소프트웨어 공급망 보안 도구 및 플랫폼(2026)

이 페이지의 대상

"소프트웨어 공급망을 보호하라"는 과제를 맡아 예산을 어디에 쓸지 결정해야 하는 분을 위한 페이지입니다. 아래 도구들은 서로 다른 지점에서 작동합니다. 리포지토리와 파이프라인 전반, 빌드 러너, 패키지 레지스트리, 또는 완성된 아티팩트입니다. 당사는 이 분야에서 직접 경쟁하는 CRACI를 만드는 회사이므로 이 점을 감안해 읽어 주세요. 모든 도구는 해당 도구의 자체 문서를 바탕으로 설명했으며, 다른 도구가 더 적합한 경우에는 그렇게 밝혔습니다.

소프트웨어 공급망 보안이란 무엇입니까?

전체 가이드는 소프트웨어 공급망 보안이란과 모범 사례 체크리스트를 참조하세요.

소프트웨어는 자체 코드와 그 코드가 의존하는 모든 것, 즉 오픈 소스 패키지, 베이스 이미지, 빌드 도구, 서드파티 CI 액션, 그리고 이를 릴리스로 만드는 파이프라인으로 이루어집니다. 소프트웨어 공급망 보안은 이러한 구성 요소가 무엇인지 파악하고, 어디에서 오는지 통제하며, 각 릴리스에 무엇이 들어갔는지 입증하는 일입니다. 애플리케이션 보안은 직접 작성한 코드의 결함을 찾고, 공급망 보안은 그 주변을 다룹니다.

공격자는 모든 고리를 노립니다. 최근 세 사건을 보면 어디가 공격받는지 알 수 있습니다.

• 종속성. 2024년 3월, Linux 배포판에 포함되는 압축 라이브러리인 xz utils의 5.6.0 및 5.6.1 버전에서 악성 코드가 발견되었습니다(CVE-2024-3094).
• CI 파이프라인. 2025년 3월, tj-actions/changed-files GitHub Action이 침해되어(CVE-2025-30066) 이를 사용한 워크플로에서 액세스 키, GitHub 개인 액세스 토큰, npm 토큰 같은 시크릿이 노출되었습니다.
• 패키지 레지스트리. 2025년 9월, 자가 복제하는 Shai-Hulud 웜이 500개가 넘는 npm 패키지를 침해했습니다. 이 웜은 GitHub 토큰과 클라우드 키를 포함한 개발자 자격 증명을 탈취하고, 이를 이용해 감염된 패키지를 더 게시했습니다.

1:53

소프트웨어 공급망 보안 도구에는 어떤 유형이 있습니까?

모든 고리를 다루는 단일 제품은 없으며, 아래 공급업체들이 말하는 "공급망 보안"의 의미도 서로 다릅니다. 대부분의 솔루션은 작동 위치에 따라 일곱 가지 유형 중 하나에 속합니다.

소프트웨어 공급망 보안 플랫폼은 어떻게 선택합니까?

지금 답할 수 없는 질문에서 시작한 다음, 그 답이 있는 곳에서 작동하는 도구를 고르세요. 다음 여섯 가지 질문으로 선택지를 빠르게 좁힐 수 있습니다.

• 폭이 필요합니까, 깊이가 필요합니까? 애플리케이션 보안 태세 관리(ASPM) 플랫폼은 리포지토리, 파이프라인, 스캐너에 연결해 그 전반의 위험에 우선순위를 매깁니다. 빌드 수준 도구는 한 지점, 즉 소프트웨어가 빌드되는 동안 무슨 일이 일어났는지를 더 깊이 다룹니다.
• 기존 러너를 유지하고 싶습니까? StepSecurity Harden-Runner와 Cycode의 Cimon 같은 에이전트는 이미 사용 중인 러너에 모니터링을 추가합니다. CRACI는 GitHub Actions의 러너 자체를 대체합니다.
• 위험이 입력에 있습니까? 악성 패키지나 CVE가 가득한 베이스 이미지가 가장 걱정된다면, 입력을 선별하거나 강화하는 도구가 바로 그 문제를 다룹니다.
• 직접 빌드하지 않은 소프트웨어를 출시합니까? 빌드 없이 패키지 내부를 볼 수 있는 것은 바이너리 분석뿐입니다.
• 어떤 CI 시스템을 운영합니까? 여기 소개된 대부분의 도구는 여러 CI 시스템을 지원합니다. CRACI는 현재 GitHub Actions만 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다.
• 무엇을 누구에게 입증해야 합니까? 고객, 감사인, 그리고 EU Cyber Resilience Act 같은 규제는 릴리스별 SBOM과 취약점 처리 기록을 점점 더 요구하고 있습니다. 발견 사항 대시보드는 출시된 것에 대한 증거와 같지 않습니다.

