SBOM on OpenChain KWG

FOSSLight

Mon, 01 Jan 0001 00:00:00 +0000

FOSSLight는 LG Electronics가 주도하는 오픈소스 컴플라이언스 도구 모음입니다. 소스 코드·의존성·바이너리를 분석하는 FOSSLight Scanner와, 분석 결과를 중앙에서 관리하는 웹 플랫폼 FOSSLight Hub로 구성됩니다.

GitHub (Hub): https://github.com/fosslight/fosslight
GitHub (Scanner): https://github.com/fosslight/fosslight_scanner
공식 문서: https://fosslight.org/fosslight-guide/
라이선스: AGPL-3.0-only

주요 특징

FOSSLight Hub

컴플라이언스 프로세스 통합 관리: 프로젝트별 BOM 관리, 라이선스 의무사항 이행, 공지문 생성까지 일괄 처리
취약점 모니터링: NVD·CVE 연동으로 사용 중인 오픈소스의 취약점 현황 추적
3rd Party 관리: 외부 소프트웨어 공급망의 오픈소스 현황 등록 및 관리
SBOM 관리: SPDX(ISO 표준) 형식 지원

FOSSLight Dependency Scanner

14개 이상의 패키지 매니저 지원: NPM, Yarn, Maven, Gradle, PyPI, Go, Cargo, NuGet, CocoaPods 등
자동 감지: manifest 파일을 자동으로 탐지하여 분석
직·간접 의존성 분석: 전이적 의존성까지 재귀적으로 수집
다양한 출력 형식: Excel, SPDX, CycloneDX, YAML, CSV

FOSSLight Hub 설치

Docker Compose를 사용합니다. 공식 저장소를 clone하여 실행합니다.

OSV-SCALIBR

Mon, 01 Jan 0001 00:00:00 +0000

OSV-SCALIBR (Open Source Vulnerabilities - Software Composition Analysis LIBRary)은 Google이 개발한 오픈소스 소프트웨어 구성 분석 도구입니다. 파일시스템, 컨테이너 이미지, 바이너리를 스캔하여 포함된 패키지를 식별하고, OSV(Open Source Vulnerabilities) 데이터베이스와 대조하여 알려진 취약점을 검출합니다. SPDX, CycloneDX 형식의 SBOM 생성도 지원합니다.

GitHub: https://github.com/google/osv-scalibr
라이선스: Apache-2.0

1. 주요 특징

다양한 스캔 대상 지원: 로컬 파일시스템, 컨테이너 이미지, 아카이브 파일
폭넓은 생태계 지원: Go, Python, Java(Maven), JavaScript(npm), Rust, Ruby 등
OSV DB 연동: 스캔 결과를 OSV 데이터베이스와 대조하여 CVE 등 취약점 정보 제공
다양한 SBOM 출력 형식: SPDX 2.3, CycloneDX JSON 형식으로 결과 내보내기 가능
CLI 및 라이브러리 이중 제공: 독립 실행 바이너리(CLI)와 Go 라이브러리 모두 제공

2. 설치 방법

Go 1.21 이상이 설치된 환경에서 아래 명령으로 설치합니다.

cdxgen

Mon, 01 Jan 0001 00:00:00 +0000

cdxgen은 OWASP(Open Web Application Security Project)가 관리하는 오픈소스 SBOM 생성 도구입니다. 소스 코드, 빌드 결과물, 컨테이너 이미지를 분석하여 CycloneDX 형식의 SBOM을 자동으로 생성합니다.

GitHub: https://github.com/CycloneDX/cdxgen
라이선스: Apache-2.0

주요 특징

광범위한 언어·생태계 지원: Java(Maven/Gradle), Node.js, Python, Go, Rust, PHP, Ruby, .NET 등 20개 이상
다양한 스캔 대상: 소스 코드 디렉토리, 컨테이너 이미지, GitHub 저장소
CycloneDX 표준 출력: CycloneDX 1.4/1.5/1.6 JSON 및 XML 형식 지원
REPL 모드: 대화형 인터페이스로 SBOM 탐색 및 조회 가능
CI/CD 통합: GitHub Actions, GitLab CI 등 주요 파이프라인과 쉽게 연동

설치 방법

Node.js 18 이상이 설치된 환경에서 아래 명령으로 설치합니다.

Syft

Mon, 01 Jan 0001 00:00:00 +0000

Syft는 Anchore가 개발한 오픈소스 SBOM 생성 CLI 도구입니다. 컨테이너 이미지, 파일시스템, 아카이브를 스캔하여 포함된 패키지를 식별하고 SPDX 또는 CycloneDX 형식의 SBOM을 생성합니다.

GitHub: https://github.com/anchore/syft
라이선스: Apache-2.0

주요 특징

다양한 스캔 대상: 컨테이너 이미지(Docker, OCI), 로컬 파일시스템, tar 아카이브
폭넓은 생태계 지원: Alpine(apk), Debian/Ubuntu(dpkg), RPM, Python, Java, Go, Node.js, Ruby, Rust 등
표준 출력 형식: SPDX 2.2/2.3 (JSON·tag-value), CycloneDX 1.4/1.5 (JSON·XML), Syft JSON
Grype 연동: Anchore의 취약점 스캐너 Grype와 자연스럽게 연동하여 SBOM 기반 취약점 분석 가능
빠른 설치: 단일 바이너리 배포, 별도 런타임 불필요

설치 방법

스크립트 설치 (Linux/macOS)

curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin

Homebrew (macOS)

brew install syft

Docker

docker pull anchore/syft

기본 사용법

(1) 컨테이너 이미지 스캔

# Docker 이미지 스캔 (SPDX JSON 출력)
syft ubuntu:22.04 -o spdx-json=sbom.spdx.json

# CycloneDX JSON 출력
syft ubuntu:22.04 -o cyclonedx-json=sbom.cdx.json

(2) 로컬 디렉토리 스캔

syft dir:/path/to/project -o spdx-json=sbom.spdx.json

(3) 표준 출력으로 결과 확인

# 터미널에서 패키지 목록 확인
syft ubuntu:22.04

# JSON 형식으로 표준 출력
syft ubuntu:22.04 -o json

(4) Grype와 연동하여 취약점 스캔

# Syft로 SBOM 생성 후 Grype로 취약점 분석
syft ubuntu:22.04 -o json | grype

CI/CD 연동 예시

# GitHub Actions 예시
- name: Generate SBOM with Syft
 uses: anchore/sbom-action@v0
 with:
 image: myapp:latest
 format: spdx-json
 output-file: sbom.spdx.json
- name: Upload SBOM
 uses: actions/upload-artifact@v4
 with:
 name: sbom
 path: sbom.spdx.json

