CTWall - ChainThreatWall

GitHub 릴리스

더 많은 팀이 소프트웨어 공급망 위험을 줄이기 위해 가상화된 개발 환경으로 전환함에 따라, 한 가지 과제가 남아 있습니다: 악성 종속성이 여전히 빠져나와 프로덕션에 도달할 수 있다는 것입니다.

CTWall (ChainThreatWall) 플랫폼은 SBOM/BOM 데이터를 사용하여 소프트웨어 공급망의 악성코드를 식별함으로써 보안, DevOps 및 제품 팀이 더 빠르게 위험 결정을 내릴 수 있도록 도와줍니다. 이 도구는 기존 SCA(소프트웨어 구성 분석)에 실용적인 보완재 역할을 합니다: 소프트웨어 공급망 계층에 악성코드 중심의 탐지를 추가합니다. 무료/공개 위협 인텔리전스 소스(현재는 https://osv.dev/의 공개 OSV 데이터베이스만 사용)를 사용함으로써, 팀은 맞춤형 인텔 파이프라인을 처음부터 구축하지 않고도 새로 관찰된 종속성 위협에 대한 알림을 생성할 수 있습니다.

SBOM은 DepAlert를 사용하여 플랫폼에 쉽게 가져올 수 있습니다.

빠른 시작

단계별 지침은 00_quick_start.md를 참조하세요.

플랫폼 목적

비즈니스 관점에서 이 도구는 다음을 도와줍니다:

• 한 곳에서 종속성 악성코드 위험 가시성을 확보할 수 있습니다.
• 악성코드 위협에 더 빠르게 대응할 수 있습니다.
• 감사 기록 및 증거를 보관할 수 있습니다.
• 수동 분류 작업을 줄일 수 있습니다.

운영 관점에서 CTWall 플랫폼은 다음과 같은 유용한 기능을 제공합니다:

• CI/CD 및 공급업체 채널에서 SBOM을 수집합니다.
• 각 제품/범위/테스트에 대한 수정 내역을 유지합니다.
• 구성 요소를 악성코드 인텔리전스에 매핑하고 결과를 분류합니다.
• 프로젝트 대시보드에서 상태와 추세를 모니터링합니다.
• 커넥터(Jira, SMTP, Slack, SNS, 외부 Alertmanager)로 운영 알림을 발송합니다.

런타임 동작

애플리케이션 흐름:

1. SBOM이 업로드(또는 에이전트가 전송)됩니다.
2. 리비전 및 구성 요소가 저장됩니다.
3. 백그라운드 워커가 악성코드 분석을 수행합니다.
4. 경보 그룹/발생이 업데이트됩니다.
5. 구성된 커넥터가 FIRING/RESOLVED 신호를 수신합니다.
6. UI는 대시보드, 상태, 탐색기 및 분류 상태를 표시합니다.

flowchart LR
    A[Product / Source] --> B[Generate SBOM/BOM]
    B --> C[Import SBOM/BOM file to CTWALL]
    C --> D[Alert]

CTWall이 해결하는 사이버보안 문제

1. 지속적인 종속성 위험 모니터링 부재 (애플리케이션 + 인프라). CTWall은 SBOM/BOM 데이터를 수집하여 하나의 모델(Product -> Scope -> Test)로 구성합니다. 오늘날의 위협 환경에서 지속적인 모니터링 부재와 종속성 위협에 대한 지연된 대응은 애플리케이션과 인프라 모두의 손상으로 이어질 수 있습니다.

2. 늦은 위협 탐지 및 대응. SBOM 가져오기 및 분석은 프로덕션 이전 또는 제공 주기 초기에 위험을 탐지하는 데 도움을 줍니다. 실제로 CTWall은 애플리케이션 종속성 및 인프라 관련 종속성 전반에서 악성코드 패키지를 더 일찍 탐지할 수 있도록 지원합니다.

3. 분산된 알림 및 커뮤니케이션 잡음. CTWall은 알림을 정규화하여 CI 로그에만 의존하는 대신 운영 도구(예: Jira, Slack, SMTP, Alertmanager)로 보낼 수 있습니다.

4. 어려운 감사 및 의사결정 기록 부재. 플랫폼은 SBOM 리비전 내역과 이벤트를 저장하여 변경된 사항과 시점을 감사하고 재구성하기 쉽게 만듭니다.

5. 과도한 수동 분류. 팀은 구조화된 결과를 얻고 알림에서 결정까지 더 빠르게 이동할 수 있습니다.

CTWall이 탐지에 도움을 줄 수 있는 공격 사례

CTWall은 SBOM/BOM 구성 요소를 위협 인텔리전스 및 악성코드 권고와 상호 연관시킨 후 운영 알림을 생성하여 도움을 줍니다.

1. 2026년 3월 npm 공급망 침해 사건 (axios, MAL-2026-2307). 유지보수자 자격 증명이 손상되어 악성 axios 릴리스(1.14.1, 0.30.4)가 게시되었으며, 이는 트로이 목마화된 종속성 [email protected]을 도입했습니다. 공개 권고는 postinstall 트리거 방식의 크로스 플랫폼 RAT/드로퍼를 설명하며, 노출된 시스템을 손상된 것으로 간주하고 즉시 비밀 및 자격 증명을 교체할 것을 권장합니다.

2. 2025년 9월 npm 공급망 캠페인 (Shai-Hulud + 암호화폐 채굴 페이로드). 피싱을 통한 유지보수자 침해, 악성 패키지 업데이트, 자격 증명/토큰 도난, CI/CD 지속성이 분야별 권고에 공개적으로 문서화되었습니다.

3. 2025년 7월 PyPI 피싱 사건: 악성 num2words 릴리스 (0.5.15, 0.5.16). 손상된 유지보수자 계정으로 악성 패키지 버전이 게시되었다가 이후 제거되었습니다.

4. 2025년 11월 PyPI 오타 스쿼팅 캠페인 (tableate, MAL-2025-191535). 공개 OSV 기록은 RAT와 유사한 동작 및 2단계 페이로드 전달을 설명합니다.

5. 2026년 3월 PyPI 악성코드 사례 (amigapythonupdater, MAL-2026-1136). 공개 OSV 기록은 환경 변수/클라우드 토큰 유출 및 명령 실행 동작을 설명합니다.

6. 2026년 2월 npm 악성코드 사례 (test-npm-style, MAL-2026-771). 공개 OSV/GHSA 연결 기록은 영향을 받는 버전을 악성으로 분류하고 즉각적인 비밀 교체를 권장합니다.

보안

를 참조하세요.

라이선스

CTWall은 BSD 3-Clause 라이선스에 따라 사용 허가됩니다.

연락하거나 질문이 있으신가요?

질문이 있으시면 다음 이메일로 연락주세요: [email protected]