그런 다음 최종 후보에 오른 모든 공급업체에 같은 질문을 하세요.

• 구성 요소 목록은 매니페스트, 소스 분석, 빌드, 완성된 바이너리 중 어디에서 나옵니까?
• SBOM이 불완전할 때 이를 알려 줍니까? CycloneDX나 SPDX로 내보낼 수 있습니까?
• 빌드가 예상치 못한 호스트에 접근하는 것을 막을 수 있습니까, 아니면 사후에 보고만 합니까?
• 배포하는 아티팩트가 빌드된 바로 그 아티팩트인지 나중에 검증할 수 있습니까?
• 현재 어떤 소스 관리 및 CI 시스템을 지원하며, 어떤 것이 로드맵에 있습니까?
• 과금 단위는 무엇입니까? 개발자, 기여자, 이미지, 빌드, 아니면 견적입니까?

도구들은 어떻게 비교됩니까?

도구는 두 가지 형태로 나뉘므로 표도 두 개입니다. 첫 번째 표는 플랫폼과 빌드 보안 도구를 파이프라인을 보고 통제하는 방식으로 비교합니다. 두 번째 표는 입력과 출력을 다루는 도구를 비교합니다. "명시되지 않음"은 당사가 인용한 공급업체 페이지에 어느 쪽으로도 언급이 없다는 뜻입니다.

플랫폼 및 빌드 보안

입력과 출력

소프트웨어 공급망 보안 도구의 비용은 얼마입니까?

아래 9개 도구 중 5개는 개발자 수로 과금하며, 대부분 유료 요금제를 영업팀을 통해 판매합니다. CRACI는 대신 빌드 시간만 청구하므로, 비용은 커밋하는 인원 수가 아니라 빌드하는 양에 따라 달라집니다. 가격은 각 공급업체가 2026년 9월에 공개한 기준이며, Apiiro와 Legit Security는 해당 페이지에 가격이 명시되어 있지 않아 제외했습니다.

개발자당 요금은 팀 규모에 따라, 빌드 시간 요금은 파이프라인 규모에 따라 늘어납니다. CRACI의 가격에는 러너 시간이 포함되며, 이는 GitHub 호스팅 러너에 지불하는 비용을 대체합니다. CRACI 요금과 러너 가격 비교를 참조하세요. 러너를 포함해 팀 규모별로 공개 가격을 정리한 차트는 소프트웨어 공급망 보안 요금 비교를 참조하세요.

CRACI

CRACI는 GitHub Actions용 러너입니다. runs-on을 craci로 바꾸면, 각 작업이 실행되는 동안 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지를 포함해 작업이 가져온 것을 기록합니다. 각 SBOM에는 작업별·캐시별 완전성 상태가 담기고, 이그레스 정책은 작업 시작 전에 검증되며 실패 시 차단(fail closed) 방식으로 동작하고, CRACI는 출시된 것의 SBOM을 계속 재평가합니다. 적합한 경우: 소프트웨어를 출시하며 각 릴리스에 무엇이 들어갔는지 입증해야 하는 팀. 유의할 점: SAST, 시크릿, IaC 스캔, 보안 태세 점검, 바이너리 분석을 제공하지 않으며, 현재 GitHub Actions만 지원합니다(GitLab CI와 Jenkins는 로드맵에 있음). 빌드 시점 SBOM 생성