참고 자료

Syft GitHub: https://github.com/anchore/syft
Grype(취약점 스캐너): https://github.com/anchore/grype
SPDX 표준: https://spdx.dev/
CycloneDX 표준: https://cyclonedx.org/

Dependency-Track

Mon, 01 Jan 0001 00:00:00 +0000

Dependency-Track은 OWASP가 관리하는 오픈소스 SBOM 관리 및 취약점 분석 플랫폼입니다. 업로드된 SBOM(CycloneDX, SPDX)을 기반으로 컴포넌트별 취약점을 지속적으로 모니터링하고, 정책 위반 여부를 자동으로 평가합니다.

GitHub: https://github.com/DependencyTrack/dependency-track
공식 문서: https://docs.dependencytrack.org/
라이선스: Apache-2.0

주요 특징

SBOM 기반 지속 모니터링: SPDX 및 CycloneDX 형식의 SBOM을 업로드하면 컴포넌트별 최신 취약점을 자동으로 추적
다양한 취약점 데이터소스 연동: NVD, OSV, GitHub Advisories, VulnDB 등
정책 엔진: 라이선스 정책, 취약점 심각도 기준, 컴포넌트 사용 가능 여부를 규칙으로 정의하여 자동 평가
REST API: CI/CD 파이프라인과 통합하여 빌드 시 SBOM을 자동 업로드하고 결과를 피드백
웹 UI 대시보드: 프로젝트별 위험 점수, 취약점 현황, 라이선스 분포를 한눈에 파악
알림: Slack, 이메일, Webhook 등 다양한 채널로 신규 취약점 알림 발송

설치 방법

Docker Compose를 사용하는 방법이 가장 간편합니다.

오픈소스 관리 자동화 환경 구성: cdxgen + Dependency-Track

Mon, 01 Jan 0001 00:00:00 +0000

오픈소스 관리를 처음 시작하는 기업이 하루 안에 기본 자동화 환경을 갖출 수 있는 도구 조합으로 cdxgen + Dependency-Track을 권장합니다.

이 가이드는 설치·설정부터 라이선스·취약점 점검 환경 구성, 일상 운영까지 단계별로 안내합니다.

왜 cdxgen + Dependency-Track인가

오픈소스 관리의 핵심은 두 가지입니다.

무엇이 들어있는지 파악 — SBOM(Software Bill of Materials) 생성
위험 요소 지속 모니터링 — 취약점(CVE)·라이선스 정책 위반 탐지

cdxgen은 1번을, Dependency-Track은 2번을 담당합니다. 두 도구 모두 Apache-2.0 라이선스의 무료 오픈소스입니다.

전체 자동화 흐름

flowchart TD
 A["개발자 PC / CI·CD 파이프라인"] --> B["cdxgen 실행\n소스코드·컨테이너 이미지 스캔"]
 B -->|"CycloneDX SBOM (.json)"| C["Dependency-Track\n중앙 서버 자동 분석"]
 C --> D["취약점(CVE) 탐지\n→ 담당자 알림"]
 C --> E["라이선스 정책 위반\n→ 검토 요청"]

 style A fill:#2d3748,color:#fff
 style B fill:#2b6cb0,color:#fff
 style C fill:#2b6cb0,color:#fff
 style D fill:#c53030,color:#fff
 style E fill:#744210,color:#fff

이 조합을 선택한 이유

기준	내용
비용	두 도구 모두 무료 오픈소스 (Apache-2.0)
표준 준수	CycloneDX 형식 — ISO/IEC 5230 및 NTIA SBOM 요건 충족
광범위한 언어 지원	Java, Node.js, Python, Go, Rust 등 20개 이상
중앙 통합 관리	전사 프로젝트 취약점·라이선스 현황을 한 화면에서 파악
자동화 용이성	REST API 기반 — CI/CD 파이프라인 연동 간단

다른 도구와의 비교: FOSSology, SW360 등도 강력한 도구이지만 초기 설정 복잡도가 높습니다. 이 가이드의 조합은 하루 안에 기본 환경을 갖출 수 있도록 최소화했습니다. 각 도구의 상세 기능은 cdxgen 가이드와 Dependency-Track 가이드를 참고하세요.

SCANOSS

Mon, 01 Jan 0001 00:00:00 +0000

SCANOSS는 오픈소스 컴포넌트를 파일 단위뿐 아니라 스니펫(코드 조각) 단위까지 식별할 수 있는 소프트웨어 구성 분석(SCA) 도구입니다. 1억 개 이상의 파일을 인덱싱한 지식베이스(OSSKB, Open Source Knowledge Base)와 대조하여 라이선스·저작권 정보를 검출하고, CycloneDX·SPDX 형식의 SBOM을 자동으로 생성합니다.

GitHub: https://github.com/scanoss
공식 사이트: https://www.scanoss.com
라이선스: Apache-2.0

1. 주요 특징

스니펫 수준 매칭: 파일 전체가 아닌 코드 일부를 복사·수정한 경우도 출처 추적 가능
대규모 지식베이스: OSSKB에 1억 개 이상의 오픈소스 파일 인덱싱 — 주요 패키지 저장소와 GitHub 커버
SBOM 자동 생성: CycloneDX(JSON/XML) 및 SPDX 형식 출력 지원
CLI & REST API 이중 제공: scanoss-py(Python) CLI와 REST API를 모두 지원하여 자동화 통합이 용이
CI/CD 파이프라인 통합: GitHub Actions 등 CI 환경에서 커맨드 한 줄로 스캔 가능

2. 설치 방법

Python 3.8 이상 환경에서 pip로 설치합니다.

