바이너리 파일

소스코드나 빌드 환경에 접근할 수 없는 경우에도, 배포 산출물 파일 하나만으로 그 안에 포함된 오픈소스와 알려진 취약점을 확인할 수 있습니다. 협력사가 납품한 JAR, 운영 서버에 배포된 WAR, CI 가 생성한 배포 아티팩트처럼 소스코드 없이 산출물만 보유한 경우에 사용합니다.

• 분석 : 구성요소 SCA(CVE) · SBOM 생성
• 필요한 것 : Java 빌드 산출물 파일 하나 (.jar .war .ear .par)
• 결과 : 심각도별 CVE + 구성요소 목록
• 상시 감시 : 구성요소에 신규 CVE 가 공개되면 재업로드 없이 알림

필요한 것

Java 로 빌드한 산출물 파일 하나가 필요합니다. 압축을 해제하거나 별도로 가공하지 않고 그대로 업로드합니다. 지원하는 확장자는 네 가지이며, 업로드 화면의 안내에도 .jar / .war / .ear / .par 로 표시됩니다.

• .jar (실행 가능 JAR, 라이브러리 JAR 모두)
• .war
• .ear
• .par

분석 방식

파일 안에 빌드 도구가 남긴 표준 메타데이터(META-INF/maven/**/pom.properties, META-INF/MANIFEST.MF)와 함께 담긴 라이브러리(BOOT-INF/lib, WEB-INF/lib 등)를 읽어 구성요소를 식별합니다. 바이트코드를 역컴파일하지 않습니다. 아카이브 안에 기록된 메타데이터만 읽습니다.

등록 절차

[서비스 관리] 페이지에서 서비스 등록을 누르고 바이너리 파일을 선택하면 4단계 마법사가 시작됩니다.

1단계 : 등록할 유형으로 바이너리 파일을 선택합니다.

2단계 : 서비스 이름을 정합니다. 구성요소 SCA 와 SBOM 생성이 기본으로 선택됩니다. 최소 1개는 선택해야 하며, License 단독 옵션은 없습니다.

3단계 : Java 빌드 산출물(.jar · .war · .ear · .par)을 업로드합니다.

4단계 : 입력 내용을 검토하고 등록을 마칩니다.

업로드와 분석은 별개입니다

업로드 단계에서는 확장자와 크기만 확인합니다. 파일 내용은 분석 단계에서 검증하므로, 업로드가 성공한 뒤 분석이 실패할 수 있으며 이는 정상 동작입니다.

분석 항목

• 구성요소 취약점(SCA) : 파일 안에서 식별한 라이브러리의 알려진 CVE 를 탐지합니다.
  • KEV : 실제 악용이 확인된 항목에 표시됩니다.
  • EPSS(악용 확률) · CWE(유형 분류) : 함께 제공되어 조치 우선순위를 정하는 데 활용됩니다.
• 구성요소 명세(SBOM) : 파일에 포함된 라이브러리 목록을 CycloneDX 또는 SPDX 형식으로 생성해 공급망 증빙으로 활용합니다.

두 분석은 서로 독립적입니다. 하나만 실행할 수 있으며, 둘 다 실행하면 사용량(VU)도 각각 정산됩니다.

결과 확인

결과는 사이드바 보안 분석의 SCA 와 SBOM/License 화면에서 확인합니다. 각 화면에 이 서비스 이름으로 된 탭이 하나 표시됩니다.

파일 안에서 식별한 구성요소의 CVE 가 심각도순으로 정리됩니다. 각 항목에 KEV · EPSS · CWE 가 함께 표시됩니다.

파일에 포함된 라이브러리가 버전·라이선스와 함께 인벤토리로 정리됩니다. 이 명세를 CycloneDX · SPDX 로 내보낼 수 있습니다.

중첩 라이브러리 분석

EAR 처럼 아카이브 안에 다른 아카이브가 포함된 구조도 재귀적으로 분석합니다. 아래는 EAR 하나를 업로드한 결과로, EAR 안의 WAR, 그 안의 라이브러리까지 한 목록에 표시됩니다.