플랫폼 및 ASPM

Apiiro

Apiiro는 ASPM 플랫폼입니다. Deep Code Analysis는 코드에서 런타임까지 아키텍처를 매핑하고, Risk Graph는 Apiiro 자체 스캐너와 서드파티 도구의 발견 사항을 연관 지어 "유해한 조합(toxic combinations)"을 찾아냅니다. 공급망 모듈은 섀도 파이프라인을 포함한 리포지토리와 파이프라인의 인벤토리를 만들고, 취약한 브랜치 보호와 비정상적인 커밋을 표시합니다. API로 연결되며 CI를 변경할 필요가 없습니다. 적합한 경우: 여러 소스 관리 시스템에 걸쳐 아키텍처 맥락이 필요한 대규모 AppSec 프로그램. 유의할 점: 인벤토리는 빌드를 관찰한 것이 아니라 코드를 분석한 결과이며, 빌드가 접근할 수 있는 대상을 통제하지 않습니다. CRACI와 Apiiro 비교

Cycode

Cycode는 SAST, SCA, 시크릿, 컨테이너 및 IaC 스캔, CI/CD 보안 태세, 100개 이상의 커넥터를 갖춘 ASPM 플랫폼입니다. 빌드 부분을 담당하는 Cimon은 CI 작업 안에서 실행되는 eBPF 에이전트입니다. 프로세스, 네트워크 이그레스, 파일 접근을 모니터링하고, 정책을 적용하기 전에 파이프라인의 정상 동작을 학습하며, 런타임에서 관찰한 SBOM을 생성하고 SLSA 출처 증명에 서명합니다. Cycode는 Cimon이 무료 오픈 소스라고 밝히고 있습니다. 적합한 경우: 코드와 여러 CI 시스템을 아우르는 하나의 플랫폼과, 유지하는 러너에서의 빌드 런타임 보호. 유의할 점: Cimon은 러너 자체가 아니라 러너에 추가되는 에이전트입니다. CRACI와 Cycode 비교

OX Security

OX Security는 자체 스캐너, Checkmarx, Snyk, Black Duck 같은 도구의 서드파티 발견 사항 집계, 그리고 고정되지 않은 액션, 과도한 워크플로 권한, 위험한 웹훅을 표시하는 CI/CD 보안 태세 정책을 갖춘 ASPM 플랫폼입니다. Pipeline Bill of Materials(PBOM)는 파이프라인 정의, 러너 식별 정보, 빌드 인수, 아티팩트 서명을 담은 빌드별 서명된 기록입니다. 적합한 경우: GitHub Actions, GitLab, Jenkins, Azure Pipelines, CircleCI 전반의 보안 태세 정책과 풀 리퀘스트 게이팅. 유의할 점: SBOM은 연결된 소스에서 수집되며, 정책은 실행 중인 작업이 접근할 수 있는 대상을 제한하는 것이 아니라 파이프라인 구성을 점검합니다. CRACI와 OX Security 비교 및 OX Security 대안

Legit Security

Legit Security는 개발 수명 주기 전체를 매핑합니다. SDLC 시스템, 파이프라인, 그리고 이에 적용된 보안 통제의 인벤토리를 지속적으로 업데이트하며, 소스 관리, CI, 레지스트리 전반에 수백 개의 정책을 제공합니다. Snyk, Checkmarx, GitHub Advanced Security 같은 스캐너를 오케스트레이션하고, 자체 SAST와 SCA를 추가하며, 코드뿐 아니라 빌드 로그, Slack, Confluence에서도 시크릿을 찾고, SBOM과 서명된 증명을 생성합니다. 적합한 경우: 많은 리포지토리와 여러 CI 시스템을 물려받아 하나의 거버넌스 계층이 필요한 보안 팀. 유의할 점: API를 통해 구성과 스캐너 출력을 읽으므로, 작업이 실행되는 동안의 네트워크 트래픽은 보지 않습니다. CRACI와 Legit Security 비교 및 Legit Security 대안