§3.3.1 SBOM

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 3 — 프로세스 구축 단계에서 구축합니다. 전체 구축 로드맵 보기

1. 조항 개요

공급 소프트웨어에 어떤 오픈소스 컴포넌트가 포함되어 있는지 파악하지 못하면 라이선스 의무를 이행할 수 없고 보안 취약점 대응도 불가능하다. §3.3.1은 공급 소프트웨어를 구성하는 오픈소스 컴포넌트를 식별, 추적, 검토, 승인, 보관하는 절차를 수립하고, 그 절차가 실제로 이행되었음을 입증하는 컴포넌트 기록(SBOM)을 유지하도록 요구한다. 이 조항은 오픈소스 라이선스 컴플라이언스와 보안 보증의 핵심 인프라인 SBOM을 운영하는 기반이 된다.

§4.3.1 SBOM

Mon, 01 Jan 0001 00:00:00 +0000

구축 단계

이 조항은 Phase 3 — 프로세스 구축 단계에서 구축합니다. 전체 구축 로드맵 보기

1. 조항 개요

§4.3.1은 ISO/IEC 5230 §3.3.1(SBOM)과 기본 구조는 동일하지만, 강조점이 다르다. 5230은 오픈소스 컴포넌트의 라이선스 관리를 위한 SBOM을 다루는 반면, 18974의 §4.3.1은 소프트웨어 수명주기 전반에 걸쳐 지속적으로 SBOM을 기록하고 보관하는 것을 강조한다. 특히 배포 후에도 SBOM을 유지하여 §4.3.2 보안 보증의 취약점 모니터링과 연계되어야 한다. SBOM이 없으면 배포 후 새로 공개된 CVE에 대한 영향 분석(§4.1.5 방법 5)을 수행할 수 없다.

11th Meeting

Mon, 01 Jan 0001 00:00:00 +0000

Schedule

Schedule: 2021-09-30 (Thu) 2:00~4:00 PM
How to join
- Zoom (Please refer to the e-mail for the access address)

Agenda

No	Agenda	Speaker	Slide
0	Intro & Greetings	Newcomers	-
1	OpenChain Update	Shane Coughlan, Linux Foundation	-
2	OpenChain KWG Update	장학성, SK텔레콤	pdf
3	오픈소스 라이선스 변화의 흐름	Sean (김영환), 카카오	pdf
4	삼성전자 오픈소스 정책 및 프로세스 현황 소개	정윤환. 삼성전자	-
5	최근 주요 동향 - 미 정부의 ‘SBOM’ 의무화 - Github Copilot 오픈소스 라이선스 논쟁	Robin (황민호), 카카오	pdf
6	소그룹 모임	All	-
7	Free Discussion	All	-

소그룹 모임 주제

자기 소개 (하는 일, 최근 주요 관심사)
오픈소스 컴플라이언스 활동 이력 관리 방법 Best Practice 공유 (개발자와 이메일로 소통? Jira 등 도구 활용?)

Attendees

ETRI
현대자동차
현대오토에버
현대모비스
카카오
LG전자
라인플러스
엔씨소프트
삼성전자
SK텔레콤
Linux Foundation

Video

OpenChain Update

OpenChain KWG Update

오픈소스 라이선스 변화의 흐름

최근 주요 동향

Minutes

OpenChain Update (Shane Coughlan / Linux Foundation)

SK Telecom OpenChain ISO 인증 획득, Telecommunication 업계 중 최초
Global Case Study: 10월~12월 내 운영 중 [https://www.openchainproject.org/featured/2021/09/22/automation-case-study]
- 주제: Open Source Compliance Automation and Interoperability
SPDX Specification 2.2.1 버전이 ISO 등재되었음 [https://www.iso.org/standard/81870.html]
OpenChain Security Assurance Guide 준비 중
OpenChain Supplier Education Pack 배포

OpenChain KWG Update (장학성/SK텔레콤)

KWG 멤버 조건에 “기업/기관"으로 변경
삼성전자 & SK Telecom OpenChain ISO 인증 획득
Tooling Subgorup에서 OSS Based Compliance Tooling Group에서 소개된 오픈소스 도구들에 대해 소개 예정
OpenChain KWG Charter
- 거버넌스 문서화 진행 중
- 초안을 작성하고 있으나 많은 분들의 의견이 필요합니다.
Blog Update : [https://korea-wg.openchainproject.org/blog/]
- SK 텔레콤 개발자 소통 커뮤니티 DEVOCEON 론칭 뉴스
- LG전자의 Fosslight 공개 뉴스
- 카카오의 OLIVE 출시 뉴스
- GPL v2.0의 설치 정보 요구 건에 대한 뉴스

오픈소스 라이선스 변화의 흐름 (Sean(김영환)/카카오)

