SRE를 위한 시스템 설계와 구축

397

14

장

코드 배포

어쩌면 자체적으로 서드파티 코드의 복사본을 유지하면서 업스트림으로부터 가져온 모든 패치

를 검토해야 할 수도 있다.

검토의 수준은 여러분이 벤더를 어느 정도 신뢰하느냐에 따라 다를 것이다. 여러분이 사용하는 서

드파티 코드를 이해하고 서드파티 코드를 퍼스트파티 코드와 같은 수준으로 엄격히 관리해서 디

펜던시에 대한 취약점 보고서를 항상 모니터링하고 보안 패치를 빠르게 적용하는 것이 중요하다.

14.5

더 알아보기: 고급 완화 전략

소프트웨어 공급망에 대한 보다 높은 수준의 위협을 처리하려면 복잡한 완화 전략이 필요할 수

도 있다. 이번 절에서 권장하는 내용은 아직 업계에서 표준으로 받아들여지고 있지 않으며 이

를 적용하려면 직접 인프라스트럭처를 구현해야 할 수도 있다. 이 권장사항은 대규모 조직이나

특히 보안에 민감한 조직에 적합하며 내부자 위협에 대한 노출이 적은 작은 조직에는 맞지 않

을수도 있다.

14.5.1

바이너리 출처

모든 빌드는 바이너리 결과물이 정확히 어떻게 빌드되었는지를 설명하는 바이너리 출처

binary

provenance

를 반드시 생성해야 한다. 여기에는 입력값, 변경 방식 그리고 빌드를 수행한 엔티티

등이 포함된다.

그 이유를 설명하기 위해 다음의 완화 전략을 생각해보자. 여러분이 보안 사고에 대해 조사 중

이며 특정 시간대에 ...