BomLens · Trusted OSS · TRUSCA
장학성 · SK텔레콤
SK텔레콤은 소프트웨어를 납품하는 모든 파트너사에 SBOM(Software Bill of Materials) 제출을 의무화했습니다.
제출물의 상당수가 형식은 SBOM인데 취약점 DB와 매핑할 수 없습니다. 반려 사유 목록에서 자주 나오는 세 가지입니다.
패키지 매니저 정보 없이 설치 디렉터리나 원시 파일만 스캔하면 식별자가 통째로 빠집니다.
빌드 전 소스만 스캔하고 npm install, mvn package 같은 빌드 단계를 건너뛴 결과입니다.
도구가 생태계를 식별하지 못하면 이렇게 표시되고, 어떤 패키지인지 특정할 수 없습니다.
의무는 있는데, 도구가 없었습니다.
오픈소스 리스크 평가까지 함께 하는 SBOM 생성기입니다. 계정도 업로드도 필요하지 않습니다.
Apache-2.0 · github.com/sktelecom/bomlens
소스든 컨테이너든 받은 SBOM이든, 같은 스캐너가 실행되어 같은 결과를 냅니다.
앞에서 본 반려 사유 세 가지가 결과 화면의 어디에서 해소되는지 미리 정해 두고 데모를 봅니다.
생태계와 이름, 버전이 한 줄에 다 적힙니다.
전이로 딸려 온 것까지 행으로 남습니다.
같은 스캔에서 고지문으로 그대로 이어집니다.
| 컴포넌트 | PURL | 라이선스 | 유입 |
|---|---|---|---|
| lodash 4.17.21 | pkg:npm/lodash@4.17.21 | MIT | 직접 |
| commons-lang3 3.12.0 | pkg:maven/org.apache.commons/commons-lang3@3.12.0 | Apache-2.0 | 직접 |
| requests 2.31.0 | pkg:pypi/requests@2.31.0 | Apache-2.0 | 전이 |
| urllib3 2.2.1 | pkg:pypi/urllib3@2.2.1 | MIT | 전이 |
| gin 1.9.1 | pkg:golang/github.com/gin-gonic/gin@1.9.1 | MIT | 전이 |
3장에서 본 반려 사유 세 가지가 이 화면에서 하나씩 사라집니다.
오전 그룹 토의 주제 A의 첫 질문, 개방형 모델의 라이선스를 실제로 어떻게 검토하느냐에 대한 답입니다.
공급망 이야기는 여기까지입니다. 다음은 우리 개발 조직 안에서 벌어지는 문제입니다.
정책은 있는데, 강제할 방법이 없었습니다.
ISO/IEC 5230·18974 자가인증 킷입니다. 핵심은 AI 코딩 현장에 맞춘 5단계 성숙도 모델입니다.
L1·L2는 사람이 지키는 규칙이고, L3부터는 도구가 대신 막습니다.
L3 이상은 사람이 매번 확인할 수 없어, 대신할 도구가 필요합니다.
SCA(Software Composition Analysis). 오픈소스 컴포넌트를 자동으로 찾아 취약점과 라이선스 의무를 확인하는 도구 카테고리입니다.
문서는 실행되지 않습니다. 도구가 대신 집행합니다.
CVE 추적, 라이선스 컴플라이언스, SBOM 관리를 한 화면에서 다룹니다. 사내 네트워크 안에서 작동하기 때문에 코드도 SBOM도 밖으로 나가지 않습니다.
cdxgen이 30개 이상의 언어 생태계를 다룹니다. 사내 저장소에 섞여 있는 언어를 한 번에 훑습니다.
| 단계 | 하는 일 | 무엇으로 |
|---|---|---|
| Detect탐지 | 저장소에 들어간 컴포넌트를 찾습니다 | cdxgen, 30개 이상 언어 생태계 |
| Match매칭 | 컴포넌트와 버전에 걸린 CVE를 붙입니다 | Trivy 통합 DB · NVD · OSV · GHSA · EPSS · KEV |
| Triage판단 | 영향 여부를 판정하고 근거를 남깁니다 | VEX 7단계 상태 관리 |
| Enforce집행 | 치명적 취약점이나 금지 라이선스가 나오면 빌드를 막습니다 | CI 게이트, NOTICE 자동 생성 |
trusca-demo.duckdns.org · dev@demo.trustedoss.dev · 읽기 전용
평가용으로 설치하는 데 걸리는 시간은 30초입니다. 사내 도입 판단을 위해 먼저 실행해 보기에 충분합니다.
프로덕션은 Docker Compose와 Helm 차트를 지원합니다.
따로 쓰는 세 도구가 아니라, 공급망 한 줄기 위에서 각자 다른 자리를 맡습니다.
오늘 본 세 도구는 각각 반려되는 SBOM, 지켜지지 않는 정책, 집행되지 않는 게이트에 대응합니다.
오늘은 왜 필요한지까지 다뤘습니다. 직접 설치하고 스캔을 실행하는 과정은 10월 15일 Tooling & Legal Subgroup 미팅에서 다룹니다.