기술 지원
문서
로그인
문의하기
제품이 고객사의 재고에 입고되기 전에 확보되며, 수명 종료일까지 지속적으로 관리됩니다.
생태계가 주는 모든 혜택. 무분별한 신뢰는 일절 없습니다.
오픈 소스 소프트웨어를 위한 SecureChain
강화된 Python 공급망 – 설치 시 신뢰할 수 있으며, 악성코드 검사를 거쳤고, 스택에 남아 있는 동안 지속적으로 보호됩니다
SecureChain은 공개 PyPI 저장소를 검증된 소스 코드 재컴파일 버전으로 대체합니다. 이 서비스는 설치 전에 모든 패키지를 대상으로 알려진 위협 요소를 검사하고, 지속적으로 취약점을 수정하며, 유지보수자가 업데이트 배포를 중단한 후에도 Python 종속성을 안전하게 보호합니다.
파이썬 공급망 문제는 겉으로 보이는 것보다 더 심각하다
PyPI는 수백만 개의 파이썬 애플리케이션을 지원합니다.
또한 공급망 공격의 표적이 되고 있는 분야이기도 합니다.
타이포스쿼팅, 의존성 혼동, 악성 파일 업로드가 계속해서 증가하고 있으며, 이는 pip install에 대한 신뢰를 악용하는 행위입니다.
하나의 저장소. 수천 가지의 접근 방식.
-
Ultralytics 사건
널리 사용되는 머신러닝 패키지에 악성 코드가 유포된 사건으로, 신뢰할 수 있는 패키지조차도 얼마나 쉽게 자격 증명 도용 및 원격 코드 실행의 원인이 될 수 있는지 드러났다.
-
PyTorch 나이트리 빌드 보안 취약점
내부 토치트라이톤(torchtriton) 종속성이 공개 PyPI에 복제되어, pip의 인덱스 해결 과정을 통해 야간 빌드를 가로채고 있습니다.
이것이 바로 현대 파이썬 개발의 현실이며, 결코 예외가 아닙니다.
Python 의존성에 리스크가 유입되는 방식
이러한 노출은 PyPI의 작동 방식에 내재되어 있습니다.
pip install 및 update를 수행할 때마다
pip install을 실행할 때마다 신뢰를 바탕으로 구축된 공개 생태계에서 패키지를 가져옵니다.
그 신뢰는 일상적으로 악용되고 있다.
- 유사한 패키지
- 보안 취약점이 발견된 릴리스
- 혼동되는 종속성
- 설치 스크립트에 숨겨진 페이로드
유지보수 작업이 끝난 후 일어나는 모든 일은 속도가 느려집니다
pip install을 실행할 때마다 신뢰를 바탕으로 구축된 공개 생태계에서 패키지를 가져옵니다.
그 신뢰는 일상적으로 악용되고 있다.
- 프로젝트가 지연되다
- 유지 관리자들이 물러난다
- CVE가 계속해서 발견되고 있다
앱은 계속 실행되지만, 보안 기능은 점차 약해집니다.
파이썬 보안은 여러 조각으로 나뉘어 있습니다.
각 도구는 그 과정의 어느 지점에서든 사용자를 내버려 둡니다.
SecureChain은 그렇지 않습니다.
SecureChain은 단순한 조언에 그치지 않고 적극적으로 대응한다는 점에서 차별화됩니다.
그리고 유지보수자가 그만두더라도 그 일은 멈추지 않습니다.
오픈 소스 소프트웨어를 위해
PyPI 패키지를 위한 전체 수명 주기 보안
패키지를 설치하는 순간부터 유지보수자가 지원을 중단한 지 한참이 지난 후까지.
패키지 수명 주기
입양하기
구축 및 배포
운영
제품 수명 종료 후
유지보수 기간이 끝난 후에도 오랫동안 보장됩니다
방문 보안:
개발자들에게는 아무런 변화가 없습니다
리포지토리 관리자(또는 패키지 관리자)를
SecureChain으로 설정하고 작업을 계속하세요.
동일한 패키지, 동일한 API, 동일한 워크플로.
호환 기기:
JFrog Artifactory
소나타입 넥서스
GitHub 패키지
모든 단계에서 PyPI 패키지의 보안을 강화하세요
SecureChain이 설치 시 패키지를 어떻게 검증하고, 취약점을 지속적으로 패치하며, 유지보수 기간이 끝난 후에도 오랫동안 의존성 구성 요소를 보호하는지 문의해 주십시오.
문의하기
오픈 소스의 속도와 유연성을 갖추면서도,
위험은 없는 솔루션.
SecureChain을 통해 모든 패키지는 다음과 같습니다:
재구축 및 검증 완료
모든 패키지는 보안이 강화되고 격리된 환경에서 소스 코드부터 다시 빌드됩니다. 기존 바이너리를 재사용하지 않으며, 출처가 불분명한 업스트림 아티팩트도 포함되지 않습니다. 사용자가 설치하는 것은 처음부터 끝까지 검증된, 직접 빌드된 결과물 그 자체입니다.
악성코드 검사 완료
모든 패키지는 알려진 악성코드, 의심스러운 코드 패턴 및 공급망 위험 요소에 대해 검사를 거칩니다. 검사를 통과하지 못한 항목은 사용자의 환경에 도달하기 전에 차단됩니다.
