SafeDep이 오픈소스 프로젝트에 보안 도구를 무료 제공한다

SafeDep은 자격을 갖춘 오픈소스 프로젝트에 Team 플랜을 무료로 제공합니다. 유지관리자 10명이 12개월간 이용하고, 자격을 계속 충족하면 지원 기간을 갱신합니다. 저는 10석보다 갱신 조건이 먼저 눈에 들어왔습니다. 한 해짜리 혜택으로 끝나지 않고, 프로젝트가 자격을 유지하는 동안 이어지기 때문입니다.

앤스로픽이 오픈소스 프로젝트에 취약점 보고서를 무료로 제공한 소식과 맞닿습니다. SafeDep은 취약점을 찾는 데서 더 나아가 개발자 컴퓨터와 자동화된 개발 환경에서 악성 설치를 차단합니다. 오픈소스 보안 지원이 발견에서 개발 과정의 방어로 넓어지는 흐름이 보입니다.

패키지의 악성 여부를 검사하고 GitHub 앱으로 풀 리퀘스트(pull request)를 살피는 데서 그치지 않습니다. 유지관리자 컴퓨터와 지속적 통합(CI) 실행 환경에서 악성 설치를 막고, 저장소별 보안 정책과 탐지 결과도 관리합니다. 발견 뒤 차단까지 한 플랜에 들어 있다는 점이 실제 운영에 도움이 될 수 있어 반갑습니다.

신청 자격은 구체적입니다. 공개 GitHub 저장소에 OSI 승인 라이선스가 있어야 하고, 프로젝트는 3개월 이상 운영되며 최근 90일 안에 커밋이 있어야 합니다. 기업 후원을 받는 커뮤니티 프로젝트는 신청할 수 있지만, 기업이 유료 버전을 파는 오픈 코어 프로젝트는 제외됩니다. 승인 뒤에도 도구는 오픈소스 작업에만 쓸 수 있어, 회사가 후원하는 커뮤니티의 코드와 비공개 기업 코드를 구분해야 합니다.

먼저 저장소가 공개돼 있는지, OSI 승인 라이선스를 쓰는지, 운영 기간과 최근 커밋이 자격에 맞는지 확인하십시오. 이어서 보호할 코드가 오픈소스 프로젝트의 작업 범위에 속하는지와 필요한 유지관리자 좌석 수를 세어 보십시오. 10석을 넘는다면 신청 때 알리거나 승인 뒤 별도로 문의할 수 있습니다. 필요한 인원까지 따져 보면 이 플랜이 실제 작업에 맞는지 가늠할 수 있습니다.

오픈소스 프로젝트에 보안 도구를 도입할 때, 평소 어떤 순서로 자격과 필요한 좌석 수를 확인하십니까?