00:00:00Docker Hub에 있는 Docker 이미지의 87%에 심각하거나 높은 위험도의 취약점이 포함되어 있습니다.
00:00:04통계적으로 볼 때, 여러분이 지금 막 배포하려는 그 이미지 말이죠.
00:00:08네, 아마 어딘가에, 어떤 방식으로든 취약점이 있을 겁니다.
00:00:11무서운 점은 모든 것이 여전히 빌드되고 실행되기 때문에,
00:00:14문제가 생기기 전까지는 전혀 눈치채지 못한다는 것입니다.
00:00:16이것은 별도의 설치 없이도 몇 초 만에 문제를 찾아내는 오픈 소스 도구인 Trivi입니다.
00:00:21새로운 영상이 계속 올라오니 구독 잊지 마세요.
00:00:29Trivi는 GitHub에서 32,000개 이상의 별을 받으며 폭발적인 인기를 끌고 있고, 사용량도 나날이 늘고 있습니다.
00:00:34이런 도구는 컨테이너만 스캔할 것 같지만, 실제로는 모든 것을 스캔합니다.
00:00:40컨테이너, 로컬 파일 시스템, Git 레포지토리, Kubernetes, 설정 오류 등 무엇이든 가능하죠.
00:00:45심지어 GitLab의 기본 스캐너이기도 합니다.
00:00:48이것은 인프라입니다.
00:00:50앞으로 30초 정도의 시간 동안, 이것을 어떻게 활용하는지 보여드리겠습니다.
00:00:53실제로 사용하기에 충분할 정도로 아주 간단합니다.
00:00:56설치는 필요 없습니다. 제가 한 유일한 일은 그들의 Git 레포지토리를 복제한 것뿐입니다.
00:01:00테스트 컨테이너가 있어서 바로 실행해 볼 수 있거든요.
00:01:04다른 준비물은 Docker를 실행하는 것뿐입니다.
00:01:07이제 VS Code 터미널에서 문서에 나와 있는 이 한 줄을 입력하기만 하면 됩니다.
00:01:12정말 그게 끝이에요.
00:01:14Docker가 Trivi를 가져와 실행하고, 공식 Nginx 이미지를 스캔합니다. 짜잔.
00:01:21치명적인 취약점이 있다면 바로 여기에 나타날 것입니다.
00:01:26여기서부터 여러분의 수고를 덜어주기 시작합니다. 실제 파이프라인이라면,
00:01:29단순 보고서가 아니라 프로그램의 실행을 즉시 중단시키고 싶을 테니까요.
00:01:32이제 치명적인 취약점이 발견되면 종료 코드 1이 발생하고,
00:01:36파이프라인이 실패하면서 빌드가 차단됩니다.
00:01:39보안 도구는 작업 속도만 늦춘다고 생각하셨겠지만, Trivi는 다릅니다.
00:01:45나중에 해야 할 롤백을 미리 방지해주기 때문에 오히려 속도를 높여주죠.
00:01:49좋습니다, 하지만 컨테이너 스캔은 쉬운 부분입니다.
00:01:51진짜 문제는 보통 우리가 커밋하는 내용에서 발생하죠.
00:01:54컨테이너도 중요하지만, 잘못된 코드는 더 치명적입니다.
00:01:57엉망으로 작성된 Docker 파일을 스캔해 봅시다.
00:01:59이 파일 역시 Trivi 레포지토리에 들어있습니다.
00:02:01자, Trivi 데모 디렉토리로 이동하겠습니다.
00:02:03보시다시피 보안에 취약한 기본 이미지나,
00:02:07누락된 사용자 지시어, 권한 설정 문제, 오래된 종속성 등을 모두 잡아냅니다.
00:02:12이런 문제들을 알아서 찾아내 주는 거죠.
00:02:14이것은 배포 후가 아니라, 병합 전 CI 단계에서 반드시 확인해야 할 사항입니다.
00:02:18일단 병합되고 나면 모두의 문제가 되기 때문이죠.
00:02:22이제 Docker 파일을 수정하고 다시 실행해 보세요.
00:02:24모두 깨끗해졌고 준비가 끝났습니다.
00:02:26레포지토리가 너무 커서 걱정되시나요? 오히려 좋습니다.
00:02:30규모가 클수록 이 도구가 훨씬 더 유용하거든요.
00:02:32잠시 후에 언급할 다른 도구들도 있긴 합니다만,
00:02:35이제 레포지토리 전체를 대상으로 실행해 보겠습니다.
00:02:38파일 시스템 스캔, 종속성, 설정 오류 등 모든 것을 확인합니다.
00:02:41이 레포지토리를 사용 중이니, 모든 것이 제대로 확인되는지 볼 수 있습니다.
00:02:45그렇다면 이 도구는 일상적인 업무 어디에 위치하며 사람들은 어떻게 활용하고 있을까요?
00:02:50단순히 일회성 스캔 도구라고 생각할 수 있지만, 그렇지 않습니다.
00:02:54Trivi는 여러분이 이미 작업하고 있는 환경에 자연스럽게 녹아듭니다.
00:02:56로컬 개발에는 VS Code 확장 프로그램이 있고, CI에서는 단 세 줄의 GitHub Actions면 충분합니다.
00:03:02Kubernetes를 사용한다면 Trivi Operator가 클러스터의 모든 워크로드를 자동으로 스캔합니다.
00:03:07파이프라인에 명령어 한 줄만 추가하면 됩니다.
00:03:09보고에 따르면 공급망 공격이 400% 이상 증가했다고 합니다.
00:03:12개발자들도 항상 보안의 한 축을 담당해 왔기에, 이 도구가 큰 도움이 될 것입니다.
00:03:17최고의 보안 도구는 속도를 늦추는 것이 아니라, 문제를 차단해 나중에 할 일을 줄여주는 것입니다.
00:03:22Trivi가 꽤 괜찮아 보이는데, 실제로 다른 도구들보다 나을까요?
00:03:26시중에는 다른 도구들도 분명 존재하니까요.
00:03:26솔직히 말씀드리면 다른 스캐너들도 있습니다.
00:03:29이미 사용 중인 것들도 있을 거고요.
00:03:31Gripe가 있지만, 컨테이너 전용입니다.
00:03:34Snyk도 있지만, 비용이 발생하죠.
00:03:37이런 이유들 때문에 많은 사람이 Trivi로 눈을 돌리고 있습니다.
00:03:41빠르고, 무료니까요.
00:03:42컨테이너, 비밀 정보, SBOM, Kubernetes, 파일 시스템 등 모든 것을 처리합니다.
00:03:48말하자면 올인원 도구인 셈이죠.
00:03:50Trivi를 처음 접하셨나요? 아니라면 Trivi에 대해 어떻게 생각하시나요?
00:03:53그럼 다음 영상에서 뵙겠습니다.