취약점 억제
취약점 억제(Vulnerability suppression)는 검토한 발견 사항 때문에 Apollo가 제품 릴리스(Product Release)를 회수하지 않도록 하는 예외입니다. 이후 검사에서도 발견 사항은 계속 탐지됩니다. 억제 범위, 위험을 수용하는 근거와 만료일을 함께 관리해야 합니다.
사용자 요청과 유예기간
사용자 요청 억제는 Risk Management에서 생성하고 변경 요청(Change request)의 승인을 거칩니다. 유예기간 억제는 CVE를 수정할 수 있도록 허용한 최대 기간입니다. 유예기간은 취약점이 처음 발견된 시점부터 시작하며, 개별 검사가 실행될 때마다 다시 시작하지 않습니다. 유예기간이 끝나고 별도 억제가 없으면 영향을 받는 릴리스가 회수될 수 있습니다.
사이드바에서 Applications → Risk Management를 열고 Suppressions 탭을 선택하면 활성 억제를 확인할 수 있습니다.
억제 요청 만들기
- Vulnerabilities 탭에서 취약점을 선택합니다.
- Remediate → Suppress this vulnerability를 선택합니다.
- 적용 범위와 사유 분류를 선택하고 구체적인 근거를 작성합니다.
- 권장 만료일 또는 사용자 지정 만료일을 선택합니다.
- Create suppression으로 변경 요청을 생성합니다.
적용 범위
가능하면 가장 좁은 범위를 선택합니다. Suppress by Image는 지정 컨테이너 이미지의 발견 사항을 대상으로 하며 권장되는 범위입니다. 앞으로 게시할 제품 릴리스의 검사에도 같은 조건이 적용됩니다.
Advanced options에서는 다음 범위를 선택할 수 있습니다.
| 범위 | 적용 대상과 사용 조건 |
|---|---|
| Suppress by Image Prefix | 같은 상위 소프트웨어나 코드 저장소에서 파생된 여러 이미지처럼 공통 원인이 있는 이미지 집합입니다. 개별 이미지 지정으로 충분하면 그 방식을 우선합니다. |
| Suppress by Distribution | 제품의 SLS 배포물에 적용합니다. 컨테이너 이미지에는 효과가 없습니다. 컨테이너가 아닌 소프트웨어에도 취약한 구성 요소가 있을 수 있습니다. |
| Suppress Globally | 검사에서 특정 취약점이 발견되는 모든 경우에 적용합니다. 스캐너나 상위 취약점 데이터베이스의 문제처럼 예외적인 사유가 있을 때 사용합니다. |
사유 분류와 근거
| 분류 | 기록할 근거 |
|---|---|
| False positive | 취약점 데이터베이스의 영향 버전 범위가 잘못되었거나, 해당 기능을 사용하거나 노출하지 않는 등 실제 제품의 취약성 판정이 잘못된 이유와 증거를 기록합니다. 취약점이 실제로 존재하고 완화 통제로 대응하는 경우에는 Won't fix를 사용합니다. |
| Won't fix | 취약한 구성 요소를 제거할 수 없는 이유, 적용한 완화 통제, 그 통제가 공격을 어떻게 막는지 설명합니다. 가능한 경우에는 구성 요소 제거를 우선합니다. |
| Vendor dependency | 중요한 상위 의존성의 취약점을 공급자가 수정해야 하는 경우입니다. 공급자에게 보고한 이슈 등 근거를 첨부하고, 만료 시 수정 버전이나 의존성 대체 가능성을 다시 검토합니다. |
다른 검토자가 왜 해당 릴리스의 회수를 막아야 하는지 판단할 수 있도록 근거를 작성합니다. 만료일 이후에는 취약점이 다시 활성 상태가 됩니다.
패키지 기반 억제의 새 양식은 Planned fix를 추가로 제공하고 False positive의 판정 기준도 더 엄격하게 구분합니다. 해당 양식을 사용할 때는 패키지 기반 억제의 분류 기준을 따릅니다.
승인과 반영
Settings & Configuration → Permissions의 Vulnerability suppressions에서 Approver 역할을 부여하여 승인자를 설정합니다. 생성된 변경 요청이 승인되면 다음 취약점 검사에서 해당 릴리스에 억제를 반영합니다. 즉시 반영할 필요가 있으면 수동 검사를 요청할 수 있습니다.
억제 제거
Risk Management의 Suppressions 탭에서 제거할 항목을 하나 이상 선택하고 Remove suppressions를 누릅니다. 제거 작업도 변경 요청을 생성합니다.