분류 전체보기3735 728x90 배포 파이프라인에서 비밀값이 새는 다섯 경로와 막는 법 — 개발보안 실무 API 키, DB 비밀번호, 클라우드 자격증명 같은 비밀값(시크릿) 유출은 침입이 아니라 실수로 시작되는 경우가 대부분입니다. 그리고 그 실수는 거의 늘 배포 파이프라인 어딘가에서 일어납니다. 점검하면서 반복해서 본 다섯 경로와, 각각을 막는 현실적인 방법을 정리했습니다.1. 소스 저장소에 커밋된 키가장 흔하고 가장 오래 남는 경로입니다. .env 파일, 서비스 계정 JSON, 테스트용으로 넣어 둔 하드코딩 키. 한 번 커밋되면 삭제 커밋을 해도 이력에 남습니다. 막는 법은 두 겹입니다. 커밋 전에 시크릿 패턴을 잡는 훅(pre-commit)을 두고, 저장소 전체 이력을 주기적으로 스캔합니다. 전체 이력 스캔은 처음 돌릴 때 생각보다 많이 나옵니다. 나온 것은 지우는 게 아니라 폐기·교체합니다.2. CI.. 2026. 10. 9. ISMS-P 인증, 처음 맡은 담당자를 위한 90일 준비 로드맵 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 처음 맡으면 통제 항목이 100개가 넘는 표 앞에서 어디서부터 손대야 할지 막막합니다. 이 글은 "처음 90일에 무엇을 어떤 순서로 하면 되는가"를 담당자 관점에서 정리한 로드맵입니다. 인증 기준의 세부 해석이 아니라 일의 순서에 대한 이야기입니다.1~30일 — 범위를 정하고 현황을 안다첫 달의 목표는 두 가지입니다. 하나는 인증 범위를 확정하는 것입니다. 어떤 서비스, 어떤 시스템, 어떤 조직이 들어가는지가 정해져야 나머지 모든 작업의 크기가 정해집니다. 범위는 넓게 잡고 싶어지지만, 처음에는 핵심 서비스 하나로 좁히는 편이 성공 확률이 높습니다.다른 하나는 자산 목록입니다. 서버, 네트워크 장비, DB, 애플리케이션, 그리고 개인정보 흐름(수집→.. 2026. 10. 9. 재택·하이브리드 근무 시대의 기업 내부보안 — 담당자가 분기마다 점검할 열 가지 사무실 안에만 있던 업무 환경이 집과 카페, 개인 단말로 퍼진 뒤로 내부보안의 경계는 '건물'이 아니라 계정과 단말이 됐습니다. 그런데 점검 체계는 여전히 사무실 기준으로 남아 있는 조직이 많습니다. 이 글은 보안 담당자가 분기마다 한 번씩 돌려 볼 만한 열 가지를 계정·단말·데이터·사람 네 묶음으로 정리한 것입니다. 새로 도구를 사라는 이야기는 없습니다. 지금 있는 것으로 확인되는지를 봅니다.1. 계정과 접근 — "누가 들어올 수 있는가"가장 흔한 사고는 '있는 줄 몰랐던 계정'에서 납니다. 인사 시스템의 퇴직·부서 이동 목록과 계정 목록을 주 1회 기계적으로 대조하는 것만으로 상당 부분이 잡힙니다. 외부에서 들어오는 모든 길(VPN, 메일, 협업 도구, 클라우드 콘솔)에 다단계 인증을 예외 없이 거는.. 2026. 10. 8. 스캐너가 못 찾는 취약점 — IDOR·SSRF·업무 로직 결함, 점검자는 어디를 보나 자동 스캐너는 알려진 패턴 — 오래된 버전, 설정 오류, 단순 인젝션 — 을 잘 찾습니다. 그런데 요즘 실제 사고의 큰 부분은 스캐너가 '정상 응답' 으로 보는 곳에서 납니다. 남의 주문서를 번호만 바꿔 열어 보는 것(IDOR), 서버가 내부 주소로 대신 요청하게 만드는 것(SSRF), 쿠폰을 두 번 쓰는 것. 이런 로직 취약점은 사람이 기능을 이해하고 손으로 눌러 봐야 나옵니다. 점검자가 어디부터 보는지 유형별로 적습니다. 허가된 범위 안에서의 점검을 전제로 합니다.1. IDOR — 가장 흔하고 가장 단순한점검의 기본 도구는 계정 두 개입니다. A 로 주문 상세를 열고 그 요청(예: GET /api/orders/10234)을 잡은 뒤, B 의 세션으로 번호만 바꿔 보냅니다. 읽기는 막혀 있어도 수정(P.. 2026. 7. 28. 로그 관리 기본 — 무엇을 얼마나 남기고, 어디에 모으고, 누가 언제 보나 사고가 났을 때 가장 먼저 찾는 것이 로그인데, 그때서야 '그 로그는 안 남기고 있었다' 거나 '2주 전 건 이미 지워졌다' 는 것을 알게 되는 경우가 많습니다. 로그 관리는 도구보다 무엇을·얼마나·어디에·누가 보나 네 가지를 정하는 일입니다.1. 무엇을 남기나모든 것을 남기면 아무것도 못 봅니다. 위 다섯 묶음이 기준이고, 특히 개인정보·중요 데이터에 대한 접근 기록(누가·언제·어떤 데이터를·어떻게)은 법적 요구이기도 합니다. 각 기록에는 시각·행위자(계정)·대상·결과·출발지(IP)가 있어야 나중에 사람 이야기가 됩니다.2. 얼마나 남기나보안·감사 로그는 1년 이상을 기본으로 보는 경우가 많고, 법령이나 인증 기준에 따라 더 길게 요구되기도 합니다(개인정보 접근 기록 등은 해당 고시를 확인). 애플리케.. 2026. 7. 27. 이전 1 2 3 4 5 6 ··· 747 다음 728x90 728x90
