tech.inflab.com · 2026. 06. 19.

소프트웨어 공급망 공격, pnpm으로 1차 방어선 구축하기

AI 엔지니어링 브리핑

이 글은 외부 패키지에 숨어든 악성 코드가 설치 순간 실행되는 공급망 공격을 막기 위해 pnpm의 보안 기능을 활용한 방법을 설명합니다.

문제 & 배경

문제 & 배경: Axios 사례처럼 공격자가 간접 의존성에 악성 코드를 넣고 npm install 때 postinstall 스크립트로 자동 실행해 개발자의 자격증명과 시스템 정보를 훔칠 수 있었습니다.

기술 & 해결책

기술 & 해결책: 인프랩은 패키지 매니저를 pnpm으로 통합하고, 새 버전 설치를 일정 시간 늦추는 Cool-Down과 설치 스크립트의 기본 차단, 신뢰도 하락 및 비정상 외부 소스 차단 기능으로 공격이 바로 퍼지는 것을 막았습니다.

교훈 & 주의점

교훈 & 주의점: 필요한 패키지만 allowBuilds에 등록하고 모든 빌드 스크립트를 허용하는 설정은 피해야 하며, 이러한 설치 시점 방어만으로는 실행·런타임 단계의 악성 코드까지 막을 수 없으므로 추가 방어 체계가 필요합니다.

내용이 비슷해요

내용이 비슷한 글을 먼저 보여드려요. 같은 문제나 해결책을 다룬다는 뜻은 아니에요.