DevSecOps 실무에서의 암호화 적용 사례
각 데이터 유형과 보안 목적에 따라 암호화 기술이 실무에서 어떻게 적용되는지를 아래에 정리하였습니다.2-1. 인증정보 및 비밀번호 보호사용자 비밀번호로그인 시스템무결성, 인증Bcrypt, Argon2 (비가역 해시)API Key, SecretGitLab CI, Vault 등기밀성AES, Vault, KMSGitHub Token 등환경변수 저장기밀성TLS, KMS 암호화 설명:비밀번호는 단방향 해시로 저장하며, API 키나 비밀 정보는 HashiCorp Vault나 AWS KMS 등에서 암호화 저장 및 관리하는 것이 권장됩니다.2-2. 개인정보 및 민감정보 보호개인정보 (주민번호 등)DB 컬럼기밀성, 규제 대응AES-256, TDE로그 내 개인정보로그 시스템기밀성마스킹, 필터링세션/Cookie 정보Web ..
Nuclei: 템플릿 기반 취약점 스캐너의 표준
Nuclei는 ProjectDiscovery에서 개발한 템플릿 기반 고속 취약점 스캐너입니다.신속한 HTTP 요청 기반 보안 테스트가 가능하며, 사용자 정의 템플릿을 통해 다양한 취약점, 정보 노출, 오탐 없는 정밀 검사를 자동화할 수 있습니다.1. 핵심 개요 목적HTTP, DNS, TCP, 파일 등 다양한 대상에 대한 고속 취약점 탐지방식YAML 템플릿 기반의 스캐닝 자동화주요 장점속도, 확장성, 커뮤니티 활발, DevSecOps 통합 용이개발자ProjectDiscovery사용 대상웹 애플리케이션, API, 인프라 구성 노출, 미스컨피규레이션 등 2. 동작 구조Nuclei는 기본적으로 다음 요소로 구성됩니다:Target: 스캔할 호스트 또는 URLTemplates: 취약점 탐지 로직을 정의한 YAML ..
Trivy: DevSecOps 보안 자동화의 핵심 취약점 스캐너
Trivy는 Aqua Security에서 개발한 경량 오픈소스 취약점 스캐너입니다.컨테이너 이미지, 코드, 패키지, IaC 템플릿 등 다양한 아티팩트를 스캔하여 보안 취약점 및 잘못된 설정을 탐지합니다.1. 핵심 특징설치/사용Go 기반 단일 바이너리, Docker 이미지로도 사용 가능탐지 대상OS 패키지, 언어 종속성, 컨테이너 이미지, IaC, 리포지토리, SBOM탐지 내용CVE 기반 취약점, 구성 오류(Misconfiguration), 라이선스데이터 소스NVD, GitHub Advisory, Red Hat, Alpine, Amazon 등 공식 보안 데이터 2. 지원 대상Trivy는 다음과 같은 대상에 대해 보안 스캔을 수행할 수 있습니다:컨테이너 이미지Docker, Podman 등에서 사용하는 이미지..