tirith

프로그램 소개

Tirith는 터미널 보안을 강화하는 오픈소스 도구로, 명령어 실행 전에 다양한 보안 위협을 분석하고 차단합니다. 특히 Homograph 공격(시리어릭 알파벳 등으로 도메인을 위장하는 공격)이나 Pipe-to-Shell 공격 등 터미널 환경에서 발생하는 위협을 효과적으로 방어합니다.

주요 기능

• Homograph 공격 차단: 도메인 이름에 사용된 시리어릭, 그리스어 등 유사 글자를 탐지하여 악성 URL 실행을 차단합니다.
• Pipe-to-Shell 방어: curl | bash 형태의 파이프 명령어를 분석하여 위험한 스크립트 실행을 차단합니다.
• ANSI 인젝션 및 유니코드 위협 탐지: ANSI 이스케이프 시퀀스, 제로폭 문자, 보이지 않는 유니코드 문자 등을 탐지하여 터미널 인젝션 공격을 방어합니다.
• 데이터 유출 방지: curl 명령어를 통한 민감한 데이터(SSH 키, 환경 변수 등) 유출 시도를 차단합니다.
• 코드 파일 스캔: JavaScript/Python 파일에서 난독화된 페이로드, 동적 코드 실행, 비밀번호 유출 패턴 등을 스캔합니다.
• 위협 인텔리전스 데이터베이스: 서명된 로컬 위협 DB를 통해 악성 패키지, 도메인, IP 주소를 탐지합니다.
• 패키지 위험 점수: npm, PyPI 등 언어 생태계 패키지의 공급망 위험을 평가합니다.

설치 및 설정 방법

Tirith는 다양한 패키지 매니저를 통해 설치할 수 있습니다. Homebrew 사용자는 brew install tirith 명령어로 설치할 수 있습니다. 설치 후에는 쉘 프로필에 초기화 명령어를 추가하여 활성화해야 합니다.

• zsh 사용자: eval “$(tirith init –shell zsh)” 명령어를 .zshrc 파일에 추가
• bash 사용자: eval “$(tirith init –shell bash)” 명령어를 .bashrc 파일에 추가
• fish 사용자: tirith init –shell fish | source 명령어를 사용

eval “$(tirith init)” 명령어는 현재 쉘을 자동으로 감지하여 설정합니다. 설치 후 tirith doctor 명령어로 정상 작동 여부를 확인할 수 있습니다.

기본 사용법

Tirith는 쉘 훅으로 작동하며, 활성화되면 터미널에서 실행되는 명령어를 자동으로 분석합니다. 안전한 명령어는 아무런 출력 없이 정상 실행되며, 위협이 감지되면 경고를 출력하거나 명령어 실행을 차단합니다.

• 위협 탐지 시 차단: tirith: BLOCKED 및 위협 유형과 설명 표시
• 위협 탐지 시 경고: tirith: WARNING 및 권장 사항 표시
• 위협 미탐지 시: 출력 없이 명령어 정상 실행

tirith scan 명령어를 사용하여 파일을 수동으로 스캔할 수도 있습니다. 예: tirith scan evil_skill.py

이런 경우에 유용합니다

• 보안 강화가 필요한 개발자: 터미널에서 자주 패키지를 설치하거나 스크립트를 실행하는 개발자에게 유용합니다.
• AI 코딩 에이전트 사용자: Claude Code, Codex, Cursor 등 AI 에이전트가 터미널 명령어를 실행할 때 추가적인 보안 계층을 제공합니다.
• 공급망 공격 방어가 필요한 팀: npm, PyPI 등 언어 생태계에서 패키지 설치 시 위험한 패키지를 탐지하는 데 유용합니다.

지원 환경

Tirith는 Rust로 개발되었으며, 다양한 운영체제에서 사용할 수 있습니다. 다음 설치 방법을 지원합니다:

• Homebrew (macOS, Linux)
• npm (크로스 플랫폼)
• Cargo (크로스 플랫폼)
• Mise (크로스 플랫폼)
• apt/dnf (Linux)

일부 기능은 플랫폼별로 제한될 수 있습니다. 예를 들어, daemon 모드, tirith run, tirith fetch는 Unix 환경에서만 지원됩니다.

최신 버전

현재 버전은 0.4.1입니다. 프로젝트는 활발히 개발되고 있으며, GitHub 릴리스 페이지에서 최신 업데이트를 확인할 수 있습니다.

제한 사항

• 쉘 훅 의존성: 보호 기능은 쉘 훅이 설치되고 활성 상태를 유지해야 합니다.
• 플랫폼별 기능 제한: 일부 기능은 Unix 환경에서만 완전히 지원됩니다.
• 런타임 보호 아님: Tirith는 사전 실행 게이트이며, 일반적인 런타임 샌드박싱을 제공하지 않습니다.
• 일반 악성코드 탐지 아님: Tirith는 안티바이러스가 아니며, 알려지지 않은 페이로드를 동적으로 분석하지 않습니다.