오래된 소프트웨어에 대한 것이었습니다. SecureChain은 이러한 엔지니어링 작업을 공급망의 더 초기 단계로 앞당깁니다. SecureChain의 악성코드 분석은 호스팅 업계에서 가장 큰 서버 측 악성코드 탐지 플랫폼 중 하나를 운영하는 자매 기관인 Imunify의 기술을 활용합니다.