ITPE * JackerLab

개요Terrascan은 Tenable(구 Accurics)에서 개발한 오픈소스 보안 도구로, Terraform, Kubernetes, Docker, Helm, CloudFormation 등 IaC(Infrastructure as Code) 구성 파일을 분석하여 보안 정책 위반, 오탐 구성, 규정 비준수 여부를 탐지합니다. DevSecOps 환경에서 IaC 보안의 핵심 도구로 자리잡고 있으며, 클라우드 리소스 배포 전 단계에서 자동화된 보안 검증을 수행합니다.1. 개념 및 정의 항목 내용 비고 정의코드형 인프라(IaC)의 보안 및 규정 준수를 자동으로 분석하는 도구Policy-as-Code 엔진 기반목적클라우드 리소스 구성의 사전 검증 및 자동 보안 강화DevSecOps 환경 최적화필요성IaC 확산에 ..

개요Trivy는 Aqua Security에서 개발한 오픈소스 보안 스캐너로, 컨테이너 이미지, 파일 시스템, Git 저장소, Kubernetes 클러스터, IaC(Infrastructure as Code) 등을 스캔하여 보안 취약점, 잘못된 구성, 라이선스 문제 등을 탐지합니다. DevSecOps 구현에 핵심 도구로 부상하고 있으며, 경량성과 속도, 다양한 스캔 범위를 통해 보안 자동화에 효과적으로 활용됩니다.1. 개념 및 정의 항목 내용 비고 정의다양한 아티팩트를 스캔하여 보안 문제를 탐지하는 통합 보안 스캐너Vulnerability & Misconfiguration Scanner목적클라우드 네이티브 환경에서 보안 취약점 및 구성 오류 사전 탐지DevSecOps 자동화의 핵심필요성CI/CD 파이프라..

개요Sealed Secrets는 Kubernetes 환경에서 시크릿을 안전하게 Git에 저장하고 배포할 수 있도록 도와주는 오픈소스 도구입니다. 시크릿을 암호화된 형태로 관리하며, SealedSecrets 리소스를 통해 GitOps 방식의 선언적 배포를 가능하게 합니다. 이를 통해 민감 정보를 코드 저장소에 노출시키지 않고도 안전하게 관리할 수 있습니다.1. 개념 및 정의 항목 내용 비고 정의공개 키 기반 암호화를 통해 Git에 저장 가능한 암호화된 Kubernetes Secret 관리 방식Bitnami 개발, CNCF Sandbox 포함목적GitOps를 위한 안전한 시크릿 저장 및 배포Git에 민감정보 저장 가능하게 함적용 대상API 키, 데이터베이스 암호, 인증 토큰 등쿠버네티스 Secret 리소..

개요External Secrets Operator(ESO)는 Kubernetes 클러스터 내 애플리케이션이 외부의 시크릿 관리 시스템(예: AWS Secrets Manager, HashiCorp Vault, Azure Key Vault 등)과 연동할 수 있도록 지원하는 Kubernetes Operator입니다. 보안 비밀 값(secrets)을 Kubernetes 내부에 직접 저장하지 않고 외부 시스템에서 동기화함으로써, 비밀의 중앙 집중 관리와 보안 수준을 높일 수 있습니다.1. 개념 및 정의 항목 내용 비고 정의외부 시크릿 저장소와 Kubernetes 간 연동을 자동화하는 오퍼레이터CNCF 오픈소스 프로젝트목적비밀 정보의 안전한 중앙화 관리 및 배포 자동화GitOps/DevSecOps 통합 지원적용..

개요Confidential Containers(CoCo)는 클라우드 환경에서 실행되는 컨테이너의 보안성과 데이터 프라이버시를 강화하기 위한 기술로, 하드웨어 기반 신뢰 실행 환경(TEE: Trusted Execution Environment)을 활용해 컨테이너 워크로드를 보호합니다. 특히 멀티 테넌시 환경에서 민감 데이터를 안전하게 처리할 수 있도록 설계되었으며, 오픈소스 기반으로 Kubernetes와의 통합을 지원합니다.1. 개념 및 정의Confidential Containers는 Intel SGX, AMD SEV, ARM TrustZone과 같은 하드웨어 보안 기능을 활용해, 컨테이너 내부의 코드와 데이터를 외부로부터 완전히 격리합니다.목적: 클라우드 상에서 실행되는 컨테이너의 기밀성 확보필요성: 클..

개요클라우드 네이티브 환경에서 컨테이너는 빠른 배포와 유연성을 제공하지만, 커널 공유 구조로 인해 보안에 취약할 수 있습니다. 이를 해결하기 위한 혁신적인 보안 기술이 Google에서 개발한 gVisor입니다. gVisor는 사용자 공간에서 실행되는 샌드박스형 커널을 통해 컨테이너를 격리하며, 기존 리눅스 커널에 대한 공격 면적을 줄여줍니다. 본 글에서는 gVisor의 개념, 아키텍처, 구성 요소, 장점 및 실제 활용 사례를 종합적으로 다룹니다.1. 개념 및 정의gVisor는 Google이 개발한 사용자 공간(User-space) 샌드박스 커널로, 리눅스 시스템 콜을 자체적으로 구현하여, 컨테이너를 호스트 커널로부터 논리적으로 분리해주는 보안 실행 환경입니다.즉, 애플리케이션은 실제 커널이 아닌 gVis..

개요클라우드 인프라가 복잡해지고, 보안 및 규정 준수에 대한 요구가 증가함에 따라, 정책(Policy)의 중앙 관리와 일관된 적용이 필수적이 되었습니다. **Open Policy Agent (OPA)**는 다양한 시스템에 정책을 선언적 방식으로 적용할 수 있도록 도와주는 오픈소스 정책 엔진입니다. 본 글에서는 OPA의 개념, 작동 방식, 기술 스택, 활용 사례를 포괄적으로 설명합니다.1. 개념 및 정의Open Policy Agent(OPA)는 JSON 기반 입력을 받아 Rego라는 DSL(Domain Specific Language)로 작성된 정책을 평가하여, 승인 여부를 반환하는 정책 결정 엔진입니다.이는 Kubernetes, API Gateway, CI/CD 파이프라인 등 다양한 환경에서 일관된 정책..

개요Kyverno는 쿠버네티스(Kubernetes) 클러스터 내 리소스에 대한 정책을 코드 형태로 선언하고 실행할 수 있는 Policy-as-Code 프레임워크이다. YAML 기반 선언형 정책 정의를 통해 보안, 컴플라이언스, 운영 규칙을 자동화하며, Gatekeeper와 달리 학습 곡선이 낮고 쿠버네티스 네이티브에 가까운 사용성을 제공한다.1. 개념 및 정의Kyverno는 쿠버네티스의 CRD(Custom Resource Definition)와 Admission Controller 메커니즘을 활용하여 클러스터 리소스의 생성/수정 요청에 대해 정책 적용, 검증, 변형을 수행한다. 이를 통해 Pod, Deployment, Namespace 등 모든 리소스를 제어 가능하다.목적 및 필요성클러스터 내 보안 및 ..