OWASP19 Kubernetes 환경에서 OWASP ZAP 동적 스캔환경 구성 OWASP ZAP을 Kubernetes 환경에 구축하고 관리하는 전체 프로세스를 설명드리겠습니다. 이는 Helm 차트를 이용한 설치부터 스캔 설정, 동적 컨테이너 배포, 결과 리포팅까지의 과정을 포함합니다.1. 사전 준비먼저 Kubernetes 클러스터와 Helm이 설치되어 있어야 합니다. Kubernetes 클러스터는 v1.11.0-0 이상 버전이 필요합니다.curl https://raw.githubusercontent.com/helm/helm/main/scripts/get-helm-3 | bash2. OWASP ZAP Helm 차트 설치SecureCodeBox 프로젝트의 zap-advanced Helm 차트를 사용하여 OWASP ZAP을 설치합니다. 이 차트는 필요한 모든 종속성과 함께 ZAP을 Ku.. 2024. 5. 26. Jenkins ZAP(Zed Attack Proxy) 플러그인 통한 취약점 점검 자동화 Jenkins에 ZAP(Zed Attack Proxy) 플러그인을 사용하여 코드가 푸시될 때마다 도커(Docker)로 서비스를 배포하고, ZAP을 통해 취약점 점검을 수행한 후 결과를 리포팅하는 프로세스는 CI/CD 파이프라인에 보안 테스트를 통합하는 효과적인 방법입니다. 이를 위해서는 Jenkins, Docker, ZAP을 함께 사용하는 방법을 이해해야 합니다. 아래는 이 과정을 구현하는 단계별 안내입니다. 준비 단계 Jenkins 설치: Jenkins 서버가 설치되어 있어야 하며, 필요한 경우 Jenkins를 설치합니다. Docker 설치: Docker가 설치되어 있어야 하며, Jenkins 서버에서 Docker 커맨드를 실행할 수 있어야 합니다. ZAP 설치: OWASP ZAP이 설치되어 있어야 합.. 2024. 3. 19. 전통적인 Web-DB 구조에서 Web-WAS(API)-DB 아키텍처로의 전환 전통적인 web-db 구조 대신 web-was(api)-db 구조로 운영하는 것은 여러 보안 이점이 있습니다. 이러한 아키텍처는 분리된 레이어를 통해 보안을 강화하며, 각 레이어가 서로 다른 보안 요구 사항과 위험을 관리할 수 있도록 합니다. 특히 API를 사용하는 경우, 보안 위험을 줄이고 보안 설정의 정확성을 높일 수 있습니다. 관리의 용이성: WEB/WAS 구조에서는 웹 서버와 WAS가 분리되어 있어 서버 관리 및 장애 대응이 더욱 용이합니다. 웹 서버와 WAS의 역할이 구분되어 있기 때문에 관리 및 유지보수가 더 쉽고, 장애 발생 시 대처 방안도 명확해집니다. 안정성 및 가용성: 이중화를 통해 안정성을 높일 수 있습니다. 웹 서버와 WAS가 분리되어 있으면, 하나의 시스템에 문제가 발생해도 다른 .. 2024. 3. 11. OWASP ZAP 프록시 통해 사이트 취약점 진단 자동화 및 결과 시각화 Docker 컨테이너 내에서 OWASP ZAP 프록시를 실행하고, 각 사이트를 점검한 후 리포트를 생성하는 Python 코드를 작성해보겠습니다. 이를 위해서는 zap-cli 라이브러리를 사용할 것입니다. 코드는 사이트 목록을 반복하면서 ZAP을 사용하여 각 사이트를 점검하고 리포트를 생성할 것입니다. 먼저, zap-cli 라이브러리를 설치합니다. pip install zap-cli 다음은 Python 코드의 예시입니다. import subprocess import time # 대상 사이트 목록 target_sites = [ "http://site1.com", "http://site2.com", "http://site3.com", # 필요한 만큼 사이트를 추가하세요. ] # Docker 컨테이너 실행 (Z.. 2023. 10. 11. 웹취약점 OWASP TOP10 2013 웹어플리케이션 보안 위험 아키텍처 OWASP 2013 RC1 버전 공개 2010년과 2013년 항목별 비교 내용 2010년 (한글) 2013년 (RC1) 2013. 1. 4. 이전 1 2 3 4 다음
