소프트웨어 공급망 보안

소프트웨어 공급망 보안에 대한 포괄적인 3권 시리즈로, 위협, 방어 및 거버넌스를 다룹니다. 이 오픈소스 원고는 보안 전문가, 개발자 및 조직 리더에게 현대 소프트웨어 개발 관행을 보호하기 위한 실용적인 지침을 제공합니다.

시리즈 개요

1권: 소프트웨어 공급망 이해하기

공급망 보안 이해의 기초를 제공합니다: 현대 소프트웨어가 어떻게 구축되는지, 위협 환경, 역사적 공격, 그리고 상세한 공격 패턴.

• 1부 - 기초 (1-4장): 오늘날 소프트웨어가 구축되는 방식, 공급망 위협 개요, 역사적 공격 및 생태계별 위험
• 2부 - 공격 패턴 (5-10장): 악성 패키지, 의존성 혼동, 오타 도메인, 빌드 시스템 공격, 내부자 위협 및 사회 공학

2권: 소프트웨어 공급망 보호하기

위협 지식을 종속성 선택부터 프로덕션 배포까지 전체 개발 수명 주기에 걸쳐 실용적인 방어로 전환합니다.

• 3부 - 위험 평가 및 테스트 (11-15장): 위험 측정, SBOM, 종속성 관리, 보안 테스트 및 레드 팀
• 4부 - 방어 및 대응 (16-20장): 개발 환경, CI/CD 파이프라인, 배포 채널, 사고 대응 및 위기 커뮤니케이션 보안
• 5부 - 방어 운영화 (21-22장): 보안 프로그램 구축 및 플랫폼 엔지니어링 접근 방식

3권: 소프트웨어 공급망 거버넌스

공급망 보안의 인간적, 정책적, 전략적 차원을 다룹니다: 조직의 헌신, 규제 준수, 경제적 인센티브 및 업계 협력.

• 5부 - 사람과 조직 (23-25장): 교육 및 보안 문화, 오픈소스 관리자 관점, 벤더 위험 관리
• 6부 - 규제 및 법률 (26-29장): 규제 환경 (행정명령 14028, EU CRA), 규정 준수 프레임워크, 법적 고려 사항 및 업계 이니셔티브
• 7부 - 맥락과 미래 (30-33장): 공급망 보안의 경제학, 지정학적 고려 사항, 다른 산업에서의 교훈 및 미래 방향

저장소 구조

contents/
├── book1/                 # Chapters 1-10
│   └── chapter-XX/        # Each chapter directory contains:
│       ├── README.md      #   Chapter overview
│       ├── ch-X.Y.md      #   Section files
│       └── img/           #   Chapter images
├── book2/                 # Chapters 11-22
├── book3/                 # Chapters 23-33
├── appendices/            # Appendices A-H
└── frontmatter/           # Author info, legal notices, templates

scripts/
├── build-all.sh           # Build all three books
├── cover-generator.py     # Generate book covers
├── custom_template.latex  # Template for building PDF
└── verify_urls.py         # URL verification utility

PDF 빌드

사전 요구 사항

• Pandoc (문서 변환기)
• XeLaTeX (PDF 생성)
• ImageMagick (이미지 변환)
• Python 3.x (표지 생성용)

빌드 명령어

모든 3권 빌드:

./scripts/build-all.sh

개별 권 빌드:

./contents/book1/build-pdf.sh
./contents/book2/build-pdf.sh
./contents/book3/build-pdf.sh

출력 PDF는 scripts/ 디렉토리에 생성됩니다.

부록

기여하기

기여를 환영합니다. 기여 시 다음 사항을 지켜주세요:

• 보안 주제에 대한 기술적 정확성 유지
• 사실적 주장과 통계에 대한 출처 인용
• AI를 사용하여 콘텐츠를 생성해도 좋지만, 풀 리퀘스트를 보내기 전에 반드시 읽고 이해하세요.
• 일관된 용어 사용 (부록 A: 용어집 참조)
• 기존 장/절 구조를 따르세요 (ch-X.Y.md 형식)
• 실제 사례는 검증 가능한 세부 정보(이름, 날짜, 영향)와 함께 구체적으로 유지

이 저장소에는 Markdown 품질 및 Zensical 호환성을 위한 자동 린팅이 포함되어 있습니다. 자세한 지침은 CONTRIBUTING.md를, 콘텐츠 표준은 CLAUDE.md를 참조하세요.

라이선스

이 저작물은 MIT 라이선스에 따라 사용이 허가됩니다. 저작자 표시와 함께 상업적 목적을 포함하여 복사, 수정, 배포 및 사용할 수 있습니다.