라이선스 변경 이력
- 2018년 10월, MongoDB : AGPL 3.0 → SSPL 1.0
- 2019년 11월, Sentry : BSD 3-Clause → BUSL 1.1
- 2021년 1월, ElasticSearch : Apache 2.0 → EL 2.0 or SSPL 1.0
- 2021년 4월, Grafana : Apache 2.0 → AGPL 3.0
Grafana : Apache 2.0 → AGPL 3.0
- 변경 목적은 오픈소스 커뮤니티의 자유를 유지하면서, 오픈소스를 수정한 경우 기여 문화를 장려하기 위함
- AGPL 특징
  - 네트워크로 서비스하더라도 소스코드 공개 필요
  - GPL 소프트웨어를 사용해서 SaaS로 서비스를 제공하면 공개 의무 없으나, AGPL은 소스코드 공개 의무 발생
- Grafana 사용 가이드
  - Apache 2.0 적용 버전은 사용해도 이슈 없고, AGPL 3.0이 적용된 버전부터 사용 시 코드 공개 의무 있음
MongoDB : AGPL 3.0 → SSPL 1.0
- 변경 목적은 AGPL은 클라우드에서 제공이 배포인지, 아닌지에 대한 논란의 소지가 있어서 명확하게 라이선스를 SSPL로 변경한 것
- 클라우드 서비스 업체가 커뮤니티에 기여하지 않고 대부분의 이익을 창출하고 있다고 비판
- 클라우드 서비스에서 Strip-Mining을 하고 있다고 비판함 (Strip Mining: 산이라는 생태계는 파괴하고 필요한 자원만 캐는 행위)
- SSPL v1.0 특징
  - 클라우드 서비스의 경우에도 소스코드 공개 의무사항을 요구 (13조항)
  - 서비스 소스코드: 프로그램 및 관리 소프트웨어 (API, 모니터링, 백업, 저장 S/W 등)
- MongoDB 사용 가이드
  - MongoDB를 외부에 서비스로 제공하는 경우, 서비스 소스코드를 전부 공개해야 함
ElasticSearch : Apache 2.0 → Elastic License 또는 SSPL 1.0
- 변경 목적은 MongoDB와 사례와 동일
- Elastic License 2.0 특징
  - 거의 모든 자유를 허용하지만 아래 2가지 제한사항만 있음
  - 1. 호스팅 등의 서비스로 제 3자에게 제공할 수 없음
  - 1. S/W 라이선스키에 대한 변경 및 라이선스키로 보호되는 S/W 기능 변경 금지
- ElasticSearch v7.10까지는 Apache 2.0 적용, v7.11 이후부터는 SSPL 1.0 또는 EL 2.0 적용
- Elastic Search 사용 가이드
  - 7.11 이후부터 ElasticSearch를 외부에 서비스하는 경우 적용된 라이선스에 따라 서비스 소스코드를 전부 공개하거나 Elastic과 계약 필요함
  - X-pack 디렉토리 하위는 Elastic 라이선스 적용
Sentry : BSD 3-Clause → BUSL 1.1
- 변경 목적은 Sentry 초기 개발 때 1인 개발로 시작했으나, 프로젝트가 커지면서 수익 창출이 필요했고 Sentry를 판매하는 다른 회사로부터 보호하기 위해 라이선스 변경
- BUSL 1.1 특징
  - 2016년 MariaDB에 적용된 라이선스
  - 사용자는 소스코드를 수정하고 컴파일 가능
  - 상용 서비스 목적으로 사용을 금지하며, 배포 후 특정 시점이 지나면 Apache License 2.0으로 변경됨
- Sentry 사용 가이드
  - 9.1.2 버전까지는 BSD가 적용되며 상용 서비스에 사용 가능함
  - 10.0.0 버전부터는 BUSL가 적용되며 상용 서비스에 사용 불가, 3년 지난 후부터 상용 서비스 가능
최근 AWS와 오픈소스 프로젝트들의 협력 사례들
- Amazon Managed Grafana 정식 출시
  - Grafana Labs와 협력을 통해 개발 진행
- Amazon OpenSearch Service 정식 출시
  - Elastic Search의 Apache 버전을 포크하여 OpenSearch 작업
Shared Source Software 등장
- 지적재산권은 보호하면서, 소스코드는 제공하는 소프트웨어
- 클라우드 등 상용 서비스로 제공 금지

삼성전자 오픈소스 정책 및 프로세스 현황 소개 (정윤환/삼성전자)

정책의 필요성
- 오픈소스 사용 정책은 2009년 BusyBox 사건으로 인해 오픈소스 소프트웨어 사용에 대한 정책의 중요성이 대두되었음
- 오픈소스 기여 정책은 2011년 Tizen 오픈소스를 출범하면서 기여에 대한 정책이 필요해짐
오픈소스 서비스(사이트, 검증도구) 구축
- 2018년 이전
  - 사내: Protex, BSI, AVAS 등의 검증 도구 사용, 사업부 별로 관리 시스템 별도 구축
  - 사외: OSRC, GitHub
- 2021년 현재
  - 사내: 오픈소스포털(SOSHUB) 구축
    - 검증도구, 사업부별 관리 시스템, 오픈소스 정책 통합
    - 오픈소스 프로세스 자동화
    - 오픈소스 DB 구축
    - 오픈소스 검증체계 강화: 사전/실시간 검증 추가
  - 사외: SamSung Open Soure 구축

최근 주요 동향 (Robin(황민호)/카카오)

미 정부의 SBOM 의무화
- 미국에서 최근 대형 보안 사고가 있었음 (SolarWinds 사태, Exchange 사태, Colonial PiPeline 사태)
- 지난 5월 행정명령을 통해 SBOM 위상을 격상하였음
- 주요 내용 중 오픈소스와 관련된 부분은 “소프트웨어 공급망을 개선"해야 한다는 내용이 있었음
- 관련하여 Supplier Name, Component Name 등 SBOM 최소 필수 요소를 지정하였음
GitHub Copilot 오픈소스 라이선스 논쟁
- Copilot은 GitHub에서 내놓은 서비스이며, AI 머신 러닝 기술을 이용해 코드를 자동 완성해주는 기능
- Sentry의 한 개발자는 GiGhub에 있는 본인의 GPL 코드가 AI 학습에 포함되었음을 영상으로 제작하여 공개함
- Copilot이 저작권 침해를 저지르고 있는가? 라는 논쟁이 있었으나 GitHub 측에서는 GitHub에 공개된 코드는 트레이닝(학습)에 쓰여질 수 있고, 라이선스 타입을 구분하지 않는다고 답변하였음
- Fossa의 법적 해석에 따르면, 사용자는 Copilot이 제안하는 코드를 참고만 하고 그대로 사용하지 않는 것이 좋다는 의견

Photo Gallery

TRUSCA

Mon, 01 Jan 0001 00:00:00 +0000

기업이 오픈소스 컴포넌트의 취약점과 라이선스를 관리하려면 SCA(Software Composition Analysis) 도구가 필요하다. 상용 제품이 여럿 있으나, 사내에 직접 설치해 운영할 수 있는 오픈소스 도구를 찾는 경우도 있다.

TRUSCA는 이러한 용도로 공개된 자체 호스팅 SCA 포털이다. Apache 2.0 라이선스로 배포하며, 취약점(CVE), 라이선스 컴플라이언스, SBOM 관리를 하나의 화면에서 다룬다. KWG 커뮤니티 활동에서 출발한 Trusted OSS 프로젝트가 개발하고 있다.

