• 정보보호학회논문지
• /
• 제33권4호
• /
• pp.699-707
• /
• 2023

DevSecOps는 DevOps의 짧은 개발과 운용주기에 대응하기 위해 DevOps의 운용절차에 보안절차를 추가한 개념이다. DevSecOps 구축 시 빠른 개발 및 배포 주기를 지원하면서 안정적으로 보안성을 제공하기 위해 여러 단계의 취약점 점검 절차가 고려되어야 한다. 각 점검 단계별 활용 가능한 여러 오픈소스 취약점 점검 도구들이 존재하고 있으나 도구들이 지원하는 기능이 다양하고 점검결과들이 상이해 통합 운용 시 보안성 수준 평가 및 정보의 중요도 파악에 어려움이 있다. 본 논문은 오픈소스를 활용한 DevSecOps 구축 시에 보안점검 단계별 활용 가능한 오픈소스 취약점 점검 도구의 조합과 점검결과에 대한 통합적인 보안메트릭 설계방안을 제안한다.

• 정보보호학회지
• /
• 제32권5호
• /
• pp.67-73
• /
• 2022

DevOps는 개발과 운영을 배포 기간을 최소화함과 동시에 안정적인 운영을 목표로 하는 현재 가장 진보된 개발 문화이자 방법론이다. DevOps는 수많은 IT 기업에서 활용되고 있으며, 국방 분야도 마찬가지로 소프트웨어 전력 우위를 선점하기 위하여 DevOps 도입을 고려해왔다. 그러나 사이버 위협의 대응이 부족한 DevOps을 국방 소프트웨어에 적용하기가 쉽지 않다. 이에 미 국방부(Department of Defense, 이하 DoD)는 미래의 사이버 위협으로부터 국방 소프트웨어의 피해를 최소화하고자 DevOps 전 단계에 사이버 보안을 결합한 DevSecOps를 채택하여 개발 및 시범운영 중에 있다. 본 연구에서는 DevOps와 DevSecOps의 개념을 소개하고 국방 소프트웨어 분야의 적용 사례를 살펴본다. 그 중 DoD의 DevSecOps의구조, 구축 사례, 공급망 보안 방안을 분석하고 이를 바탕으로 우리 군의 DevSecOps 적용 가능성에 대해 논의하고자 한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2024년도 춘계학술발표대회
• /
• pp.241-242
• /
• 2024

컨테이너 오케스트레이션 도구로 쿠버네티스가 가장 많이 사용되고 있으며, 관련 취약점 연구는 DevSecOps 관점에서 4C layer로 분류된 클라우드 보안 계층 중, 클러스터 및 코드 계층에 초점이 맞춰져 왔다. 반면에 클러스터 계층에도 네트워크 정책, 인증 제어, 권한 설정 및 매개변수 설정에 관한 취약점이 존재한다. 이에 본 논문은 취약점을 분석하여 OWASP 10과 접목하여 분류한 뒤 예방법을 제시함으로써 앞으로의 안전한 클러스터 계층 구축에 기여하고자 한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2024년도 춘계학술발표대회
• /
• pp.216-217
• /
• 2024

최근 클라우드 컴퓨팅 인프라 및 소프트웨어의 지속적인 발전으로 인한 복잡성 증가로 인해 신속한 확장성과 유연성에 대한 요구가 증가하고 있다. 이에 클라우드 네이티브 환경과의 호환성뿐만 아니라 개발과 운영의 효율성을 높이고자 코드로 인프라를 정의하여 자동화된 환경을 구축해 주는 코드형 인프라(Infrastructure as Code, IaC) 기술이 주목받고 있으며, AWS CloudFormation 은 대표적인 솔루션 중 하나이다. 그러나 IaC 형태로 배포되는 템플릿에 취약성이 존재할 경우, 인스턴스가 실행되기 전까지 보안 취약점을 미리 발견하기 어려워 DevOps 사이클에서의 보안 이슈를 야기할 수 있다. 이에 본 논문은 CloudFormation 템플릿의 보안 취약성 스캔이 가능하다고 알려진 오픈 소스 도구의 효율성을 평가하기 위한 사례 연구를 수행한다. 분석 결과를 바탕으로, DevSecOps 달성을 위한 IaC 기반 환경에서 취약성 사전 탐지의 필요성과 세분화된 접근 방식을 제시하고자 한다.

• 한국융합학회논문지
• /
• 제10권9호
• /
• pp.47-53
• /
• 2019

본 논문은 소프트웨어 및 제품의 개발운영 및 개발보안운영에 대한 특성을 검토하고 소프트웨어 코드 관점에서 사용 분석도구를 고찰하였다. 또한 보안 설계규칙을 고려할 때 인적인 요소의 중요성과 이를 강화해야 할 필요성이 강조되었다. 본 논문에서는 개발보안운영을 고려할 때 절차적인 요소의 관점에서 신속하고 정확한 의사결정에 중점을 두고 변화를 관리하는 안전한 프로세스에 대해 분석하였다. 또한 본 논문에서는 개발보안운영 특성과 관련하여 성숙도 모델 분석의 필요성을 논의하였고, 이에 따른 동적인 요소와 정적인 요소의 강도 및 통합 요소에 대한 세부 절차를 통해 분석요소의 의미를 분석하였다. 본 논문에서는 위협모델링 및 컴플라이언스 그리고 통제를 위한 스캔 활동이나 코드 분석과 같은 요소에 대해서도 분석하였다.