라이선스 on OpenChain KWG

FOSSLight

Mon, 01 Jan 0001 00:00:00 +0000

FOSSLight는 LG Electronics가 주도하는 오픈소스 컴플라이언스 도구 모음입니다. 소스 코드·의존성·바이너리를 분석하는 FOSSLight Scanner와, 분석 결과를 중앙에서 관리하는 웹 플랫폼 FOSSLight Hub로 구성됩니다.

GitHub (Hub): https://github.com/fosslight/fosslight
GitHub (Scanner): https://github.com/fosslight/fosslight_scanner
공식 문서: https://fosslight.org/fosslight-guide/
라이선스: AGPL-3.0-only

주요 특징

FOSSLight Hub

컴플라이언스 프로세스 통합 관리: 프로젝트별 BOM 관리, 라이선스 의무사항 이행, 공지문 생성까지 일괄 처리
취약점 모니터링: NVD·CVE 연동으로 사용 중인 오픈소스의 취약점 현황 추적
3rd Party 관리: 외부 소프트웨어 공급망의 오픈소스 현황 등록 및 관리
SBOM 관리: SPDX(ISO 표준) 형식 지원

FOSSLight Dependency Scanner

14개 이상의 패키지 매니저 지원: NPM, Yarn, Maven, Gradle, PyPI, Go, Cargo, NuGet, CocoaPods 등
자동 감지: manifest 파일을 자동으로 탐지하여 분석
직·간접 의존성 분석: 전이적 의존성까지 재귀적으로 수집
다양한 출력 형식: Excel, SPDX, CycloneDX, YAML, CSV

FOSSLight Hub 설치

Docker Compose를 사용합니다. 공식 저장소를 clone하여 실행합니다.

오픈소스 관리 자동화 환경 구성: cdxgen + Dependency-Track

Mon, 01 Jan 0001 00:00:00 +0000

오픈소스 관리를 처음 시작하는 기업이 하루 안에 기본 자동화 환경을 갖출 수 있는 도구 조합으로 cdxgen + Dependency-Track을 권장합니다.

이 가이드는 설치·설정부터 라이선스·취약점 점검 환경 구성, 일상 운영까지 단계별로 안내합니다.

왜 cdxgen + Dependency-Track인가

오픈소스 관리의 핵심은 두 가지입니다.

무엇이 들어있는지 파악 — SBOM(Software Bill of Materials) 생성
위험 요소 지속 모니터링 — 취약점(CVE)·라이선스 정책 위반 탐지

cdxgen은 1번을, Dependency-Track은 2번을 담당합니다. 두 도구 모두 Apache-2.0 라이선스의 무료 오픈소스입니다.

전체 자동화 흐름

flowchart TD
 A["개발자 PC / CI·CD 파이프라인"] --> B["cdxgen 실행\n소스코드·컨테이너 이미지 스캔"]
 B -->|"CycloneDX SBOM (.json)"| C["Dependency-Track\n중앙 서버 자동 분석"]
 C --> D["취약점(CVE) 탐지\n→ 담당자 알림"]
 C --> E["라이선스 정책 위반\n→ 검토 요청"]

 style A fill:#2d3748,color:#fff
 style B fill:#2b6cb0,color:#fff
 style C fill:#2b6cb0,color:#fff
 style D fill:#c53030,color:#fff
 style E fill:#744210,color:#fff

이 조합을 선택한 이유

기준	내용
비용	두 도구 모두 무료 오픈소스 (Apache-2.0)
표준 준수	CycloneDX 형식 — ISO/IEC 5230 및 NTIA SBOM 요건 충족
광범위한 언어 지원	Java, Node.js, Python, Go, Rust 등 20개 이상
중앙 통합 관리	전사 프로젝트 취약점·라이선스 현황을 한 화면에서 파악
자동화 용이성	REST API 기반 — CI/CD 파이프라인 연동 간단

다른 도구와의 비교: FOSSology, SW360 등도 강력한 도구이지만 초기 설정 복잡도가 높습니다. 이 가이드의 조합은 하루 안에 기본 환경을 갖출 수 있도록 최소화했습니다. 각 도구의 상세 기능은 cdxgen 가이드와 Dependency-Track 가이드를 참고하세요.

3.5 라이선스 의무

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 2 — AI 확장 프로세스 단계에서 구축한다. 전체 구축 로드맵 보기

1. 조항 개요

라이선스 의무는 AI SBOM 가이드가 ISO/IEC 5230에서 가장 크게 확장된 지점이다. 전통적 오픈소스 컴플라이언스가 코드의 라이선스를 검토했다면, AI에서는 검토 대상이 네 갈래로 늘어난다. AI 시스템의 코드, 모델 가중치, 데이터셋(학습·테스트·검증 데이터셋을 포함), 그리고 AI 시스템 자체의 라이선스다. 한 모델이 다른 여러 모델에서 파생되는 일이 흔해, 모델 트리(Model Tree)에 놓인 각 상위 모델이 저마다 고유한 라이선스를 가진다.

AI 확장 프로세스

Mon, 01 Jan 0001 00:00:00 +0000

구축 로드맵의 2단계다. AI SBOM 가이드가 ISO/IEC 5230에서 가장 크게 확장된 영역으로, 라이선스 의무(3.5)와 투명성 의무(3.6), AI SBOM 생성·관리(3.9)를 다룬다.

이슈 파악과 해결: 취약점과 라이선스

Mon, 01 Jan 0001 00:00:00 +0000

이 페이지의 위치

식별로 무엇을 쓰는지 파악했다면, 그다음은 거기서 나오는 이슈를 풀어야 한다. 이슈는 두 종류다. 보안 취약점과 라이선스 의무다. FSEC 안내서의 두 번째 절차이고, ISO/IEC 18974의 취약점 탐지·해결(4.3.2)과 ISO/IEC 5230의 라이선스 사용 사례 처리(3.3.2)에 대응한다.

여기서 만드는 문서: 취약점 조치 기록(VEX 포함), 심각도별 대응 기한 기준.

취약점 탐지에서 조치까지

ISO/IEC 18974는 SBOM(Software Bill of Materials)에 담긴 각 오픈소스 컴포넌트에 보안 보증 활동을 적용하도록 요구한다. 탐지부터 해결까지의 전 과정을 절차로 만들고, 각 취약점에 대한 수행 기록을 남겨야 한다. 절차는 다음 흐름을 따른다. [ISO 요구]