{"id":1379,"kind":"story","title":"고3 학생의 시큐리티 캠프 지원 답안 공개, 도커 이미지를 줄이자 취약점 경보 50건에서 14건으로","url":"https://zenn.dev/uvu/articles/758ee227a614ea","host":"zenn.dev","by":"startupxo","score":0,"comments":0,"time":"2026-11-12T18:25:09.369Z","origin":"curated","language":{"source":"ko","reading":"ko","translated":false},"summary":["일본의 보안 인재 양성 프로그램 시큐리티 캠프 2026에 지원할 때 쓴 답안을 고3 학생이 글로 공개했다. 필자는 프로덕트 보안 클래스를 수료했고, 답안 작성은 5월 11일이었다고 밝혔다.","공급망 공격 문항에서는 npm 패키지 관리자 계정과 토큰이 뚫려 정상 패키지에 악성 코드가 섞인 사례를 다룬다. 감염된 환경에서 인증 정보를 훔쳐 다른 패키지로 번지는 흐름을 설명했다.","대응책으로 워크플로 변경 시 코드 리뷰, 기본 읽기 전용 권한, 커밋 해시 고정, 단기 토큰(OIDC) 사용을 제안한다. 침해 시 대응 절차도 미리 정해 두자고 적었다.","필자가 Go 앱의 도커 파일을 멀티 스테이지 빌드(빌드용과 실행용 이미지를 나누는 방식)로 바꾸자 Trivy 스캔 경보가 50건에서 14건이 됐다. 남은 경보도 실행 시 사용 여부 등을 따져 우선순위를 정해야 한다고 했다."],"discussion":"https://startupxo.com/ko/1379/","markdown":"https://startupxo.com/ko/1379.md","api":"https://startupxo.com/api/v1/item.json?id=1379&lang=ko","text":null,"edited":null,"sources":[{"site":"rss","name":"Zenn","url":"https://zenn.dev/uvu/articles/758ee227a614ea","score":null,"comments":null,"observed_at":"2026-11-12T18:24:22Z"}],"thread":[]}