주요 특징

30여 개 언어 생태계의 컴포넌트 검출(cdxgen 기반), 직접 의존성과 전이 의존성 구분
Trivy 통합 데이터베이스(NVD, OSV, GitHub Advisory, EPSS, KEV) 기반 취약점 검출과 7단계 VEX 분류 절차, EPSS 점수 기반 우선순위 지정
라이선스 분류(허용, 조건부, 금지)와 의무사항 추적, 고지문(NOTICE) 자동 생성
SBOM 내보내기(CycloneDX JSON·XML, SPDX JSON·Tag-Value)와 외부에서 만든 SBOM 가져오기
컴포넌트 승인 절차(검토 대기, 검토 중, 승인, 반려), 감사 로그, 역할 기반 권한 관리
GitHub Action, GitLab CI 템플릿, Jenkinsfile 예시 제공. 심각한 취약점이나 금지 라이선스가 검출되면 빌드를 중단하도록 설정할 수 있다
한국어와 영어 화면 지원

설치

Docker Compose로 개발 환경을 띄울 수 있다.

16th Meeting

Mon, 01 Jan 0001 00:00:00 +0000

일정

일정: 2022-12-02 (금) 오후2시~4시
장소: Zoom (접속 방법은 별도 메일 공지)

Agenda

No	Agenda	Speaker	Slide
1	OpenChain Update	Shane Coughlan, Linux Foundation	-
2	OpenChain KWG Update	SK텔레콤 장학성	pdf
3	GitHub Copilot이 집단소송을 당했다고?	라인플러스 김동혁	pdf
4	OLIVE Platform Code Snippet 분석 기능 소개	카카오 이기문	pdf
5	오픈소스 라이선스가 요구하는 고지 의무와 SBOM 표준(SPDX)에 기반한 오픈소스 고지문 자동 생성 방안	SK텔레콤 장학성	pdf
6	2022 Awards	라인플러스 이서연	-
7	소그룹 모임 (Case Study)	all	-

22nd Meeting

Mon, 01 Jan 0001 00:00:00 +0000

일정

일정: 2024-06-20 (목) 오후2시~5시
장소: CJ 인재원 4층 Auditorium

아젠다

Time	Agenda	Speaker	Slide
14:00~14:10	Welcome & Opening	CJ	-
14:10~14:20	OpenChain Global Update	Shane Coughlan, Linux Foundation	pptx
14:20~14:40	OpenChain Korea Update & Subgroup 운영 방안	장학성, SK텔레콤 박정숙, ETRI 박원재, LG전자	pdf
14:40~15:10	CJ 오픈소스 관리시스템 구축 사례	성기영, CJ	pdf
15:10~15:40	Entr’ouvert v. Orange 소송 사례	조정년, SK주식회사	ppt
15:40~16:00	Break	All	-
16:00~16:30	ISO/IEC 18974 오픈소스 보안 표준 준비 현황 공유	채진영/김기륜, 삼성SDS	pdf
16:30~17:00	정부 발표, SBOM 기반 SW공급망 관리 가이드라인 소개	박원재, LG전자	pdf

28th Meeting

Mon, 01 Jan 0001 00:00:00 +0000

일정

일정: 2025-12-09 (화) 오후2시~4시50분
장소: 한컴타워 (판교 - https://maps.app.goo.gl/Nq3XHZtPrg9Zvtzn7 )

아젠다

Time	Agenda	Speaker	Slide
14:00~14:05	웰컴 & 오프닝	정지환 CTO, 한글과컴퓨터	-
14:05~14:20	OpenChain Update	장학성, SK텔레콤	slide
14:20~14:45	한컴 OpenChain 인증 선언 준비 공유기	류현주, 한글과컴퓨터	pdf
14:45~15:10	오픈PDF 데이터로더 소개 및 AI를 활용한 오픈소스 공개 Tip	이분도, 한글과컴퓨터	pdf
15:10~15:50	네트워킹 (그룹 토의)	All	-
15:50~16:00	텔레칩스의 오픈체인 인증과 남은 과제	연지영, 텔레칩스	pdf
16:00~16:10	Cryptography Bill of Materials (CBOM)에 대해서	채진영, 삼성SDS	-
16:10~16:25	툴링&리걸 그룹 주요 활동 및 리뷰	박원재, LG전자	-
16:25~16:50	2025 리뷰 & 시상	안다래, 삼성전자	slide

식별: 쓰고 있는 오픈소스를 빠짐없이 찾기

Mon, 01 Jan 0001 00:00:00 +0000

이 페이지의 위치

식별은 관리의 출발점이다. 무엇을 쓰는지 모르면 취약점도 라이선스 의무도 관리할 수 없다. FSEC 안내서의 첫 절차이고, ISO/IEC 5230의 SBOM 관리(3.3.1)가 요구하는 활동이다.

여기서 만드는 문서: SBOM, 운영 자산 인벤토리.

무엇을 식별하는가

오픈소스를 식별한다는 것은 세 종류를 모두 찾아낸다는 뜻이다.

신규로 들여오는 오픈소스. 개발자가 새로 도입하는 라이브러리와 그 의존성.
이미 운영 중인 시스템에 들어 있는 오픈소스. 도입 시점에 기록하지 못한 레거시.
외주 개발사나 전자금융보조업자가 만든 산출물에 포함된 오픈소스. 외주 개발사(업무를 위탁받은 수탁자)와 전자금융보조업자(전자금융거래법상 금융회사를 위해 전자금융거래를 보조하는 자)는 법적으로 다른 범주지만, 산출물의 오픈소스를 식별해야 한다는 점은 같다.

직접 선언한 의존성만이 아니라 그것이 끌어오는 전이 의존성까지 펼쳐야 한다. 실제 위험은 대부분 직접 보지 않는 하위 의존성에 숨어 있다.

31st Meeting

Mon, 01 Jan 0001 00:00:00 +0000

31st Meeting

소프트웨어 공급망 보안과 오픈소스 관리 운영체계

CJ 그룹의 오픈소스 거버넌스 현황과 운영팀 관점의 오픈소스 관리 운영체계, 소프트웨어 공급망 보안을 위한 도구를 함께 살펴봅니다.

일시 2026-09-08 (화) 14:00–17:00 장소 CJ인재원 · 서울 중구

길찾기 네이버지도 카카오맵 구글맵

참가 신청과 세부 프로그램은 OpenChain KWG 메일링리스트로 안내됩니다. 가입하시면 신청 링크를 받아보실 수 있습니다.

