Snyk 취약점 데이터베이스
Snyk 취약점 데이터베이스에는 알려진 보안 취약점의 포괄적인 목록이 포함되어 있습니다. 이는 Snyk 제품이 코드 취약점을 찾고 수정하는 데 사용하는 핵심 보안 정보를 제공합니다.
https://security.snyk.io/에서 데이터베이스를 검토하거나, 데이터베이스 정보를 자체 시스템에 통합할 수 있습니다.
Snyk은 보안에 대한 공식 기관으로 인정받고 있으므로, 이 데이터베이스는 표준 기구의 데이터베이스와는 별개입니다.
취약점 데이터베이스 정보
Snyk 보안 팀
Snyk 보안 팀은 새로운 취약점을 찾는 데 전념하는 전문가 그룹입니다. 이 팀은 CVE와 같은 기관에 수많은 발견 사항을 기고해 왔습니다.
Snyk 보안 팀은 데이터베이스가 일관되게 높은 정확도를 유지하고 오탐(False Positive)을 제거하도록 관리합니다.
데이터베이스의 모든 항목은 분석 및 검증됩니다.
팀은 또한 새로운 취약점을 발견하기 위해 독점적인 연구에 투자합니다. 공개된 취약점 목록에서 1차 및 3차 연구를 통해 발견된 모든 취약점을 확인할 수 있습니다.
구간 표기법 및 시맨틱 버전 관리 (Semantic Versioning)
Snyk 취약점 데이터베이스는 지원되는 많은 생태계에서 시맨틱 버전 관리(Semantic Versioning)를 표현하기 위해 구간 표기법(Interval notation)을 사용합니다.
Snyk 취약점 데이터베이스에 나열된 모든 취약점에 대한 구간 표기법을 확인할 수 있습니다. Snyk 취약점 데이터베이스에서는 다음과 같은 여러 구간 표기법을 지원합니다.
열린 구간 표기법(Open interval notation) - 한계점을 포함하지 않으며 표기에
()괄호를 사용합니다.
닫힌 구간 표기법(Closed interval notation) - 모든 한계점을 포함하며 표기에
[]괄호를 사용합니다.
반열린 구간 표기법(Half-closed interval notation) - 한계점 중 하나만 포함하며 표기에
[)또는(]괄호를 사용합니다. 이 예시에는[,3.7.2)와 같이 표시된 무한 닫힌 구간이 포함되어 있으며, 이는3.7.2까지의 모든 버전에 영향을 미침을 의미합니다.
취약점 소스
Snyk 데이터베이스의 대부분의 취약점은 다음 소스 중 하나에서 발생합니다.
NVD의 CVE 및 기타 여러 취약점 데이터베이스 모니터링.
취약점을 나타낼 수 있는 이슈, PR 및 커밋 메시지를 포함한 GitHub의 사용자 활동 모니터링.
오픈 소스 패키지 코드 전반에서 반복되는 보안 실수를 찾는 도구를 사용한 대규모 연구.
널리 사용되는 패키지의 보안 결함을 수동으로 감사하기 위해 Snyk 보안 팀이 수행하는 수동 연구.
실제 취약점으로 간주되는 모든 문제에 대해 Snyk은 올바른 CVSS(심각도) 점수와 패키지 버전 사양을 할당하고, 권고(Advisory)를 생성하며, Snyk 제품에서 이 문제를 사용할 수 있도록 합니다.
패키지 건전성 점수 (Package Health Score)
Snyk 패키지 건전성 점수는 오픈 소스 패키지의 전반적인 상태와 신뢰성을 이해하는 데 도움이 됩니다. 0에서 100 사이의 등급을 제공하며, 점수가 높을수록 더 건전하고 신뢰할 수 있는 패키지임을 나타냅니다.
다음 표에는 지원되는 언어와 관련 생태계를 기반으로 각 언어에 대한 패키지 건전성 인사이트의 가용성이 나열되어 있습니다.
Go
✔️
JavaScript
✔️
TypeScript
✔️
Python
✔️
패키지 건전성 데이터는 Snyk Advisor 및 security.snyk.io 패키지 페이지에서 확인할 수 있습니다. CLI, IDE 및 CI/CD 통합에서는 아직 패키지 건전성 정보를 표시하지 않습니다.
패키지 건전성 점수는 인기도(Popularity), 유지 관리(Maintenance), 보안(Security) 및 커뮤니티(Community)의 네 가지 주요 카테고리를 기반으로 계산됩니다.
각 카테고리는 전체 점수에 기여하여 개발자가 오픈 소스 패키지의 다양한 측면을 평가할 수 있도록 합니다.
인기도 (Popularity)
이 카테고리는 다운로드 수 및 소스 코드 리포지토리의 스타(Star) 수와 같은 지표를 사용하여 인기도를 측정함으로써 오픈 소 패키지의 보급 정도를 이해하는 데 도움이 됩니다.
유지 관리 (Maintenance)
이 카테고리는 오픈 소스 종속성의 건전성에 대한 인사이트를 얻고 프로젝트의 지속 가능성을 평가하는 데 도움이 됩니다.
보안 (Security)
이 카테고리는 오픈 소스 프로젝트 및 과거 버전의 보안 태세를 신속하게 평가하는 데 도움이 됩니다. 프로젝트를 Snyk과 연결하면 대규모로 신속하게 보안을 구현할 수 있는 수정 및 자동화 기능을 받을 수 있습니다.
커뮤니티 (Community)
이 카테고리는 프로젝트에서 사용하는 오픈 소스 패키지 주변에서 커뮤니티가 활성화되어 있는지 아니면 침체되었는지 이해하는 데 도움이 됩니다. 프로젝트 지표를 통해 상태를 가늠할 수도 있습니다.
자체 시스템에 취약점 데이터베이스 통합
자체 보안 제품을 이미 보유하고 있는 고객은 자체 시스템에 정보를 통합하는 것이 유용합니다. 이 데이터베이스에 액세스하여 Snyk의 전문 지식과 축적된 지식의 혜택을 누릴 수 있습니다. 이를 통해 개발 팀은 신뢰할 수 있는 인텔리전스에 액세스하여 오픈 소스 및 컨테이너 코드를 신속하게 보호할 수 있습니다.
Snyk 취약점 데이터베이스에는 두 가지 피드(Feed)가 포함됩니다.
애플리케이션 피드(Application Feed): 수동으로 선별된 콘텐츠와 요약, 해당되는 경우 코드 스니펫이 포함됩니다.
운영 체제 피드(Operating System Feed): 지원되는 모든 Linux 배포판의 Linux 취약점이 포함됩니다.
이러한 피드는 독립형 제품으로 별도로 라이선스가 부여됩니다.
Last updated