DevSecOps 도구

개발자가 소스 리포지토리에 코드를 커밋하면 빌드 단계가 시작됩니다. DevSecOps 빌드 도구는 빌드 출력 아티팩트에 대한 자동화된 보안 분석에 중점을 둡니다. 중요한 보안 사례에는 소프트웨어 구성 요소 분석, SAST(정적 애플리케이션 소프트웨어 테스트) 및 단위 테스트가 포함됩니다. 기존 CI/CD 파이프라인 도구를 연결하여 이러한 테스트를 자동화할 수 있습니다.

개발자는 알 수 없거나 신뢰할 수 없는 소스에서 받은 타사 코드를 정기적으로 설치하고 그 종속성 위에 제품을 만듭니다. 외부 코드 종속성에는 실수로 또는 악의적인 취약성 및 악용이 포함될 수 있습니다. 빌드 단계에서는 이러한 종속성을 검토하고 보안 취약성을 검사하는 것이 중요합니다.

빌드 단계 분석을 실행하는 몇 가지 잘 알려진 도구에는 OWASP Dependency-Check, SonarQube, SourceClear, Retire.js, Checkmarx 및 Snyk가 있습니다.

코드 단계를 위한 DevSecOps 도구는 개발자가 더 안전한 코드를 작성하도록 돕습니다. 중요한 코드 단계 보안 관행에는 정적 코드 분석, 코드 검토 및 사전 커밋 후크가 포함됩니다.

보안 도구를 개발자의 기존 Git 워크플로에 직접 연결하면 모든 커밋 및 병합은 자동으로 보안 테스트 또는 검토를 트리거합니다. 이러한 도구는 다양한 프로그래밍 언어와 통합 개발 환경을 지원합니다. 널리 사용되는 보안 코드 도구로는 Gerrit, Phabricator, SpotBugs, PMD, CheckStyle 및 Find Security Bugs가 있습니다.

테스트 단계는 빌드 아티팩트가 만들어져 스테이징 또는 테스트 환경에 성공적으로 배포된 후에 트리거됩니다. 포괄적인 테스트 스위트는 실행하는 데 상당한 시간이 걸립니다. 이 단계는 더 고비용의 테스트 작업이 마지막에 남도록 일찍 실패해야 합니다.

테스트 단계에서는 DAST(동적 애플리케이션 보안 테스트) 도구를 사용하여 사용자 인증, 권한 부여, SQL Injection 및 API 관련 엔드포인트와 같은 라이브 애플리케이션 흐름을 감지합니다. 보안 중심의 DAST는 OWASP 상위 10에 나열된 이슈 등 심각도가 높은 알려진 이슈 목록에 대해 애플리케이션을 분석합니다.

사용 가능한 오픈 소스 및 유료 테스트 도구는 매우 많으며 BDD Automated Security Tests, JBroFuzz, Boofuzz, OWASP ZAP, Arachi, IBM AppScan, GAUNTLT 및 SecApp suite를 포함하여 언어 에코시스템에 대한 다양한 기능과 지원을 제공합니다.

이전 단계를 성공적으로 통과하면 빌드 아티팩트를 프로덕션에 배포해야 합니다. 배포 단계에서 해결해야 할 보안 관련 부분은 라이브 프로덕션 시스템에서만 발생하는 보안 문제입니다. 예를 들어, 프로덕션 환경과 이전 스테이징 및 개발 환경 간의 구성의 차이는 모두 철저히 검토해야 합니다. 향후 갱신에 대해 프로덕션 TLS 및 DRM 인증서의 유효성을 검사하고 검토해야 합니다.

배포 단계는 Osquery, Falco 및 Tripwire와 같은 런타임 확인 도구를 사용하기에 적합한 시점입니다. 이러한 도구는 실행 중인 시스템이 예상대로 작동하는지 확인하기 위해 정보를 추출합니다. 조직은 또한 혹독한 상황을 견딜 수 있는 시스템의 기능에 대한 신뢰를 구축하기 위해 시스템을 실험하여 카오스 엔지니어링 원칙을 실행할 수 있습니다. 작동 중단한 서버, 하드 드라이브 장애 또는 네트워크 연결 끊기와 같은 실제 이벤트를 시뮬레이션할 수 있습니다. Netflix는 카오스 엔지니어링 원칙을 실천하는 Chaos Monkey 도구로 널리 알려져 있습니다. 또한 Netflix는 부적절하게 구성된 인프라 보안 그룹에서 위반 또는 취약점을 찾고 취약한 서버를 차단하는 Security Monkey 도구를 활용합니다.

DevSecOps 주기의 릴리스 단계가 되면 애플리케이션 코드와 실행 파일은 이미 철저한 테스트를 마쳤어야 합니다. 이 단계에서는 사용자 액세스 제어, 네트워크 방화벽 액세스 및 보안 데이터 관리와 같은 환경 구성 값을 검토하여 런타임 환경 인프라를 보호하는 데 중점을 둡니다.

PoLP(최소 권한 원칙)은 릴리스 단계의 주요 관심사입니다. PoLP는 모든 사용자, 프로그램 또는 프로세스가 기능을 수행하기 위해 최소한의 액세스 권한을 가지는 것을 의미합니다. 여기에는 소유자가 액세스를 제한할 수 있도록 API 키 및 액세스 토큰을 감사하는 작업이 포함됩니다. 이런 감사가 없다면 공격자가 시스템의 의도치 않은 영역에 액세스하는 키를 찾게 될 수 있습니다.

구성 관리 도구는 동적 인프라의 정적 구성에 대한 가시성을 제공하기 때문에 릴리스 단계에서 보안의 핵심 요소입니다. 그런 다음 시스템 구성을 감사하고 검토할 수 있습니다. 구성은 변경할 수 없게 되며 구성 관리 리포지토리에 대한 커밋을 통해서만 업데이트할 수 있습니다. 인기 있는 구성 관리 도구로는 Ansible, Puppet, HashiCorp Terraform, Chef 및 Docker 등이 있습니다.

보안 커뮤니티에서는 CIS(Center for Internet Security) 벤치마크 및 NIST 구성 체크리스트와 같은 인프라 강화를 위한 모범 사례에 대한 지침과 권장 사항을 제공합니다.

점점 더 많은 개발 팀이 프로세스를 발전시키고 새로운 도구를 도입함에 따라, 보안 면에서 부지런히 노력해야 합니다. DevSecOps는 주기적인 프로세스이며, 새로운 코드 배포마다 지속적으로 반복되고 적용되어야 합니다. 악용 및 공격자는 끊임없이 진화하고 있으며, 최신 소프트웨어 팀도 진화해야 합니다.

DevSecOps 테스트의 좋은 시작점은 Bitbucket Pipelines를 통해 테스트를 자동화하는 것입니다. 또한 Atlassian Marketplace에서 사용할 수 있는 테스트 자동화 도구 및 리소스를 검토하세요.