DevSecOps 최신 애플리케이션을 구축, 테스트, 배포 및 모니터링하는 방식을 근본적으로 변화시키고 있습니다. 이제 보안이 주요 초점이 되었습니다. 그러나 민첩하고 반복적인 개발에는 CI\CD 파이프라인과 원활하게 통합되고 워크로드 보안 프로세스를 자동화하는 도구가 필요합니다.
기존의 보안 도구는 일반적으로 이러한 요구 사항을 충족할 만큼 민첩하거나 확장 가능하지 않습니다. 자동화, 통합 및 확장성(예: RESTful API 사용)을 염두에 두고 구축된 DevSecOps 도구는 이러한 격차를 해소합니다. SAST, DAST 및 IAST와 같은 최신 AppSec 도구 는 DevSecOps용 도구의 일반적인 예입니다.
For the modern enterprise, DevSecOps는 모든 개발 프로젝트에 필수적입니다및 DevSecOps 도구를 사용하면 DevSecOps 구현이 가능합니다. 예를 들어, 이러한 도구를 사용하여 기업은 "시프트 레프트 보안"를 사용하고 보안을 애플리케이션 개발의 종단 간 부분으로 만듭니다.
기업이 워크로드를 보호하는 데 사용할 수 있는 다양한 방법이 있지만 근본적으로 통합 개발 주기 전반에 걸친 보안이 가장 강력합니다. 아래에서는 기업이 일반적으로 최신 DevSecOps 도구 및 기술을 사용하여 보안을 통합하는 데 사용할 수 있는 5가지 방법을 살펴보겠습니다. 그런 다음 이러한 방법을 대규모로 사용할 수 있는 플랫폼을 살펴보겠습니다.
정적 애플리케이션 보안 테스트(SAST)는 화이트박스 보안 스캔을 자동화하기 위한 탁월한 메커니즘입니다. SAST는 스캔 컴파일된 바이너리를 실행하는 대신 일반 텍스트 소스 코드를 분석하기 때문에 "화이트박스" DevSecOps 도구입니다. 소스 코드를 분석한 후 SAST 도구는 결과를 미리 결정된 정책 집합과 비교하여 알려진 보안 문제와 일치하는 항목이 있는지 확인합니다. 이 프로세스를 정적 코드 분석이라고도 합니다.
SAST 도구가 소스 코드에서 쉽게 감지할 수 있는 취약성의 예는 다음과 같습니다.
이러한 도구는 소스 코드를 분석하기 때문에 초기에 일반적인 취약성을 식별하는 데 유용합니다. CI\CD 파이프라인 코드가 프로덕션에 도달하기 전에. 또한 SAST는 일반 텍스트 소스 코드를 다루기 때문에 기업은 코드가 빌드되기 전에 취약성을 감지하고 애플리케이션이 완료되기 전에 보안 테스트를 수행할 수 있습니다.
SAST 앱은 DevSecOps를 위한 강력한 도구가 될 수 있지만 SAST 솔루션으로는 감지할 수 없는 취약점이 많습니다. 예를 들어 SAST 도구는 실제로 코드를 실행하지 않습니다. 결과적으로 런타임 중에만 노출되는 잘못된 구성 또는 기타 취약성과 같은 문제를 감지할 수 없습니다. 동적 보안 애플리케이션 테스트(DAST) 도구는 이러한 격차를 해소하는 데 도움이 될 수 있습니다.
DevOps 팀은 DAST 도구를 사용하여 컴파일 및 실행 중인 코드에 대해 자동화된 "블랙박스" 보안 스캔을 수행할 수 있습니다. DAST 솔루션은 "퍼징(fuzzing)"이라는 프로세스에서 알려진 익스플로잇 및 악의적인 입력을 사용하여 애플리케이션을 검사합니다. DAST 도구는 응답을 분석하여 취약성 또는 기타 바람직하지 않은 반응(예: crashing)이 실행됩니다.
이러한 테스트를 실행하면 기업이 런타임 중에만 발견할 수 있는 취약성과 잘못된 구성을 감지할 수 있다는 이점이 있습니다. DAST 스캐너를 CI\CD 파이프라인에 통합함으로써 기업은 개발, QA, 스테이징 및 프로덕션 환경 전반에서 보안 문제를 자동으로 감지할 수 있습니다
대화형 애플리케이션 보안 테스트(IAST)는 SAST와 DAST를 단일 보안 테스트 솔루션으로 결합합니다. 가능한 한 많은 마찰을 제거하고 CI/CD 파이프라인의 모든 측면에 보안을 원활하게 통합하려는 기업의 경우 IAST 도구를 사용하여 DAST 및 SAST의 기능을 달성하는 것이 가장 적합한 경우가 많습니다.
또한 IAST 플랫폼은 SAST와 DAST의 기능을 하나의 전체적인 DevSecOps 툴로 결합하여 보안 스캔을 간소화할 뿐만 아니라 다른 방법으로는 불가능했던 가시성과 통찰력을 제공합니다.
예를 들어, IAST 플랫폼을 통해 기업은 동적 스캔을 통해 지능형 공격을 자동으로 시뮬레이션하고, 애플리케이션에 따라 익스플로잇을 조정하고, 문제가 감지되면 코드 계측을 사용하여 DevSecOps 팀에 문제가 있는 소스 코드의 특정 줄을 경고할 수 있습니다.
2021년에 개발된 애플리케이션은 처음부터 작성되지 않습니다. 그들은 광범위한 오픈 소스 라이브러리를 사용하며 복잡한 종속성 체인을 가질 수 있습니다. 따라서 2021년의 DevSecOps 도구는 이러한 종속성에서 보안 취약성을 감지할 수 있어야 합니다. 소스 컴포지션 분석(SCA) 도구를 통합하면 이 문제를 해결하는 데 도움이 될 수 있습니다.
SCA를 DevSecOps 파이프라인에 통합하면 기업은 애플리케이션 구성 요소의 잠재적 취약성과 문제를 빠르고 안정적으로 감지할 수 있습니다.
컨테이너화된 워크로드, 마이크로서비스 및 Kubernetes (K8s)는 최신 애플리케이션의 표준이며, 이와 함께 작동하도록 최적화된 DevSecOps 도구는 필수입니다. 최소한 기업은 파이프라인 전반에 걸쳐 이러한 기능을 자동화하는 도구를 통합해야 합니다.
또한 제로 트러스트 정책의 적용을 자동화하고 로그 및 보안 경고를 관리하는 관찰 가능성 도구를 사용하면 전반적인 엔터프라이즈 보안 태세를 개선할 수 있습니다.
"시프트 레프트(shifting left)" 프로세스에서 마찰을 제거하기 위해 기업은 CI\CD 파이프라인과 원활하고 긴밀하게 통합할 수 있는 전체적인 솔루션이 필요합니다. CloudGuard 플랫폼은 현대 기업을 염두에두고 특별히 제작되었으며 CI \ CD 파이프 라인과 통합하여 목록에있는 모든 도구의 기능 등을 제공 할 수 있습니다.
CloudGuard 플랫폼의 DevSecOps 도구에는 다음이 포함됩니다.
CloudGuard 플랫폼 작업을 시작하려면 다음을 수행 할 수 있습니다 데모 CloudGuard AppSec 무료 또는 CloudGuard의 클라우드 네이티브 API 살펴보기. 또는 현재 보안 태세의 기준을 얻으려면 100개 이상의 컴플라이언스 및 구성 확인이 포함된 전체 보고서가 포함된 무료 보안 점검!
피드백