소프트웨어 공급망 공격 방어 방법

공급망 공격 방어 방법:

1. 의존성 검사

   npm audit
   pip-audit
   trivy fs .

2. lock 파일 커밋 — package-lock.json, yarn.lock을 반드시 Git에 포함
3. 의존성 핀 고정 — "react": "18.2.0" (^18.2.0 대신)
4. Dependabot/Renovate — 자동 업데이트 PR + 리뷰
5. npm provenance — 패키지 출처 검증
6. socket.dev — npm 패키지 보안 분석
7. private registry — Verdaccio로 프록시 + 승인된 패키지만

주의 패턴:

• 타이포스쿼팅 (react → raect)
• 별 0개인 신규 패키지
• postinstall 스크립트에서 외부 다운로드