ITPE * JackerLab

개요MS-SDL(Microsoft Security Development Lifecycle)은 마이크로소프트가 자사 소프트웨어 제품의 보안 강화를 위해 개발한 보안 중심의 개발방법론이다. 소프트웨어 개발 초기부터 보안을 설계에 내재화(Shift Left)하며, 위험 평가, 위협 모델링, 보안 테스트 등을 단계별로 통합하여 보안 사고를 예방하고 신뢰성 높은 제품을 제공하는 것이 목적이다. 특히 보안 인증이나 국제표준(ISMS, ISO 27001 등) 대응 시 효과적이다.1. 개념 및 정의MS-SDL은 2002년 마이크로소프트가 Nimda, Code Red 등 보안 사고 이후 도입한 SDLC 기반 보안 개발 프로세스이다. 'Secure by Design, Secure by Default, Secure in D..

개요개발보안가이드는 소프트웨어 개발 생명주기(SDLC) 전반에 걸쳐 보안을 고려한 안전한 코드 작성 기준을 제시하는 가이드라인이다. 이는 보안 취약점을 사전에 예방하고, 해킹·침해 사고를 최소화하며, 정보 보호법 등 법적 요구사항을 충족시키는 데 목적이 있다. 특히 금융, 공공, 의료 등 보안이 중시되는 산업에서 필수적으로 준수되어야 하며, 개발자, 기획자, 보안 담당자 모두에게 필요한 지침이다.1. 개념 및 정의개발보안은 소프트웨어 개발 과정에서 보안을 내재화(Shift Left)하는 개념으로, 보안 결함이 제품 출시 전에 제거되도록 한다. 한국에서는 행정안전부, 금융보안원, KISA 등이 개발보안가이드를 제정하여 권고하고 있으며, 주요 기준으로 CWE, OWASP Top 10 등이 사용된다.2. 특징..

개요위협 모델링은 소프트웨어, 시스템, 네트워크 등 다양한 IT 자산에 대한 잠재적 보안 위협을 사전에 식별하고 평가하는 분석 활동입니다. 설계 단계에서부터 보안을 통합하기 위한 핵심 활동으로, 개발팀과 보안팀이 협력하여 위협을 구조적으로 정리하고 대응 전략을 수립하는 데 초점을 둡니다. 이 글에서는 위협 모델링의 정의, 프레임워크, 적용 절차, 실무 활용법까지 다룹니다.1. 위협 모델링의 개념 및 목적위협 모델링은 보안 설계의 사전 예방 접근 방식으로, 시스템 내부의 취약 요소와 외부의 공격 경로를 식별하고, 가장 큰 영향을 줄 수 있는 위협을 분석하여 우선순위를 정하고 대응하는 활동입니다. 목표 설명 위협 식별시스템 구조 분석을 통해 가능한 공격 방식 도출자산 보호중요 자산(데이터, 기능)에 대한 ..