Kusari

Kusari는 공급망 메타데이터를 위한 OpenSSF 그래프인 GUAC를 공동으로 만든 팀이 설립했습니다. 플랫폼은 SBOM, VEX 문서, 스캐너 출력으로 지식 그래프를 구축하고, 새로운 취약점의 영향 범위를 보여 주며, 도달 가능성을 분석하고, 먼저 검증한 AutoFix 풀 리퀘스트를 엽니다. Kusari Inspector는 풀 리퀘스트에서 악성 패키지, 시크릿, 안전하지 않은 워크플로를 검토하며, Kusari는 무료로 설치할 수 있다고 밝히고 있습니다. 적합한 경우: 여러 SBOM 소스와 스캐너를 아우르는 하나의 그래프. 유의할 점: 그래프는 입력된 SBOM을 반영하며, Kusari의 SBOM은 빌드가 아니라 생성기(자체 waybill 툴킷 또는 고객의 도구)에서 나옵니다. CRACI와 Kusari 비교 및 Kusari 대안

Endor Labs

Endor Labs는 함수 수준 도달 가능성을 중심으로 만들어졌습니다. 정적 프로그램 분석으로 코드가 직접 또는 전이적 종속성의 취약한 함수를 호출할 수 있는지 추적하며, Endor Labs는 이를 통해 SCA 발견 사항이 92% 줄어든다고 말합니다. 업그레이드 영향 분석, 자동 풀 리퀘스트, 그리고 실행 중인 버전에 수정 사항을 백포트하는 Endor Patches가 수정 조치를 담당합니다. 또한 AI SAST, 시크릿, 컨테이너, 레지스트리 앞단의 Package Firewall, 도달 가능성 기반 VEX를 갖춘 SBOM Hub도 제공합니다. 적합한 경우: 알림 양이 가장 큰 문제인 팀. 유의할 점: 인벤토리는 소스 코드 분석에서 나오며, 빌드를 실행하거나 제한하지 않습니다. CRACI와 Endor Labs 비교

빌드 및 러너 보안

StepSecurity

StepSecurity Harden-Runner는 보안 공급업체 중 CRACI와 가장 많이 겹치는 제품입니다. GitHub 호스팅 러너를 포함해 이미 사용 중인 GitHub Actions 러너에 설치하는 에이전트로, 모든 아웃바운드 연결, 프로세스, 파일 쓰기를 이를 유발한 워크플로 단계와 연결합니다. 먼저 감사 모드로 작업별 기준선을 만든 다음, 허용 목록 밖의 모든 대상으로의 이그레스를 차단할 수 있습니다. StepSecurity는 Secure Registry, 리포지토리 강화 풀 리퀘스트, Dev Machine Guard도 판매합니다. 적합한 경우: GitHub 호스팅 또는 셀프 호스팅 러너를 유지하려는 팀, 또는 GitLab CI나 Azure DevOps를 운영하는 팀. 유의할 점: 허용 목록은 엔드포인트 목록이며, 패키지 수준의 SBOM이 아니라 목적지를 기록합니다. CRACI와 StepSecurity 비교

패키지 및 입력 보안

Socket

Socket은 오픈 소스 패키지의 동작, 즉 설치 스크립트, 네트워크 및 파일 시스템 접근, 난독화된 코드, 알려진 악성코드, 타이포스쿼팅을 분석합니다. 풀 리퀘스트에서 위험한 추가 사항을 표시하며, Socket Firewall은 설치 시점에 악성 패키지를 차단합니다. npm, yarn, pnpm, pip, uv, cargo용 무료 버전이 있습니다. 도달 가능성 분석도 제공합니다. 적합한 경우: 아직 보안 권고가 없는 패키지를 포함해 나쁜 패키지가 들어오기 전에 막으려는 경우. 유의할 점: 프로젝트가 선언한 매니페스트와 잠금 파일을 읽으며, 방화벽은 작업의 나머지 네트워크 트래픽이 아니라 패키지 설치를 필터링합니다. CRACI와 Socket 비교

Chainguard

Chainguard는 오픈 소스 소프트웨어를 소스에서 빌드해 강화된 형태로 제공합니다. Chainguard가 제로 CVE라고 부르는 컨테이너 이미지, 검증된 소스로 다시 빌드한 Java, Python, JavaScript 라이브러리, VM 이미지, 강화된 GitHub Actions를 각각 서명된 SBOM 및 SLSA 출처 증명과 함께 제공합니다. 주문한 고객에게는 적격 패치가 나온 후 심각(critical) CVE는 7일 이내, 그 밖의 심각도는 14일 이내에 수정할 것을 약속합니다. 적합한 경우: 스캐너가 베이스 이미지의 CVE를 계속 표시하는 팀. 유의할 점: SBOM과 출처 증명은 Chainguard의 아티팩트를 설명합니다. 자체 빌드에는 여전히 자체 기록이 필요하며, 그래서 빌드 수준 도구와 잘 어울립니다. CRACI와 Chainguard

