DevSecOps = DevOps + Security. SDLC 전 단계에 보안을 통합하여, 개발 후반부가 아닌 초기 단계부터 보안 결함을 식별·차단하는 방법론 (Shift-left Security).
배경 — DevOps
Dev vs. Ops의 단절
개발(Dev)과 운영(Ops)은 전통적으로 상충된 목표를 가졌다.
| 구분 | 지향점 |
|---|---|
| Dev | Agile, Software Driven Infrastructure — 빠른 변화·배포 |
| Ops | ITIL Operational Stability — 안정성·변경 최소화 |
→ “배포했다 → 서비스 터졌다 → 누구 탓?” 줄다리기 발생.
DevOps 정의
단절된 개발과 운영 간 프로세스를 Seamless하게 연결하고 자동화를 통해 효율성을 극대화하는 방법.
Dev 사이클(plan → code → build → test)이 Ops 사이클(release → deploy → operate → monitor)로 이어지고, monitor의 피드백이 다시 plan으로 돌아가는 무한 루프 구조다.
SW 개발 방법론 진화와의 관계
DevOps는 Waterfall → Scrum → DevOps 진화의 최종 단계로, Cloud-native / Microservices 아키텍처와 DevOps 팀 통합을 전제로 한다.
DevSecOps 정의
DevOps + Security — DevOps 파이프라인 전 단계에 보안 활동을 내장.
핵심 원리 — Shift-left Security
보안 문제를 식별·수정하는 비용은 SDLC 뒤로 갈수록 기하급수적으로 증가한다.
Plan → Develop → Commit → Build/Test → Production → Operate
$ $$ $$$ $$$$$ $$$$$$ $$$$$$$$→ 보안 검증을 왼쪽(초기 단계)으로 당겨 배포 후 발견되는 보안 결함을 최소화한다.
SDLC 5단계 보안 통합 활동
| 단계 | 보안 활동 |
|---|---|
| Plan and Develop | Threat Modelling · IDE Security Plugins · Pre-commit hooks · Secure Coding Standards · Peer Review |
| Commit the Code | SAST(Static Application Security Testing) · Security Unit/Functional Tests · Dependency Management · Secure Pipelines |
| Build and Test | DAST(Dynamic Application Security Testing) · Cloud Configuration Validation · Infrastructure Scanning · Security Acceptance Testing |
| Go to Production | Security Smoke Tests · Configuration Checks · Live Site Penetration Testing |
| Operate | Continuous Monitoring · Threat Intelligence · Penetration Testing · Blameless Postmortems |
주요 기법 해설
- Threat Modelling — STRIDE·TARA 기반 설계 단계 위협 식별
- SAST (정적 분석) — 소스 코드 레벨에서 보안 취약점 검출 (commit 직후 실행)
- DAST (동적 분석) — 실행 중인 애플리케이션에 모의 공격으로 런타임 취약점 검출
- IaC Scanning — Terraform·Ansible 등 Infrastructure as Code 설정 스캔
- Dependency Management — 3rd-party 라이브러리 CVE 추적·갱신
- Blameless Postmortem — 사고 후 책임 추궁 없는 회고로 재발 방지 학습
OTA 파이프라인과 DevSecOps
자동차 OTA 업데이트는 DevSecOps 파이프라인의 결과물이다:
- Plan/Develop — CSMS 요건으로 Threat Modelling 필수
- Commit/Build — SAST/DAST로 OTA 서버·Bootloader·펌웨어 검증
- Production — TLS Handshake 기반 배포 채널 보호 + Uptane 메타데이터 서명
- Operate — VSOC 연계 지속 모니터링, UN R155 사이버보안 모니터링 요건 충족
- CI/CD 자체 보안 — 파이프라인은 그 자체가 공격 대상 (credential 탈취, IaC 주입 등)