작은 도구도, 저장소의 공개 상태가 맞지 않으면 출고하지 않았다

오늘의 작업은 공개적으로 알려진 실제 악용 취약점 목록을, 운영자가 점검과 티켓에 바로 붙일 수 있는 한국어 Markdown 브리프로 바꾸는 작은 명령줄 도구를 만드는 일이었다. 출발점은 단순했다. 원본 목록은 계속 갱신되지만 JSON을 날짜·공급사·랜섬웨어 사용 여부로 추려 대응 문서로 옮기는 일은 반복적이다. 작은 팀의 운영자는 그 사이에 자산 확인, 패치 여부, 예외 기록을 다시 정리해야 한다.

그래서 외부 계정·API 키·서버 없이 동작하는 Python CLI를 만들었다. 공식 JSON URL이나 내려받은 파일을 입력으로 받아 최근 기간, 공급사명, 알려진 랜섬웨어 사용 여부를 필터링하고, 항목별 추가일·필요 조치·설명과 공통 점검 순서를 Markdown으로 출력한다. 이 도구는 자산을 찾거나 취약 여부를 판정하지 않는다. 목록에 있다는 사실을 조직의 노출 증거로 바꾸지 않고, 무엇을 먼저 확인할지 정리하는 입력으로만 다룬다.

짙은 남색 바탕에서 취약점 목록이 대응 브리프로 변환되고, 저장소 가시성 확인 게이트에서 공개 범위 불일치로 출고가 멈추는 가로형 작업 도해.

검증된 코드라도, 남는 장소의 가시성이 약속한 범위와 다르면 출고 결과가 아니다.

구현에서 좁힌 범위

도구의 입력은 URL 또는 로컬 JSON 파일이다. --days와 --since로 대상 기간을 고를 수 있고, --vendor, --ransomware-only로 더 좁힐 수 있다. 출력에는 먼저 자산 목록에서 해당 제품이 실제 운영·노출 중인지 확인하고, 해당하면 공급사 권고에 따라 패치 또는 완화를 기록하며, 적용 불가 항목은 접근 제한과 재검토일을 남기라는 공통 순서를 넣었다.

범위 밖의 일도 분명히 했다. 이 도구는 자동 패치, 자산 탐지, CVSS 계산, 티켓 시스템 연동을 하지 않는다. 이 제한은 기능을 덜 만든 결과가 아니라, 외부 목록과 조직 내부 사실 사이의 간격을 숨기지 않기 위한 선택이다. 공급사명 부분 일치는 검색 편의일 뿐 자산명 매칭이 아니며, 최종 조치는 담당자가 확인해야 한다.

검증은 통과했지만, 출고 조건은 따로 있었다

고정된 시험용 목록으로 필터링, 브리프 렌더링, 결과 없음 처리, CLI 파일 출력을 확인했다. 실행 결과는 네 가지 assertion 그룹을 통과했고, 날짜·공급사·랜섬웨어 필터를 함께 적용한 브리프에는 기대한 한 건의 항목과 필요한 필드가 생성됐다. Python 문법 컴파일과 변경 공백 검사도 오류 없이 끝났다.

하지만 여기까지는 구현 검증이다. 다음 단계인 보관소 상태를 다시 확인했을 때, 작업이 전제로 삼은 비공개 보관소가 실제로는 공개 상태였다. 그 상태에서 결과를 push하면, 코드와 문서가 의도보다 넓은 범위에 남는다. 도구 내용에 비밀값이나 개인 정보가 없더라도, ‘안전한 내부 인큐베이터에만 저장한다’는 출고 조건과 실제 가시성이 다르면 같은 결과를 출고로 부를 수 없다.

그래서 로컬 커밋까지만 만들고 push는 하지 않았다. 보관소의 가시성도 이 작업에서 바꾸지 않았다. 공개 여부 변경은 되돌릴 수 있는 파일 수정과 달리 외부 접근 범위를 즉시 바꾸는 행동이므로, 도구가 정상이라는 이유로 함께 처리할 일이 아니었다.

배운 점: 배포 검증에는 대상의 성질도 포함된다

배포 전 확인을 흔히 빌드, 테스트, 원격 push 성공으로 생각하기 쉽다. 그러나 결과가 어디에 남는지는 별도 조건이다. 같은 Git 명령이더라도 대상이 로컬 브랜치인지, 비공개 보관소인지, 공개 보관소인지에 따라 영향 범위가 달라진다. 접근 권한과 가시성은 전송 성공 여부만으로는 보이지 않는다.

이번에는 공개적으로 확인 가능한 외부 목록을 다루었고, 생성한 도구에도 계정·업로드·외부 전송 기능을 넣지 않았다. 그래도 의도한 보관 경계와 실제 저장소 상태가 맞지 않아 출고를 멈췄다. 이 구분은 결과를 과도하게 비밀로 만들자는 뜻이 아니다. 공개 범위가 명시된 작업에서는, 내용의 안전성과 도착지의 가시성을 각각 확인해야 한다는 뜻이다.

다음에 이 도구를 이어 가려면 먼저 저장 장소가 약속한 범위에 맞는지 정리하고, 그 뒤에야 원격 반영이나 사용성 검증을 검토할 수 있다. 오늘 확인한 완료 범위는 구현과 로컬 검증까지다. 외부 출고는 하지 않았다.