바이너리 분석

ReversingLabs

ReversingLabs Spectra Assure는 정적 바이너리 분석, 16개의 악성코드 탐지 엔진, 버전 간 의심스러운 변경을 표시하는 차등 분석을 사용해 소스 코드 없이 완성된 소프트웨어 패키지를 분석합니다. 바이너리에서 CycloneDX 및 SPDX SBOM을 내보내며, 배포 전에 상용 및 서드파티 소프트웨어를 평가할 수 있습니다. 적합한 경우: 악성코드와 변조에 대한 릴리스 게이트, 그리고 직접 빌드하지 않은 소프트웨어. 유의할 점: 출력물에서 거꾸로 분석하므로, 빌드가 가져왔지만 출시하지 않은 빌드 도구나 테스트 종속성은 보지 못합니다. CRACI와 ReversingLabs 비교

이 분야의 배경이 되는 프레임워크와 규제

이러한 도구에 대한 수요의 상당 부분은 구성 요소 인벤토리, 소프트웨어 빌드 방식의 기록, 취약점 처리 프로세스를 요구하는 프레임워크와 규칙에서 나옵니다.

• SLSA(Supply-chain Levels for Software Artifacts)는 단계적으로 도입할 수 있는 가이드라인 모음으로, Linux Foundation 산하에서 업계 간 협력으로 관리됩니다. Build 트랙은 빌드 출처 증명의 신뢰도를 등급으로 매깁니다.
• NIST SSDF(SP 800-218, 버전 1.1, 2022년 2월)는 출시된 소프트웨어의 취약점을 줄이기 위한 안전한 소프트웨어 개발 관행을 제시합니다.
• 미국 행정명령 14028 제4(e)조는 각 제품에 대해 구매자에게 SBOM을 제공하는 것을 포함한 소프트웨어 공급망 지침을 마련하도록 지시했습니다. 모든 공급업체를 직접 구속하기보다는 연방 조달 지침의 토대가 됩니다.
• CISA, NSA, ODNI는 2023년에 조달, 테스트, 배포, 패치, SBOM을 다루는 "Securing the Software Supply Chain: Recommended Practices Guide for Customers"를 발표했습니다.
• EU Cyber Resilience Act(Regulation (EU) 2024/2847)은 2026년 9월 11일에 보고 의무가 발효되고, 2027년 12월 11일부터 전면 적용됩니다.
• NIS2 제21조 제2항은 요구하는 조치 중에 공급망 보안과 취약점 처리를 명시하며, 미국 FDA는 사이버 기기 제조사에 SBOM을 요구합니다.

이 프레임워크들 중 어느 것도 특정 제품 범주를 지정하지 않습니다. 공통점은 증거입니다. 릴리스별 정확한 구성 요소 목록, 빌드 방식의 기록, 그리고 취약점을 추적했다는 증명입니다.

CRACI는 어디에 맞습니까?

CRACI는 GitHub Actions용 러너입니다. runs-on을 craci로 바꾸면, 각 작업이 실행되는 동안 패키지를 인식하는 프록시가 CI 캐시에서 복원된 패키지를 포함해 작업이 가져온 것을 기록합니다. 각 SBOM에는 작업별·캐시별 완전성 상태가 담깁니다. 기본 거부 또는 기본 허용으로 설정하는 이그레스 정책은 작업 시작 전에 검증되며, 실패 시 차단(fail closed) 방식으로 동작합니다. CRACI는 출시된 것의 SBOM을 계속 재평가합니다. CRACI의 인벤토리 보기는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 전 세계 범위에서 정확히 보여 줍니다. 그 결과 빌드별 SBOM, 각 빌드가 접근한 대상의 기록, API로 제공되는 출처 증명 데이터를 얻을 수 있으며, 이는 CRA 프로세스에 필요한 공급망 가시성과 증거의 상당 부분을 자동화합니다.

