소프트웨어 프로젝트를 개발할 때 오픈 소스 라이브러리, 프레임워크 또는 기타 도구 등 다른 소프트웨어를 사용하여 애플리케이션을 빌드하고 실행할 가능성이 높습니다. 프로젝트가 제대로 작동하기 위해 의존하는 리소스이므로 통칭하여 “의존성”이라고 합니다. 프로젝트는 이러한 수백 개의 의존성을 사용하여 "공급망"이라고 하는 것을 형성할 수 있습니다.

공급망은 보안 리스크를 초래할 수 있습니다. 의존성 중 하나에 알려진 보안 취약점이나 버그가 있는 경우 악의적인 행위자가 이 취약점을 악용하여 악성 코드(맬웨어)를 삽입하거나, 민감한 데이터를 훔치거나, 프로젝트에 다른 유형의 중단을 일으킬 수 있습니다. 이런 유형의 위협을 "공급망 공격"이라고 합니다. 공급망에 취약한 종속성이 있으면 자체 프로젝트의 보안이 손상되고 사용자도 위험에 처하게 됩니다.

공급망을 보호하기 위해 할 수 있는 가장 중요한 일 중 하나는 취약한 종속성에 패치를 적용하는 것입니다.

공격자는 사용되는 의존성만 노리는 것이 아니라 사용자 계정과 빌드 프로세스도 노립니다. 배포하는 코드가 변조되지 않게 하려면 둘 다 보호하는 것이 중요합니다.

GitHub는 환경의 의존성을 파악하고 보호하는 데 도움이 되고 GitHub 계정과 빌드 시스템을 보호하는 다양한 기능을 제공합니다.

타사의 보안 추가 기능과 달리, GitHub의 공급망 기능은 개발자들이 이미 알고 있고 좋아하는 기본 GitHub 워크플로 전체에서 운영됩니다. GitHub는 개발자가 보다 쉽게 취약성을 수정할 수 있도록 하여 보안 팀이 애플리케이션 기반 취약성으로부터 비즈니스, 고객, 커뮤니티를 보호할 수 있는 중요한 전략에 집중할 시간을 확보해 줍니다.

SLSA(Supply-chain Levels for Software Artifacts)는 소프트웨어 아티팩트의 개발 수명 주기 전반에 걸쳐 엔드투엔드 무결성을 개선하기 위한 프레임워크입니다. 소프트웨어 공급망에 무결성과 출처 보장을 구축하기 위한 포괄적인 단계별 방법론을 제공합니다. SLSA 레벨 3은 빌드가 엄격하게 분리되고, 소스 코드 기록이 검증되고, 출처가 엄격하게 제어되는 ��당히 강화된 소프트웨어 공급망을 의미하며, 강력한 변조 방지와 소프트웨어 아티팩트의 무결성을 보장합니다. GitHub Actions와 아티팩트 증명은 SLSA 레벨 3으로 가는 여정을 크게 간소화합니다.

GitHub 종속성 그래프에서 리포지토리의 자재 명세서(SBOM)를 내보낼 수 있습니다. SBOM은 오픈 소스 사용 현황을 투명하게 공개하고 공급망 취약점을 노출시켜 공급망 위험을 줄이는 데 도움이 됩니다.

GitHub의 공급망 기능은 대부분 모든 사용자에게 무료로 제공됩니다. 일부 고급 기능은 GitHub Code Security에서 프라이빗 리포지토리에만 제공됩니다. 요금을 확인하세요.