EAR 안의 EJB · WAR 모듈과 그 안의 라이브러리(commons-collections, log4j 등)가 모두 식별됩니다.

결과가 비어 있을 때

취약점이 0건이라고 해서 항상 안전한 것은 아닙니다. 결과가 비어 있는 상태는 세 가지이며, 화면 문구로 구분됩니다.

화면 문구	의미	조치
구성요소 N개를 분석했고 알려진 취약점이 없습니다	안전 : 구성요소를 식별했으며 CVE 가 없음	조치 불필요
이 파일에서 식별 가능한 구성요소를 찾지 못했습니다	분석 대상 구성요소가 없음	아래 참고
분석한 구성요소를 확인하지 못했습니다	구성요소 개수를 세지 못함	아래 참고

구성요소를 식별하지 못하면 "안전" 대신 이 상태로 표시되며, 업로드에 적합한 파일 안내가 함께 표시됩니다.

위 표의 두 번째와 세 번째 경우를 "안전"으로 표시하지 않는 이유는, 의존성이 포함되지 않은 파일을 업로드한 뒤 애플리케이션이 안전하다고 오해하는 것이 가장 위험하기 때문입니다.

분석에 적합한 파일

기준은 의존성을 포함해 배포하는 산출물인지 여부입니다. 빌드 도구나 프레임워크와는 무관합니다.

• 적합 : 실행 가능 JAR, WAR, EAR, 의존성을 포함한 uber JAR. 수십~수백 개의 구성요소가 식별됩니다.
• 식별되지 않는 것이 정상 : 자체 클래스만 포함한 얇은(thin) JAR. 파일 안에 식별할 대상이 없습니다.
• 식별 불가 : 난독화 도구로 메타데이터까지 제거한 파일.

얇은 JAR 대신 배포용으로 빌드한 산출물을 업로드하면 결과가 달라집니다.

보안 점수도 같은 기준을 따릅니다. 구성요소를 확인하지 못한 서비스는 점수가 미측정으로 표시됩니다. 발견 항목이 0건이어도 만점으로 표시되지 않습니다.

결과 처리

발견 항목은 취약점 관리에서 검토하고 조치합니다. 사용하지 않는 구성요소의 취약점은 확인 후 오탐이나 위험 수용으로 표시해 다음 스캔부터 처리 대상에서 제외할 수 있습니다.

상시 감시

분석한 구성요소는 상시 감시 대상이 됩니다. 새 CVE 가 공개되면 파일을 다시 업로드하지 않아도 인벤토리에 반영되어 알림이 발생합니다. (보안 뉴스)

정기 실행이 필요하면 서비스 [설정] > 스캔 스케줄 탭에서 예약합니다(스캔 스케줄 참고). 브랜치 개념이 없는 유형이라 스케줄에 브랜치를 지정하지 않습니다.

CI 트리거는 지원하지 않습니다

업로드 전용 유형이라 CI 파이프라인에서 트리거할 수 없습니다. SCA · SBOM/License 화면에서 수동 실행하거나 스캔 스케줄로 주기 실행하세요.

설정 (등록 후 변경)

등록한 뒤에는 서비스 사이드바의 [설정]에서 분석 항목과 스캔 스케줄을 바꾸거나, 대상 연결에서 바이너리 파일을 교체할 수 있습니다. 자세한 방법은 바이너리 파일 설정을 참고하세요.

관련 문서

• 취약점 관리 : 발견 항목 검토·오탐/위험 수용
• 보안 뉴스 : 신규 CVE 상시 감시 알림
• 보고서 : SBOM·VEX 문서 내보내기
• SBOM 업로드 : 이미 생성한 SBOM 파일을 업로드해 분석
• 소스코드 : 저장소에서 SBOM 자동 생성
• 스캔 스케줄 : 정기 실행 예약
• 바이너리 파일 설정 : 등록 후 설정 변경