SAST, 시크릿, IaC 스캔, 리포지토리 전반의 보안 태세 점검, 차단 전 감사 모드, 패키지 차단 목록(로드맵에 있음), 바이너리 분석, 또는 현재 GitHub Actions 이외의 CI 시스템(GitLab CI와 Jenkins는 로드맵에 있음)이 필요하다면 CRACI는 적합한 선택이 아닙니다. 많은 팀이 CRACI를 위의 도구와 함께 사용합니다. 코드와 보안 태세에는 ASPM 플랫폼, 입력에는 Socket이나 Chainguard, 출력에는 ReversingLabs입니다. 빌드 시점 SBOM 생성, CI/CD 통합, 요금에 대해 자세히 알아보시거나, 데모를 예약해 기록된 빌드를 처음부터 끝까지 확인해 보세요.

공급망의 각 영역별 도구 비교

이 페이지는 개요입니다. 각 영역에는 더 자세한 비교와 가이드가 따로 있습니다.

• SBOM: SBOM 도구 비교, 빌드 시점 SBOM 생성, 빌드 시점 SBOM이 필요한 이유, GitHub Actions에서 SBOM을 생성하는 방법.
• 러너 및 CI/CD 보안: GitHub Actions 러너 제공업체, 러너 보안 도구, CI/CD 파이프라인 보안 체크리스트, GitHub Actions 이그레스 정책.
• 종속성: SCA 도구 비교, 전이적 종속성 설명, 소프트웨어 구성 분석이란.
• 규제: CRA 컴플라이언스 도구.
• 빌드가 중요한 이유: 공급망 보안이 CI에 있어야 하는 이유, CRACI를 통한 소프트웨어 공급망 보안, 내부용 및 저위험 소프트웨어에도 필요한 이유.

도구별 CRACI 비교

• CRACI vs Apiiro 코드 기반 위험 그래프 vs 빌드에서 나온 증거.
• CRACI vs Cycode ASPM과 빌드 에이전트 vs 빌드 러너 그 자체.
• CRACI vs OX Security 연결된 도구로 만든 PBOM vs 러너가 남긴 기록.
• CRACI vs Legit Security SDLC 보호 vs 빌드 기록.
• CRACI vs Kusari 공급망 그래프 vs 모니터링이 포함된 빌드 SBOM.
• CRACI vs ReversingLabs 출력물의 바이너리 분석 vs 빌드에서 나온 증거.
• CRACI vs Socket 패키지 동작 분석 vs 빌드 관찰.
• CRACI vs Chainguard 안전한 입력 vs 안전하고 기록되는 빌드.
• CRACI vs Xygeni 빌드 증명을 갖춘 AppSec 플랫폼 vs 빌드 러너 그 자체.
• CRACI vs Wiz 워크플로 보안 태세 점검 결과 vs 작업 안에서의 정책 적용.
• CRACI vs Safeguard 스캔과 AI 자동 수정 vs 빌드 자체의 기록.

소프트웨어 공급망 보안 FAQ

구매 담당자가 가장 많이 묻는 질문에 대한 짧은 답변

소프트웨어 공급망 보안 솔루션이란 무엇입니까?

첫 커밋부터 릴리스까지 소프트웨어에 들어가는 모든 것, 즉 오픈 소스 종속성, 베이스 이미지, 빌드 도구, CI 파이프라인, 출시하는 아티팩트를 보호하는 도구입니다. 주요 유형은 개발 수명 주기 전반의 위험을 파악하는 ASPM 플랫폼, 종속성을 위한 소프트웨어 구성 분석, 빌드 및 러너 보안, 패키지 방화벽, 강화된 이미지, 바이너리 분석, SBOM 및 출처 증명 도구입니다.

가장 좋은 소프트웨어 공급망 보안 플랫폼은 무엇입니까?