메일링리스트 가입

08 2026년 9월 · 화

OpenChain
EU CRA
OSS 거버넌스
공급망 보안
SBOM

이런 분께 추천

ISO 5230·ISO 18974 자체 인증을 준비하거나 EU 사이버 복원력법(CRA) 대응 범위를 정리하고 있는 담당자
오픈소스 관리 업무를 효율화하고 도구로 운영 부담을 줄이려는 조직
소프트웨어 공급망 보안 대응을 시작했거나 공급사에서 받는 SBOM을 검증해야 하는 팀
다른 회사의 사례를 듣고 실무 네트워크를 넓히고 싶은 분

아젠다

14:00–14:10

Welcome & Greetings

김서우 상무 · CJ

14:10–14:30

OpenChain Updates

Mary Wang, Executive Director · Linux Foundation / 운영진

KWG 업데이트 (PDF)

14:30–14:55

Session 1. CJ 그룹 오픈소스 거버넌스 현황

성기영 변리사 · CJ

그룹 내 오픈소스 인증 현황, 오소리(OSSORI) 데이터 기여 현황, EU 사이버 복원력법(CRA) 대응 현황 등 세 가지 핵심 주제를 바탕으로 CJ 그룹의 오픈소스 거버넌스 체계를 공유합니다.

발표자료 (PDF)

14:55–15:10

휴식 및 네트워킹

Coffee break

15:10–15:55

그룹 토의

All Participants

15:55–16:20

Session 2. 사람을 중심으로, 시스템과 함께 성장하는 OSS Governance

최병석 부장 · 올리브네트웍스

CJ 그룹의 다양한 조직과 계열사를 연결하는 OSS Governance 운영 경험과, 사람이 바뀌어도 이어지는 운영체계로 발전시킨 과정을 공유합니다.

발표자료 (PDF)

16:20–16:45

Session 3. 오픈소스 공급망 보안 도구: Trusted OSS, TRUSCA, BomLens

장학성 · SK텔레콤

KWG 커뮤니티에서 시작한 이니셔티브 Trusted OSS와 SK텔레콤이 공개한 BomLens를 소개합니다. ISO 5230·ISO 18974 자체 인증 산출물 생성(Trusted OSS Agents), 자체 호스팅 오픈소스 구성 분석 포털(TRUSCA), 공급사 SBOM 생성·확인(BomLens)까지 도구로 처리하는 방법을 다룹니다.

발표자료 (PDF)

16:45–17:00

마무리 및 단체 사진 촬영

운영진

CISA 2026 SBOM 최소 요소: 데이터 필드 7개에서 17개로, 무엇을 준비할 것인가

Sun, 09 Aug 2026 00:00:00 +0000

이 글은 Claude Code를 이용해 작성했고, 인용한 핵심 사실은 1차 출처로 교차 검증했습니다.

요약

2026년 7월 29일, 미국 사이버보안·인프라보안국(Cybersecurity and Infrastructure Security Agency, CISA)을 비롯한 18개 기관이 소프트웨어 자재 명세서(Software Bill of Materials, SBOM)가 최소한 담아야 할 요소(Minimum Elements) 개정판을 발행했습니다 A2. 2021년 미국 통신정보관리청(National Telecommunications and Information Administration, NTIA)이 만든 기준을 개정한 것이 아니라 대체(replaces)한다고 문서가 직접 밝힙니다.

요구 수준이 눈에 띄게 올라갔습니다. 데이터 필드가 7개에서 17개로 늘었고 운영 원칙 6개가 함께 규정됐습니다. 신규 요소만 10개입니다.

미국 AI 행정명령(2026-06-02)이 기업 오픈소스 관리자에게 의미하는 것

Wed, 10 Jun 2026 00:00:00 +0000

이 글은 Claude Code를 이용해 작성했고, 인용한 핵심 사실은 1차 출처로 교차 검증했습니다.

요약

2026년 6월 2일 서명된 행정명령 “Promoting Advanced Artificial Intelligence Innovation and Security"는 기업에 어떤 의무도 부과하지 않습니다. 재무부가 이끄는 AI 사이버보안 클리어링하우스(취약점 정보를 한곳에 모아 검증하고 배분하는 중계 기구, 30일 내 구성)와 프런티어 모델의 자발적 사전 공유 체계(60일 내 설계)가 골자이고, 의무 라이선싱과 사전심사는 명시적으로 배제됐습니다 A1. 기업 오픈소스 관리자에게 직접 적용되는 조항도 없습니다. 그런데도 이 명령을 읽어야 하는 이유는 배경에 있습니다. AI가 오픈소스 취약점을 사람보다 빠르게 찾아내는 상황이 이미 현실이 됐기 때문입니다. 행정명령에 앞서 앤트로픽의 미공개 모델은 두 달 만에 오픈소스 프로젝트에서 높음 또는 치명 등급 취약점 6,202건을 찾아냈고, 패치가 그 속도를 따라가지 못하고 있습니다 A6·C1. 오픈소스 관리자가 준비할 것은 행정명령 컴플라이언스가 아니라 패치 처리 능력 점검과 EOL 컴포넌트 정리, 그리고 2026년 9월 11일 시행되는 EU 사이버 복원력법 보고 의무까지 한꺼번에 감당할 대응 체계입니다.

EU 사이버 복원력법(CRA) 취약점 보고 의무 — 2026-09-11 시행 대비 조사보고서

Mon, 18 May 2026 00:00:00 +0000

이 글은 Claude Code를 이용해 작성했고, 인용한 핵심 사실은 1차 출처로 교차 검증했습니다.

