보안 알림 운영 기준 바뀐다
깃허브가 11월 10일 디펜다봇(Dependabot) 보안 알림의 비활성 저장소 운영 기준 변경을 공지했다. 오는 12월 8일부터 지난 1년 동안 활동이 없는 대부분의 저장소에서 알림을 끈다는 내용이다. 기존 알림은 삭제하지 않고 보관하며 나중에 복원할 수 있다고 밝혔다. 발표 시점부터 이미 모든 대상의 알림이 중단된 것은 아니다.
회사는 취약점 발견과 알림 수가 빠르게 늘어나는 상황에서 활발히 개발하는 저장소의 서비스 속도와 안정성을 유지하기 위한 조치라고 설명했다. 다만 공지는 증가 규모나 성능 개선 수치를 제시하지 않았다. 이번 조치를 취약점 자체가 사라지거나 오래된 코드의 위험이 낮아진다는 의미로 해석해서는 안 된다.
활동 판단과 복구 방법 확인해야
활동으로 인정하는 항목은 어떤 브랜치나 태그에든 변경 내용을 푸시하는 행위, 저장소 생성, 디펜다봇 알림 활성화다. 단순히 저장소를 열어 봤다는 이유만으로 활동 상태가 유지된다고 공지하지는 않았다. 관리자는 최근 개발 이력뿐 아니라 저장소의 알림 설정도 확인할 필요가 있다.
중지 후에는 저장소에 푸시하면 알림이 자동으로 다시 켜진다. 저장소 설정에서 직접 활성화하는 방법도 있다. 어느 쪽이든 보관했던 알림이 복원되고 1년의 계산이 다시 시작된다. 알림 복원은 취약한 의존성을 수정하는 작업과는 구분되므로, 되살아난 경고에 대한 검토와 조치는 별도로 필요하다.
기업 보안정책에는 예외 적용
디펜다봇 알림을 활성화하도록 강제한 보안 구성의 적용 대상 저장소는 자동 중지에서 제외한다. 기업의 디펜다봇 알림 정책이 저장소 관리자에게 활성화·비활성화 권한을 허용하지 않는 경우도 제외된다. 조직 차원의 일관된 알림 유지가 필요하다면 개별 저장소 설정만이 아니라 상위 보안정책을 함께 살펴야 한다.
변경은 github.com의 모든 요금제와 데이터 레지던시를 사용하는 깃허브 엔터프라이즈 클라우드에 적용되며, 깃허브 엔터프라이즈 서버에는 적용되지 않는다. 데이터 레지던시 고객의 보관 알림은 기업의 다른 데이터와 같은 지역에 저장된다. 장기 보관 프로젝트를 운영하는 팀은 시행 전에 대상과 예외, 복구 절차를 점검하는 것이 중요하다.
자료 제공·참고: GitHub Changelog, Dependabot alerts will pause on inactive repositories
){kind=small}
){kind=small}
){kind=small}
){kind=small}