クイズ: サプライチェーンのセキュリティ

이미지를 태그가 아니라 다이제스트로 고정하는 가장 핵심적인 이유는?

• 레지스트리 저장 용량을 아낄 수 있다
• 다이제스트를 쓰면 이미지 pull 속도가 빨라진다
• 태그는 프라이빗 레지스트리에서 지원되지 않는다
• 같은 태그에 다른 이미지가 푸시될 수 있어 지금 도는 바이트를 증명할 수 없다

이미지 스캐너가 구조적으로 탐지하지 못하는 것은?

• 베이스 이미지의 OS 패키지 취약점
• package-lock.json 에 잠긴 npm 의존성 취약점
• RPM 데이터베이스에 등록된 패키지의 취약점
• Dockerfile 에서 curl 로 받아 복사한 바이너리의 취약점

취약점 1,247 건이 나온 리포트에서 실무적으로 가장 먼저 적용할 필터는?

• CVSS 9.0 이상만 남긴다
• LOW 등급을 전부 제거한다
• 수정본이 없는 항목을 제외한다(--ignore-unfixed)
• 발견 연도가 최근 3년 이내인 것만 남긴다

ValidatingAdmissionPolicy 를 만들었는데 위반 리소스가 그대로 생성된다. 가장 유력한 원인은?

• ValidatingAdmissionPolicyBinding 을 만들지 않았다
• failurePolicy 가 Fail 로 되어 있다
• matchConstraints 에 apiVersions 를 적지 않았다
• 정책 이름에 하이픈이 들어갔다

프라이빗 레지스트리 인증을 여러 파드에 일관되게 적용하는 가장 좋은 방법은?

• 각 파드 스펙의 imagePullSecrets 에 직접 적는다
• 노드의 /root/.docker/config.json 을 수정한다
• ServiceAccount 의 imagePullSecrets 에 넣고 파드가 그 SA 를 쓰게 한다
• Secret 을 ConfigMap 으로 바꿔 네임스페이스 전체에 공유한다

1,247 건이던 취약점을 두 자릿수 이하로 실제로 떨어뜨린 조치는?

• 베이스 이미지를 최소 이미지(distroless 등)로 교체했다
• 개별 CVE 를 하나씩 패치했다
• 스캐너의 심각도 임계값을 올려 잡았다
• 예외 파일에 전부 등록했다