요약

EU 사이버 복원력법(Cyber Resilience Act, CRA — Regulation (EU) 2024/2847)은 EU 시장에 출시되는 모든 “디지털 요소를 가진 제품(product with digital elements, PDE)“에 수평적 사이버보안 의무를 부과하는, EU 역사상 첫 포괄적 제품 보안 규정입니다. 2024년 12월 10일 발효된 이 규정은 단계적으로 적용되며, 2026년 9월 11일부터는 제14조 보고 의무가 발효되어 제조사와 수입사, 유통사가 실제 악용 중인 취약점과 중대한 보안 사고를 24시간, 72시간, 14일의 단계별 시한 안에 ENISA(유럽 사이버보안청)와 회원국 CSIRT에 통지해야 합니다. 이 날짜까지 보고 워크플로우가 가동되지 않으면 최대 1,500만 유로 또는 전 세계 연간 매출 2.5%의 과징금 위험이 생기고, 한국 기업이라도 EU 시장에 제품을 출시하면 즉시 적용 대상이 됩니다. A1, B1, E1

2025-12-04 SBOM 표준화와 최신 이슈들

Thu, 04 Dec 2025 00:00:00 +0000

source: https://openchainproject.org/news/2025/12/12/recording-openchain-telco-work-group-2025-12-04

일시: 2025년 12월 4일

참석자: Jimmy Ahlberg (Ericsson), Takashi Ninjouji (Honda), Marc-Etienne Vargenau (Nokia)

주요 의제: CycloneDX 이슈, OpenChain 운영진 변경, CISA 규제 현황, 신규 툴 소개, SPDX 3.0 전환 이슈

1. 주요 공지사항 및 운영 이슈

OpenChain General Manager 사임

OpenChain 프로젝트의 핵심 인물이었던 Shane이 General Manager직을 내려놓게 되었습니다. 그의 마지막 근무일은 12월 12일이며, 현재 후임자는 정해지지 않은 상태입니다. 프로젝트 측에서는 적합한 후보자 추천을 환영하고 있으며, 리더십 공백을 최소화하기 위해 노력하고 있습니다.

2025-11-26 대규모 공급망에서 SBOM을 어떻게 운영 단계에 적용할 것인가?

Wed, 26 Nov 2025 00:00:00 +0000

source: https://openchainproject.org/news/2025/11/27/recording-openchain-sbom-work-group-monthly-meeting-2025-11-26

일시: 2025년 11월 26일 (수)

주제: 복잡한 대규모 공급망에서 SBOM을 어떻게 ‘운영(Production)’ 단계에 적용할 것인가?

발표자: Thomas Graf (Siemens)

들어가며: “만드는 것"을 넘어 “쓰는 것"으로

지난 11월 26일 열린 OpenChain SBOM Work Group 정기 미팅은 SBOM(Software Bill of Materials) 논의가 이제 새로운 국면에 접어들었음을 보여주는 중요한 자리였습니다. 그동안 업계의 논의가 “SBOM을 어떻게 생성할 것인가(How to generate)?“에 머물러 있었다면, 이번 미팅의 핵심 질문은 “생성된 SBOM을 실제 운영 환경(Production)과 복잡한 공급망에서 어떻게 활용할 것인가?“였습니다.

2025-11-06 CISA 셧다운의 영향과 SBOM 품질 가이드 집중 점검

Thu, 06 Nov 2025 00:00:00 +0000

source: https://openchainproject.org/news/2025/11/11/telco-2025-11-06

일시: 2025년 11월 6일

참석자: Marc-Etienne Vargenau (Nokia, 의장), Shane Coughlan (OpenChain), Norio Koboto (Sony), Masahiro Daikoku (KDDI), Jari Koivisto (Analog Devices) 등

이번 OpenChain Telco Work Group(이하 Telco WG) 정기 미팅에서는 미국 정부 셧다운이 CISA(사이버보안 및 인프라 보안국)의 업무에 미치는 영향부터, 차기 Telco Guide 업데이트 방향, 그리고 최근 업데이트된 SBOM 품질 가이드(Quality Guide)에 대한 심도 있는 기술적 검토가 이루어졌습니다.

미팅에 직접 참여하지 못하신 분들을 위해 핵심 내용을 상세히 요약해 드립니다.

2025-10-27 SBOM 품질 가이드와 규제 대응의 구체화

Mon, 27 Oct 2025 00:00:00 +0000

source: https://openchainproject.org/news/2025/10/27/recording-openchain-sbom-work-group-monthly-meeting-2025-10-22

작성일: 2025년 10월 27일

주제: OpenChain SBOM Work Group Monthly Meeting (2025-10-22) 상세 리뷰

안녕하세요. 오늘은 지난 10월 22일에 진행된 OpenChain SBOM 워크 그룹(OpenChain SBOM Work Group) 정기 미팅의 핵심 내용을 정리해 드립니다.

이번 미팅은 지난 9월 ‘스터디 그룹(Study Group)‘에서 ‘워크 그룹(Working Group)‘으로 승격된 이후 본격적으로 진행된 논의여서 큰 의미가 있었습니다. 특히, 현재 업계의 가장 큰 화두인 “단순히 SBOM을 만드는 것을 넘어, 어떻게 고품질의 SBOM을 만들고 규제에 대응할 것인가?“에 대한 구체적인 가이드라인 작업 현황이 공개되었습니다.

2024-12-06 SBOM 가이드라인 업데이트 논의

Fri, 06 Dec 2024 00:00:00 +0000

source: https://openchainproject.org/news/2024/12/12/telco-work-group-2024-12-06

1. 웨비나 개요

발표자 소개

이번 웨비나는 OpenChain Telco Work Group의 정기 미팅으로, Nokia의 오픈소스 전문가가 진행을 맡았습니다.

웨비나 목적

SBOM 관련 최신 기술 가이드라인을 검토하고 OpenChain Telco SBOM 가이드의 개선 방안을 논의하기 위해 개최되었습니다.

2. 인도의 SBOM 기술 가이드라인 검토

가이드라인 개요

Indian Computer Emergency Response Team (CERT-In)에서 2023년 10월에 발표한 SBOM 기술 가이드라인에 대해 논의했습니다. 이 가이드라인은 주로 공공 부문의 보안 관점에 초점을 맞추고 있습니다.

2024-12-05 리눅스 재단에서 SBOM을 활성화하는 과정

Thu, 05 Dec 2024 00:00:00 +0000

source: https://openchainproject.org/news/2024/12/04/webinar-enabling-sboms-across-the-linux-foundation

1. 발표자 소개

Gary O’Neall

Jeff Shapiro

Jeff Shapiro는 리눅스 재단의 라이선스 스캐닝 디렉터로, 30년 이상의 소프트웨어 산업 경험을 보유하고 있습니다. 그는 오픈소스 스캐닝 및 OSS(오픈소스 소프트웨어) 라이선스 준수 교육에 전문성이 있으며, 현재 리눅스 재단에서 중요한 프로젝트들의 코드 관리와 SBOM 생성에 기여하고 있습니다.