지속적으로 패치됨
CVE가 발견되면 SLA에 따라 활성 구성 요소가 모니터링되고 패치가 적용됩니다. 업스트림 유지보수가 종료된 후에도, Endless Lifecycle Support(ELS)를 통해 해당 패키지를 사용하는 한 계속해서 수정 사항이 제공됩니다.
규정 준수 및 감사 대비 완료
현재 실행 중인 구성 요소와 패치 적용 내역을 정확히 파악하세요. SLSA 레벨 3 출처 정보, SBOM 및 VEX는 완벽한 공급망 보증을 제공하며, 이는 감사 담당자가 필요할 때 즉시 확인할 수 있는 근거 자료입니다.
+ 실시간 보도
사용 중인 패키지가 아직 카탈로그에 등록되어 있지 않다면,
에서 추가 비용 없이 해당 패키지를 등록해 드립니다. 다른 모든 패키지와 마찬가지로 검증, 패치 적용 및 기술 지원을 제공합니다.
위험을 감수하는 팀을 위해 설계되었습니다:
보안 및 개발자 보안 운영(
) DevSecOps
설치 시 구성 요소를 철저히 검증하고, 설치 후에는 지속적인 보호 기능을 제공합니다. 제품 수명 주기 전반에 걸쳐 사각지대가 없습니다.
의 엔지니어링 리더십
워크플로우 변경이 없습니다. 종료를 앞둔 종속성이 있어도 강제로 코드를 다시 작성할 필요가 없습니다.
규정 준수
및 GRC
내장된 SBOM, VEX, 출처 정보 및 패치 적용 범위 – 설계 단계부터 감사에 대비했습니다.
왜 TuxCare를 선택해야 할까요?
전 세계 혁신 기업들이 선택했습니다.
자주 묻는 질문
네. 패키지는 설치 과정에서 setup.py를 통해, 또는 임포트 시점에 코드를 실행할 수 있기 때문에, pip install은 흔히 발생하는 파이썬 공급망 위험 요소입니다. 공격자들은 이러한 동작을 악용하여 인증 정보를 탈취하고, 환경을 탐색하며, 악성 페이로드를 전달해 왔습니다. SecureChain은 파이썬 패키지가 배포되기 전에 소스 코드를 분석하여 의심스러운 동작을 식별하고, 악성 패키지가 사용자의 환경에 도달하기 전에 차단합니다.
기본적으로 그렇지 않은 경우가 많습니다. 공개 PyPI는 휠(wheel) 및 소스 배포본을 배포할 때, 해당 파일이 업스트림 저장소나 빌드 프로세스와 일치한다는 점을 보장하지 않습니다. 이로 인해 검토된 소스 코드와 설치된 아티팩트 사이에 차이가 발생합니다. SecureChain은 통제된 환경에서 검증된 소스를 바탕으로 패키지를 재빌드하므로, 사용자가 설치하는 패키지는 추적 및 감사 가능하며 업스트림 코드와 일관성을 유지합니다.
이 중 상당 부분은 사용자가 직접 선택하지 않은 종속성에서 비롯됩니다. 하나의 파이썬 패키지가 pip의 리졸버를 통해 수십 개의 전이적 종속성을 불러올 수 있습니다. 이들 중 상당수는 검토조차 거치지 않음에도 불구하고, 사용자의 환경에서 코드를 실행할 수 있습니다. SecureChain은 최상위 종속성뿐만 아니라 모든 패키지에 대해 검증, 악성코드 스캔 및 패치 적용 제어 기능을 적용함으로써 전체 종속성 그래프를 안전하게 보호합니다.
설치 후 스캔만 하는 것이 아니라, 환경에 유입되는 요소를 철저히 통제해야 합니다. SecureChain은 설치 전에 Python 패키지를 검증하고, 악성 패키지를 차단하며, 시간이 지남에 따라 지속적으로 취약점을 패치합니다. 이를 통해 운영 팀은 라이프사이클 전반에 걸쳐 보안이 유지되는, 통제 가능하고 감사 가능한 Python 패키지 소스를 확보할 수 있습니다.
아닙니다. SecureChain은 Python 패키지에 대해 새로 공개된 CVE를 지속적으로 모니터링하고, 고정된 버전에 맞춰 검증된 수정 사항을 제공합니다. 이를 통해 보안 권고 사항, 취약점 데이터베이스 또는 pip 감사 결과를 수동으로 추적해야 할 필요가 줄어듭니다.
유지보수가 중단된 후에도 취약점이 발견될 수 있기 때문에 위험이 커집니다. SecureChain은 ‘Endless Lifecycle Support’를 통해 지속적으로 패치를 제공하며, 중요한 수정 사항을 이전 버전으로 역적용(backport)하므로, 강제적인 업그레이드나 애플리케이션 재작성 없이도 보안을 유지할 수 있습니다.
아닙니다. SecureChain은 PyPI를 그대로 대체할 수 있는 솔루션입니다. 개발자들은 빌드 파이프라인이나 개발 방식을 변경할 필요 없이 기존과 동일한 도구, 명령어 및 워크플로를 계속 사용할 수 있습니다.