각 도구가 서로 다른 고리를 다루기 때문에 하나의 최선은 없습니다. Apiiro, Cycode, OX Security, Legit Security 같은 ASPM 플랫폼은 리포지토리와 CI 시스템 전반을 폭넓게 다루는 데 가장 강합니다. Endor Labs는 종속성 발견 사항의 도달 가능성에, Socket은 악성 패키지에, Chainguard는 강화된 입력에, ReversingLabs는 완성된 바이너리에 집중합니다. 각 GitHub Actions 빌드가 실제로 가져온 것의 기록을 이그레스 통제 및 출처 증명 데이터와 함께 필요로 한다면 CRACI가 적합합니다.

소프트웨어 공급망 보안은 애플리케이션 보안과 어떻게 다릅니까?

애플리케이션 보안은 SAST와 DAST 같은 도구로 팀이 작성한 코드의 결함을 찾습니다. 소프트웨어 공급망 보안은 그 코드를 둘러싼 것, 즉 서드파티 구성 요소, 빌드 시스템, CI 파이프라인, 빌드에서 릴리스까지의 경로를 다룹니다. xz utils 백도어, tj-actions/changed-files 침해, Shai-Hulud npm 웜은 모두 피해자 자신의 코드 버그가 아니라 공급망을 통해 들어왔습니다.

어떤 소프트웨어 공급망 보안 도구부터 시작해야 합니까?

지금 답할 수 없는 질문에서 시작하세요. 어떤 취약한 종속성을 출시하고 있는지 모른다면 SCA부터 시작하세요. 악성 패키지가 가장 걱정된다면 패키지 방화벽을 살펴보세요. 고객이나 EU Cyber Resilience Act를 위해 각 릴리스에 무엇이 들어갔는지 입증해야 한다면 빌드 중에 남긴 기록이 필요합니다. 리포지토리와 CI 시스템이 많은 대규모 프로그램은 그 위에 ASPM 플랫폼을 추가하는 경우가 많습니다.

소프트웨어 공급망 보안에 SBOM이 필요합니까?

점점 더 그렇습니다. EU Cyber Resilience Act는 제조사에 SBOM 작성을 포함해 제품의 구성 요소를 식별하고 그 취약점을 처리하도록 요구합니다. 미국 FDA는 사이버 기기에 SBOM을 요구하며, 미국 행정명령 14028은 공급업체에 SBOM을 요구하는 연방 지침의 토대가 되었습니다. SBOM은 완전한 만큼만 유용하므로, 모든 공급업체에 구성 요소 목록이 어디에서 나오는지, 목록이 불완전할 때 이를 알려 주는지 물어보세요.

CRACI는 공급망 보안 스캐너와 어떻게 다릅니까?

스캐너는 매니페스트, 잠금 파일, 소스 코드, 완성된 바이너리 같은 파일을 사후에 읽습니다. CRACI는 기록 장치입니다. GitHub Actions 작업의 러너 자체이며, 각 작업이 실행되는 동안 CI 캐시에서 복원된 패키지를 포함해 작업이 실제로 가져온 패키지를 기록합니다. 각 SBOM은 자체 완전성을 명시하고, 이그레스 정책은 빌드가 접근할 수 있는 대상을 통제하며, API는 SBOM, 네트워크 추적, 출처 증명을 반환합니다.

CRACI는 어떤 CI 시스템을 지원합니까?

현재는 GitHub Actions를 지원하며, GitLab CI와 Jenkins를 비롯한 다른 CI 시스템은 로드맵에 있습니다. 러너는 x86-64와 ARM64의 Linux이며, Windows와 macOS는 로드맵에 있습니다. 이 페이지의 플랫폼 대부분은 여러 CI 시스템을 지원하므로, Jenkins나 Azure Pipelines도 함께 운영한다면 이 점을 고려하세요.

소프트웨어 공급망 보안 도구의 비용은 얼마입니까?

대부분 개발자 수로 과금합니다. 2026년 9월 기준 StepSecurity Enterprise는 기여 개발자당 월 $16, Socket Team은 개발자당 월 $25이며, Cycode, OX Security, Endor Labs는 유료 요금제를 영업팀을 통해 판매합니다. ReversingLabs Community+는 월 $500 정액이고, Chainguard는 이미지 최대 5개를 무료로 제공하며, CRACI는 월 요금 없이 빌드 시간만 vCPU 분당 $0.002(기본 2 vCPU 러너는 $0.004)로 청구합니다.