GitHub, 패키지 설치 단계에서 자격 증명을 털어가는 공격을 막는 방화벽 공개
GitHub package firewall
GitHub가 패키지 방화벽을 퍼블릭 프리뷰로 공개했다. Actions 러너나 코딩 에이전트와 업스트림 패키지 저장소 사이에 위치해 메타데이터 요청과 패키지 다운로드를 모두 검사하고, 관리자가 설정한 쿨다운 기간, GitHub Advisory Database 악성코드·취약점 경고, attestation 다운그레이드 같은 공급망 정책으로 차단 여부를 판단한다. 현재 npm 패키지만 지원하며, 프리뷰 기간에는 무료이고 정식 출시 후에는 Actions처럼 사용량 기반으로 과금된다.
점점 더 많은 악성코드 공격이 패키지의 코드를 실행하지도 않은 채 패키지 설치 시점에 시스템을 노려 CI/CD 호스트나 개발자 워크스테이션의 자격 증명을 탈취하고 있다.