AUTO-14: SBOM·서드파티 취약점 관리 부재

💡 쉽게 말하면
SBOM 부재는 재료 표시가 없는 식품입니다. "이 과자에 문제가 된 첨가물이 들었나요?"라는 질문에 아무도 대답할 수 없습니다.

🎯 직접 해보기 — 공격을 실행해 보세요

아래에서 시스템 상태를 취약 또는 안전(조치 적용)으로 바꾼 뒤 공격 실행을 눌러, 같은 공격이 어떻게 다르게 끝나는지 직접 확인하세요.

# 새 CVE 발표 후 영향 받는 차량을 찾아 본다 # [공격 실행] 버튼을 누르면 시작합니다.

📋 설정 비교 (왜 막혔나?)

✗ 취약한 설정

# 신규 CVE 발표 후 영향 확인 mgr$ CVE-2026-XXXX affected? >> 부품 목록 없음 — 영향 분석 불가 → 대응 지연·리스크 방치

✓ 안전한 설정

# SBOM 생성·추적 ci$ generate SBOM (SPDX) per ECU >> 해당 컴포넌트 3개 ECU 사용 확인 → 패치 우선순위 즉시 산정

🔧 조치 방법

모든 ECU 소프트웨어에 SBOM을 생성·유지합니다(SBOM 없이 출하 금지).
새 CVE와 SBOM을 대조하는 상시 모니터링을 운영합니다.
서드파티·오픈소스 승인 절차와 버전 고정 정책을 둡니다.

✅ 점검 체크리스트

ECU별 SBOM 존재
CVE-SBOM 대조 모니터링 운영

점검기준: UN R155 · SBOM 관리

🏗️ 현대 차량 아키텍처에서의 위치와 규제 대응

아키텍처 전 계층 (공급망)접근 경로 공급망R155 위협 분류 차량 데이터·코드 (4.3.6)ISO 21434 지속 활동 — 취약점 관리

SDV·전동화 전환에서 달라지는 점

차량 소프트웨어의 대부분은 직접 만든 것이 아니라 가져다 쓴 것입니다. SBOM 이 없으면 새 취약점이 공개됐을 때 "우리 차에 그게 들어 있나"에 답하는 데만 몇 주가 걸립니다. 규제가 요구하는 것은 패치 속도가 아니라, 영향 범위를 즉시 산출할 수 있는 상태입니다.

인증·심사에서 요구되는 증적
차종·버전별 SBOM 과, 신규 취약점 공개 시 영향 차량을 산출한 실제 처리 기록.