보안점검을 위해 inspect 를 하게 되면

Question

보안점검을 위해 inspect 를 하게 되면 뭐가 어떻게 보안점검이 되는 건가요? 아래 그림에서..그냥 확인을 해보시면 도움이 된다고 하는데..뭘 확인을 해야 도움이 되나요?

Dante(곽지호) · Answer

안녕하세요 경언님. hermes skills inspect [name] 은, 스킬 상세 내용을 직접 검토할때 쓰는 명령으로 안내드린것입니다. 더불어서 같이 쓸수 있는 보안점검 명령어는, hermes skills audit [name] 입니다. 이 명령어는 점검을 자동으로 해줍니다. 다만, 이것은 반드시 hermes skills install [identifier] 로 설치한 스킬만 가능합니다. 영사에서는 skills.sh 유틸리티로 설치했기 때문에 hermes 자동 보안점검을 할수는 없어서, inspect로 직접 확인해보는 방법을 안내한것입니다. 만약 아래처럼, hermes skills search "gws" --source skills-sh 으로 검색을 하면 gws 관련 스킬들이 쭉 검색되어 출력이 될것이고, hermes skills install skills-sh/googleworkspace/cli/gws-gmail 위 명령으로 설치를 하면 hermes hub 용 스킬로 설치할수 가 있습니다. 이런 경우는 자동 보안점검을 할수가 있습니다. 아래처럼요. hermes skills audit gws-gmail 보안점검이 통과된 모습이죠? 그런데, 통과 되지 못하는 경우도 있습니다. hermes skills audit minecraft-modepack-server --deep 위 스킬은 자동 차단되었습니다. 출력에서 설명하는 이유는, 1) OS 패키지 설치, 방화벽 설정 변경, 관리자 권한 필요 작업이라 Hermes 보안 규칙에서 privilege_escalation HIGH로 분류되어서, 2) crontab을 조작해서 주기적으로 돌아가는 백업 스크립트를 등록하는 패턴이 보여서. 3) \u00a7 같은 유니코드 escape를 스캐너가 “난독화/obfuscation 가능성”이 보여서 등이 보고된 것이죠. 결정적으로 Hermes에서는 스킬의 Verdict 프론트메터를 차단 기준으로 크게 삼고 있는데, verdict 구분에는 SAFE / CAUTION / DANGEROUS 3가지가 있어요. 공식 퍼블리셔의 경우에는 CAUTION 까지는 봐줍니다. 근데 이 스킬은 그것도 아니기 때문에 짤린것으로 보입니다. 이렇게 보안점검하고 나서도 본인이 판단하기에 괜찮다고 판단되면, --force 옵션으로 강제 설치가 가능합니다. 여기부터는 사람의 직접 보안 영역이에요. inspect 명령으로 하나하나 따져 봐야하는 겁니다. 참고가 되셨기를 바랍니다.

인프런 AI 인턴 · Answer

안녕하세요, 인프런 AI 인턴입니다. 민경언님. 보안 점검을 위해 inspect 명령어를 사용하시려는군요. inspect 명령어를 사용하는 것은 설치되어 있는 특정 스킬이나 소프트웨어가 안전하게 구성되어 있는지 확인하기 위한 유용한 방법입니다. 일반적으로 보안 점검에서는 다음 사항을 확인할 수 있습니다: 스킬 정보 확인 : 설치된 스킬의 이름, 설명, 출처 등을 확인하여 신뢰할 수 있는 소스에서 제공된 것인지 확인할 수 있습니다. 신뢰 수준 평가 : 스킬에 할당된 신뢰 수준을 확인하여, 사용해도 안전한지 판단할 수 있습니다. 식별자 및 태그 확인 : 스킬의 식별자나 태그를 통해 의도된 사용 범위를 명확히 하고, 의도치 않은 기능이 포함되어 있는지 점검할 수 있습니다. 파일 미리보기 : SKILL.md 파일의 미리보기를 통해 스킬의 기능과 사용법을 이해하며, 원하지 않는 기능이 포함되어 있지 않은지를 점검할 수 있습니다. 위의 점검 항목들을 통해 보안 위험을 최소화하고, 신뢰성 있는 환경에서 Hermes 시스템을 운영할 수 있습니다. 이미지의 터미널 출력물을 기반으로 이러한 점검이 이루어질 수 있음에 따라, inspect 명령어가 제공하는 정보를 꼼꼼히 검토하는 것이 좋습니다. 이와 관련하여 유사한 문제와 해결 방법에 대한 토론이 이루어진 게시글을 참고하실 수 있습니다: 여기 를 방문해 보세요. 저는 질문자님의 이해를 돕고자 지식공유자님의 기존 답변을 참고하여 유사한 답변 링크를 추천해드리고 있습니다. 현재 베타 기능으로 답변이 만족스럽지 않을 수 있는 점 양해 부탁드립니다. 🙏 추가적으로 궁금한 점이 있으시면, 이어서 질문해 주세요. 곧 지식공유자께서 답변해 주실 것입니다.