취약점 검사와 결과 확인

취약점 검사(Vulnerability scanning)는 제품 릴리스(Product Release)의 매니페스트가 가리키는 아티팩트에서 취약한 구성 요소를 찾습니다. 검사 결과를 통해 취약점의 위험도, 영향을 받는 패키지, 해당 릴리스를 사용하는 배포 개체(Entity)를 확인할 수 있습니다.

허브, 제품과 환경에서 결과 찾기

사이드바의 Applications → Risk Management를 엽니다.

Vulnerabilities 탭에는 허브의 모든 제품 릴리스에서 발견한 취약점이 표시됩니다.

제품 페이지의 Releases 탭에서는 Latest Scan 열로 릴리스별 상태를 확인합니다.

특정 릴리스의 Security 탭에서는 그 릴리스의 취약점을, 배포 환경(Environment)의 Security 탭에서는 해당 환경에 영향을 주는 취약점을 확인합니다.

각 화면에서 취약점을 선택하면 상세 정보를 엽니다. Overview에는 CVSS, EPSS와 실제 악용 정보가 표시됩니다.

발견 사항과 영향 범위

발견 사항(Finding)은 특정 패키지와 CVE의 조합이 검사 대상 아티팩트에서 발견된 기록입니다. 하나의 CVE가 여러 릴리스와 이미지에 나타날 수 있습니다. Apollo는 제품, 환경 또는 전체 배포 개체 범위로 발견 사항을 모아 보여 줍니다. 억제 규칙은 다음 검사에서도 식별할 수 있는 발견 사항의 특성을 기준으로 하나 이상의 발견 사항을 처리합니다.

Findings 탭에서 취약점이 있는 릴리스를 확인합니다. 릴리스를 선택하면 영향을 받는 패키지, 취약한 버전, 수정 버전이 있을 때 그 버전을 확인할 수 있습니다.

Entities 탭은 취약한 릴리스를 설치한 배포 개체를 표시합니다.

제품 편집자는 이 정보를 사용하여 의존성을 갱신하거나 취약한 구성 요소를 제거한 새 릴리스를 만듭니다. 타사 제품이면 공급자가 수정 버전을 제공했을 때 새 릴리스를 생성합니다.

검사 실패를 처리하는 방법

릴리스 아티팩트는 변경 불가능한 대상으로 취급하므로 기존 이미지의 내용을 바꾼 뒤 같은 릴리스를 재검사하는 방식으로 수정하지 않습니다. 수정된 이미지와 차트를 새 제품 릴리스로 게시합니다.

오탐으로 판단했거나 구성 요소를 제거할 수 없어 완화 통제를 적용했다면 취약점 억제를 요청합니다. 승인된 억제는 다음 검사 결과에 반영됩니다. 억제는 취약한 소프트웨어 자체를 제거하지 않으며, 이후 검사에서도 같은 발견 사항이 탐지될 수 있습니다.

자동 회수

기본적으로 활성 취약점이 있는 릴리스는 사용자 요청 억제나 유예기간 억제가 적용되지 않으면 자동으로 회수됩니다. 이 동작을 비활성화하려면 Palantir 담당자에게 요청합니다.

취약점 자동 회수는 앞으로 전환(roll-forward) 전략을 사용합니다.

수동 재검사

승인된 억제가 반영되기를 다음 정기 검사까지 기다릴 수 없으면 제품 릴리스의 Security 탭에서 Run vulnerability scan을 선택합니다.

재검사에서 승인된 억제 상태를 확인합니다. 소프트웨어 수정이 필요하면 재검사와 별도로 새 릴리스를 만들어야 합니다.