IVAS에 반입 관리 엔진 탑재, SW 공급망 생애주기 보호
오픈소스 반입 단계에서 악성 패키지 사전 식별·검증
래브라도랩스(대표 김진석)는 오픈소스 반입 단계에서 악성 패키지를 사전 식별·검증하는 분석엔진을 개발, 자사 취약점 분석 시스템 ‘IVAS’(Integrated Vulnerability Analysis System)에 탑재했다고 9일 밝혔다.
이번 기능 추가로 래브라도랩스는 오픈소스가 조직에 처음 들어오는 반입 단계부터 개발, 운영에 이르는 소프트웨어(SW) 공급망 전 생애주기 관리를 완성했다. 기존 개발·운영 단계 중심의 SW 취약점 분석을 넘어, 개발자가 오픈소스를 사용하기 전 단계에서 위험 요소를 사전에 식별·검증하는 리포지토리 매니지먼트 체계를 구현했다.
▲래브라도랩스 통합 취약점 분석 시스템 ‘IVAS’는 외부 오픈소스 반입 단계에서 악성 패키지를 식별하고 판정 근거를 제시한다. [출처: 래브라도랩스]
악성 패키지는 처음부터 해킹을 목적으로 만들어졌거나, 정상 오픈소스에 몰래 악성코드를 심어 넣은 SW 부품이다.
겉으로는 평범한 오픈소스와 구분이 안 된다. 이름과 설명이 그럴듯하고, 심지어 정상 작동하는 것처럼 보이기도 한다.
문제는 개발자가 이 SW 부품을 설치하는 순간 벌어진다. ‘npm install’ 같은 명령어를 실행하면, 그 안에 숨어 있던 코드가 자동 실행된다.
개발자가 잘못 누르거나 파일을 직접 실행하지 않고 패키지를 설치했을 뿐인데, 컴퓨터에 저장된 클라우드 접속키나 로그인 정보 등이 외부로 빠져나갈 수 있다. 수많은 오픈소스 컴포넌트를 조립하는 방식으로 이뤄지는 현재 SW 개발 환경에서 이같은 공격은 큰 피해로 이어질 수 있다.
실제로 5월 리액트(React) 생태계 핵심 라이브러리 ‘탄스택’(TanStack)의 npm 패키지 42개가 동시에 감염돼 84개 악성 버전이 배포되는 사고도 있었다. 악성 패키지가 SW공급망 보안의 새로운 위협이 됐다.
글로벌 보안 기업 소나타입의 ‘2026 소프트웨어 공급망 현황’ 보고서에 따르면, 2025년 한 해 새롭게 식별된 오픈소스 악성 패키지는 45만4648개에 달하며, 이중 55.9%는 저장소 자체를 악성 패키지 배포 플랫폼으로 악용했다. 이 때문에 기업은 오픈소스를 개발 영역에 반입하기 전, 앞단에서 SW 부품의 안전성을 미리 검증해야 할 필요가 커지고 있다.
▲오픈소스 패키지 저장소 npm의 구조와 위험. 개발자가 부품 하나를 설치하면 딸려 오는 의존 패키지까지 수백 개가 함께 설치되며,
여기에 교묘하게 위장한 악성 패키지가 섞여 들어올 수 있다. [출처: 래브라도랩스]
래브라도랩스 IVAS 분석엔진은 오픈소스가 기업 내부망으로 반입되기 전 악성 패키지 여부를 식별하고 판정 근거를 제시한다.
외부 오픈소스는 반입 내역을 분석해 악성 패키지 여부를 식별하고, 탐지 근거와 등재 출처를 함께 제공한다.
공항 보안검색대처럼 외부에서 들어오는 오픈소스 패키지를 먼저 검사하고 위험 요소가 발견되면 개발 영역에 반입하기 전에 확인할 수 있도록 한다.
이를 통해 기업은 개발자 PC나 빌드 서버에 악성 패키지가 유입되기 전 위험 여부를 확인하고 대응할 수 있다. 또 알려진 취약점, 라이선스 위험, 의심스러운 의존 관계 등을 사전에 확인할 수 있다.
반입 단계를 통과한 오픈소스는 기존 IVAS의 취약점 분석·서버케어 모듈과 연동돼, 개발부터 운영까지 끊김 없이 추적된다.
반입 당시 안전했던 컴포넌트도 이후 취약점이 새로 발견되면 지속적으로 재검증한다.
래브라도랩스는 국내 주요 금융기관에 IVAS를 구축·운영해 온 경험과 금융권의 오픈소스 반입·관리 요구를 바탕으로 이번 기능을 개발했다.
김진석 래브라도랩스 대표는 “SW 개발자가 악성 패키지를 설치하면 단순한 명령어 실행만으로도 계정 정보, 클라우드 키, 개발 환경의 주요 정보가 외부로 유출될 수 있다”며 “오픈소스 보안은 더 이상 개발 이후에 취약점을 찾는 방식만으로는 충분하지 않다”고 말했다.
[보도자료 출처 : 보안뉴스, 한세희 기자 (https://www.boannews.com)