번들 보안
번들 보안(Bundle security)은 내보낼 제품 릴리스(Product Release)의 취약점, 바이러스와 미검사 아티팩트를 확인하고 전송 정책을 적용하는 기능입니다. 보안 보고서는 번들 빌드 시점의 상태를 담으며 실시간 화면처럼 갱신되지 않습니다.
내보내기 보안 정책
파이프라인에서 Require exported Product Releases to pass vulnerability security checks를 켜면 허브가 정한 검사 기한(SLA) 안에 검사했고 활성 취약점이 없는 릴리스와 그 아티팩트만 내보냅니다.
선택적으로 Upgrade through vulnerability-only recalled Releases를 켜면 환경의 보안 상태를 개선하는 경로에 CVE 회수 릴리스를 포함할 수 있습니다. CVE 회수 릴리스 업그레이드의 최신 검사, 위험 점수, 회수 사유와 악성코드 조건을 충족해야 하며 모든 회수 릴리스를 허용하는 설정은 아닙니다.
검사 보고서 포함
파이프라인 Resource selection에 Vulnerability Scan Report를 포함합니다. 기본 프리셋에는 포함되며 Custom에서는 직접 선택했는지 확인합니다.
특정 번들에 보고서가 포함되었는지는 번들 Overview → Build settings의 YAML에서 resourceTypeOptions를 확인합니다.
type: exclusionList이면resourceTypes에VULNERABILITY_SCAN_REPORT가 없어야 합니다.type: inclusionList이면resourceTypes에VULNERABILITY_SCAN_REPORT가 있어야 합니다.
보고서는 번들마다 빌드할 때 평가하여 포함합니다. 보고서 없이 만든 번들에서는 정확한 번들 검사 결과를 제공할 수 없습니다.
Security 화면 읽기
Export에서 번들을 열고 Security 탭을 선택합니다.
Scan report의 왼쪽 카드는 바이러스 포함 여부, 가운데 카드는 억제되지 않았고 기한이 지난 취약점 여부, 오른쪽 카드는 바이러스 검사나 취약점 검사 또는 둘 다 없는 아티팩트 수를 보여 줍니다.
Scan results에는 발견한 바이러스와 취약점이 표시됩니다. 필터로 바이러스 등 특정 발견 사항만 선택할 수 있습니다.
행을 선택하면 실패 원인과 발견 사항의 상세 정보를 확인하고 수정 또는 억제 작업으로 이동합니다.
검사가 없거나 오류 또는 미완료 상태이면 상단에 빨간 배너가 나타나고 하단 Unscanned artifacts 표에 검사 누락 유형이 표시됩니다. 대상 아티팩트의 바이러스 검사, 취약점 검사 중 무엇이 필요한지 확인하고 원인을 해결한 뒤 다시 검사합니다.
수정한 뒤 새 번들이 필요한 이유
문제 아티팩트가 속한 제품 릴리스를 찾고 문제를 수정하거나 승인된 억제를 적용한 뒤 정상 검사를 받습니다. 모든 발견 사항을 적절히 억제할 수 있었다면 같은 릴리스를, 실제 코드를 수정했다면 새로 게시한 릴리스를 포함하여 번들을 다시 빌드합니다.
기존 번들 안의 보고서는 정적이므로 나중에 억제를 승인하거나 재검사해도 바뀌지 않습니다. 수정 사항을 반영한 보고서가 필요하면 반드시 새 번들을 만들어야 합니다.
바이러스
실제 바이러스가 있으면 내보내지 않습니다. 바이러스를 제거한 새 릴리스를 게시하고, container-vuln-scanner가 자동 회수하지 않았다면 기존 릴리스를 회수한 뒤 번들을 재빌드합니다.
오탐이면 해당 이미지의 발견 사항을 억제하고 관련 제품 릴리스를 다시 검사하여 억제 반영을 확인한 뒤 번들을 다시 만듭니다.
취약점
엄격한 전송 요건이 있으면 발견 사항이 허용된 억제 상태인지 확인해야 합니다. 기한이 지난 취약점은 수정 릴리스로 제거하거나, 수정본이 없고 위험을 수용할 수 있는 경우 근거와 승인을 갖춘 억제로 처리합니다.
미검사 아티팩트
아티팩트가 속한 제품 릴리스를 찾고 그 릴리스가 검사되는지 확인합니다. 검사는 제품 릴리스에 속한 아티팩트만 대상으로 하므로 개별 아티팩트를 수동 선택할 때도 릴리스 소속이 유지되어야 합니다.
증분 번들에서 빠진 데이터를 처리
문제가 있는 번들을 보내지 않았더라도 증분 파이프라인의 다음 번들이 이전 번들의 안전한 리소스를 모두 다시 포함하지는 않습니다. 보통 수정 과정에서 추가하거나 바꾼 릴리스만 다음 번들에 들어갑니다. 다음 선택지는 누락 데이터와 보안 정책을 검토한 뒤 결정합니다.
- 필요한 리소스가 빠졌다면 별도 긴급 파이프라인에 해당 데이터를 명시적으로 선택하고 새 번들로 전달합니다.
- 이전 번들의 데이터가 지금 필요하지 않다면 해당 번들과 그 안의 새 릴리스를 건너뛸 수 있습니다. 이후 필요한 갱신이 실제로 포함되는지 확인해야 합니다.
- 보고서가 오탐을 나타내거나 해당 발견 사항이 조직의 준수 요건을 위반하지 않는다고 확정한 경우에는 기존 번들을 전송하는 예외를 검토할 수 있습니다. 이 선택은 보안 요건을 무시하거나 미검사 결과를 통과로 취급하는 방법이 아닙니다.
보안 문제가 남은 번들을 기본 전송 경로로 내보내지 말고 먼저 수정과 정책 판단을 마쳐야 합니다.