의존성을 취약점 기록에 대응
라이브러리의 이름과 버전을 아는 것만으로 어떤 취약점 기록과 관계있는지 항상 분명하지는 않다. Dependency-Check는 의존성에 대응하는 CPE 식별자가 있는지 확인하고 연관된 CVE 항목으로 이어지는 보고서를 만든다. 구성 요소 식별과 취약점 정보의 대응이 중요한 과정이다.
개발 도구와 검사 흐름
명령행 프로그램으로 사용할 수 있고 Maven과 Gradle, Ant 등의 빌드 과정과 연결하는 구성을 제공한다. 일부 기술 스택의 분석에는 별도의 개발 도구가 필요하며 분석기마다 지원 범위가 다르다. 도구를 실행했다는 사실과 모든 구성 요소를 동일한 깊이로 검사했다는 주장은 구분해야 한다.
외부 데이터와 결과 해석
NVD API를 비롯한 외부 자료에 접근해 취약점 정보를 활용한다. 데이터 갱신과 사용 가능한 분석기의 상태에 따라 검사 범위가 달라질 수 있다. 보고서의 항목이 실제 사용하는 의존성과 정확히 대응하는지, 해당 환경에서 취약점의 조건이 성립하는지 검토하는 과정도 필요하다.
관련 문서
OSV-Scanner / Pip-audit / Grype / Trivy / Syft