2024-11-27 취약점과 미래 - 다층적 소프트웨어 취약점과 대응 전략

Wed, 27 Nov 2024 00:00:00 +0000

source: https://openchainproject.org/news/2024/12/04/sbom-study-group-2024-11-27

1. 소개

이 블로그 포스트는 OpenChain Project의 SBOM Study Group 웨비나에서 발표된 “취약점과 미래 - 다층적 소프트웨어 취약점과 대응 전략"에 대한 내용을 다룹니다. 이 웨비나는 소프트웨어 공급망 보안과 취약점 관리의 중요성을 강조하며, 현재의 도전과제와 미래의 전략을 탐구합니다.

2. 발표자 소개

발표자인 Okada San은 OWASP Japan의 전문가로, 일본 기업에서 애플리케이션 보안 강화와 소프트웨어 생산성 팀을 지원하는 보안 연구원입니다. OWASP 재단의 평생 회원으로, 20년 이상 다양한 문서 번역 작업에 참여해 왔습니다.

2024-10-29 SBOM 관련 다양한 규제와 가이드라인에 대한 개요

Tue, 29 Oct 2024 00:00:00 +0000

source: https://openchainproject.org/news/2024/10/29/openchain-sbom-study-group-october-2024-10-23-full-recording

1. 세미나 개요

제목

OpenChain SBOM 스터디 그룹 - 2024년 10월 세미나

발표자 소개

이번 세미나의 발표자는 도시바의 Ninjouji-san입니다. 도시바는 일본의 대표적인 다국적 전자 기업으로, 오픈소스 및 SBOM 관련 분야에서 풍부한 경험을 보유하고 있습니다.

웨비나 소개와 목적

이번 OpenChain SBOM 스터디 그룹 세미나는 다양한 규제와 가이드라인에 대한 개요를 제공하고, 향후 미팅에서 필요한 사항들에 대해 논의하는 것을 목적으로 합니다. SBOM(Software Bill of Materials)은 소프트웨어 구성 요소를 투명하게 관리하고 보안 취약점을 효과적으로 대응하기 위한 중요한 도구로 주목받고 있습니다.

2024-10-29 SBOM 시각화 - SBOM 검토를 위한 대안적 접근법

Tue, 29 Oct 2024 00:00:00 +0000

source: https://openchainproject.org/news/2024/10/29/webinar-sbom-visualization

1. 소개

발표자 소개

이번 웨비나의 발표자는 Bitsea GmbH의 창립자이자 CEO인 Andreas Kotulla 박사입니다. Andreas 박사는 소프트웨어 시스템 감사와 기업의 숨겨진 위험 식별 분야의 전문가입니다. 그는 기술 실사를 지원하고 주요 기반 시설(KRITIS) 운영자들에게 조언을 제공합니다. 또한 오픈소스 전략, 거버넌스, 프로세스, 툴체인에 대해 고객들에게 자문을 제공하며, 오픈소스 프로그램 오피스(OSPO) 및 스캐닝 관리 서비스를 제공합니다.

2024-07-30 킥오프 웨비나: SBOM의 실제 활용 방안 모색

Tue, 30 Jul 2024 00:00:00 +0000

source: https://www.slideshare.net/slideshow/openchain-sbom-study-group-kick-off-call-2024-07-30/270623321

1. 웨비나 소개

제목

OpenChain SBOM Study Group 킥오프 웨비나

발표자 소개

Shane Coughlan: OpenChain 프로젝트 총괄 매니저
Kate Stewart: Linux Foundation의 오픈소스 기술 부사장
Kobota San: Sony에서 근무하며, 2024년 SBOM Study Group의 의장

웨비나 소개와 목적

이 웨비나는 OpenChain 프로젝트의 새로운 SBOM Study Group의 킥오프 미팅입니다. 주요 목적은 대규모 및 복잡한 공급망에서 SBOM(Software Bill of Materials)을 실제로 어떻게 활용할 수 있는지에 대한 논의를 시작하는 것입니다. 이를 통해 SBOM의 실용적인 적용 방안과 공급망 내에서의 신뢰 구축 방법을 모색하고자 합니다.

SBOM on OpenChain KWG

FOSSLight

주요 특징

FOSSLight Hub

FOSSLight Dependency Scanner

FOSSLight Hub 설치

OSV-SCALIBR

1. 주요 특징

2. 설치 방법

cdxgen

주요 특징

설치 방법

Syft

주요 특징

설치 방법

스크립트 설치 (Linux/macOS)

Homebrew (macOS)

Docker

기본 사용법

(1) 컨테이너 이미지 스캔

(2) 로컬 디렉토리 스캔

(3) 표준 출력으로 결과 확인

(4) Grype와 연동하여 취약점 스캔

CI/CD 연동 예시

참고 자료

Dependency-Track

주요 특징

설치 방법

오픈소스 관리 자동화 환경 구성: cdxgen + Dependency-Track

왜 cdxgen + Dependency-Track인가

전체 자동화 흐름

이 조합을 선택한 이유

SCANOSS

1. 주요 특징

2. 설치 방법

§3.3.1 SBOM

1. 조항 개요

§4.3.1 SBOM

1. 조항 개요

11th Meeting

Schedule

Agenda

소그룹 모임 주제

Attendees

Video

OpenChain Update

OpenChain KWG Update

오픈소스 라이선스 변화의 흐름

최근 주요 동향

Minutes

OpenChain Update (Shane Coughlan / Linux Foundation)

OpenChain KWG Update (장학성/SK텔레콤)

오픈소스 라이선스 변화의 흐름 (Sean(김영환)/카카오)

삼성전자 오픈소스 정책 및 프로세스 현황 소개 (정윤환/삼성전자)

최근 주요 동향 (Robin(황민호)/카카오)

Photo Gallery

TRUSCA

주요 특징

설치

16th Meeting

일정

Agenda

Sponsor

22nd Meeting

일정

아젠다

Sponsor

28th Meeting

일정

아젠다

Sponsor

식별: 쓰고 있는 오픈소스를 빠짐없이 찾기

무엇을 식별하는가

31st Meeting

소프트웨어 공급망 보안과 오픈소스 관리 운영체계

이런 분께 추천

Sponsor

아젠다

CISA 2026 SBOM 최소 요소: 데이터 필드 7개에서 17개로, 무엇을 준비할 것인가

요약