오픈소스 취약점 점검 도구 및 종합 보안 메트릭 설계를 통한 DevSecOps 구축방안 연구
A Study on the Development of DevSecOps through the Combination of Open Source Vulnerability Scanning Tools and the Design of Security Metrics
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
DevSecOps는 DevOps의 짧은 개발과 운용주기에 대응하기 위해 DevOps의 운용절차에 보안절차를 추가한 개념이다. DevSecOps 구축 시 빠른 개발 및 배포 주기를 지원하면서 안정적으로 보안성을 제공하기 위해 여러 단계의 취약점 점검 절차가 고려되어야 한다. 각 점검 단계별 활용 가능한 여러 오픈소스 취약점 점검 도구들이 존재하고 있으나 도구들이 지원하는 기능이 다양하고 점검결과들이 상이해 통합 운용 시 보안성 수준 평가 및 정보의 중요도 파악에 어려움이 있다. 본 논문은 오픈소스를 활용한 DevSecOps 구축 시에 보안점검 단계별 활용 가능한 오픈소스 취약점 점검 도구의 조합과 점검결과에 대한 통합적인 보안메트릭 설계방안을 제안한다.
Abstract
DevSecOps is a concept that adds security procedures to the operational procedures of DevOps to respond to the short development and operation cycle. Multi-step vulnerability scanning process should be considered to provide reliable security while supporting rapid development and deployment cycle in DevSecOps. Many open-source vulnerability scanning tools available can be used for each stage of scanning, but there are difficulties in evaluating the security level and identifying the importance of information in integrated operation due to the various functions supported by the tools and different security results. This paper proposes an integrated security metric design plan for scurity results and the combination of open-source scanning tools that can be used in security stage when building the open-source based DevSecOps system.
참고문헌 (12)
- In-seok Jeon, "Integrated management of DevOps in a non-disruptive environment considering security", Journal of The Korea Institute of Information Security & Cryptology, 25(1), pp.47~52 (2015)
- 홍진근, "Component Analysis of DevOps and DevSecOps", 한국융합학회논문지, 10(9), pp.47~53 (2019), 한국융합학회[DOI]
- 김문환, "국방로봇 SW 개발을 위한 DevSecOps 적용 방안", 한국해군과학기술학회지, 5(2), pp.122~127 (2022), 한국해군과학기술학회[DOI]
- 신강식, "상용 오픈소스 취약점 스캐닝 도구의 성능 시험을 위한 효율적 평가 기준 개발 및 적용", 정보보호학회논문지, 32(4), pp.709~722 (2022), 한국정보보호학회[DOI]
- "CWE" (2023)[URL]
- "CVE"[URL]
- "CVSS"[URL]
- Giovanni Bernardo, "DevSecOps pipelines improvement: new tools, false positive management, quality gates and rollback" (2022), Computer Engineering Department, Politecnico di Torino, Webthesis Libraries
- 성경, "웹 기반 정보보안 수준 측정 도구 설계", 한국컴퓨터정보학회논문지, 10(4), pp.375~384 (2005), 한국컴퓨터정보학회
- 안준선, "소프트웨어 보안약점의 중요도에 대한 정량 평가 기준 연구", 정보보호학회논문지, 22(6), pp.1407~1417 (2012), 한국정보보호학회
- 서동수, "소프트웨어 개발보안 활동을 위한 보안메트릭 정의", 인터넷정보학회논문지, 17(4), pp.79~86 (2016), 한국인터넷정보학회
- "DVNA"[URL]