고3 학생의 시큐리티 캠프 지원 답안 공개, 도커 이미지를 줄이자 취약점 경보 50건에서 14건으로(zenn.dev)

- 일본의 보안 인재 양성 프로그램 시큐리티 캠프 2026에 지원할 때 쓴 답안을 고3 학생이 글로 공개했다. 필자는 프로덕트 보안 클래스를 수료했고, 답안 작성은 5월 11일이었다고 밝혔다. - 공급망 공격 문항에서는 npm 패키지 관리자 계정과 토큰이 뚫려 정상 패키지에 악성 코드가 섞인 사례를 다룬다. 감염된 환경에서 인증 정보를 훔쳐 다른 패키지로 번지는 흐름을 설명했다. - 대응책으로 워크플로 변경 시 코드 리뷰, 기본 읽기 전용 권한, 커밋 해시 고정, 단기 토큰(OIDC) 사용을 제안한다. 침해 시 대응 절차도 미리 정해 두자고 적었다. - 필자가 Go 앱의 도커 파일을 멀티 스테이지 빌드(빌드용과 실행용 이미지를 나누는 방식)로 바꾸자 Trivy 스캔 경보가 50건에서 14건이 됐다. 남은 경보도 실행 시 사용 여부 등을 따져 우선순위를 정해야 한다고 했다.