코스 개요
1. DevSecOps 기초: 설계 시 보안
🔍 학습: 주요 DevSecOps 원칙 및 안전한 SDLC
🛠️ 데모: 전통적인 파이프라인과 현대적인 안전한 파이프라인 비교
🔧 실험실: 첫 번째 DevSecOps 활성화 파이프라인 템플릿 구축
2. OWASP ZAP 보안 테스트 부트캠프
💣 침해 시뮬레이션:
- SQLi 및 XSS로 취약한 앱 배포
- OWASP ZAP를 사용하여 위협을 탐지하고 완화
⚙️ 방어 전략:
- ZAP을 통한 자동 스캔
- ZAP API를 통한 CI/CD 통합
🧪 실험실: ZAP 기본 스캔 및 공격 규칙 사용자 정의
🎯 과제: “10분 안에 숨겨진 관리자 패널 찾기”
3. 의존성 지옥: 공급망 방어
💣 침해 시뮬레이션:
- CVE가 있는 악의적인 npm 패키지 주입
🛡️ 방어 전략:
- OWASP Dependency-Track을 사용하여 취약점을 모니터링
- 중요 CVE가 있을 경우 빌드를 실패시키는 정책 게이트 적용
🧪 실험실: 취약점 정책 및 경보 워크플로우 생성
⚠️ 충격적인 데모: “하나의 나쁜 의존성이 인프라를 장악하는 방법”
4. 취약점 관리 전쟁실
💣 침해 시뮬레이션:
- 패치되지 않은 컨테이너 취약점을 이용하여 공격
🛡️ 방어 전략:
- OWASP DefectDojo를 사용한 중앙 집중식 보고
- Trivy로 컨테이너 스캔
🧪 실험실: CISO/임원 보고용 실제 대시보드 구축
🏁 경쟁: “ライバル보다早く50개의 발견물을 처리하기”
5. 비밀 및 구성 대응 훈련
💣 침해 시뮬레이션:
- truffleHog를 사용하여 Git 이력에서 비밀 정보 추출
🛡️ 방어 전략:
password=.*와 같은 패턴을 차단하는 커밋 훅 적용- ZAP의 구성 스파이더를 사용하여 위험한 설정 표면화
🧪 실험실: GitHub Actions 비밀 정보 스캔 구현
🚨 현실 확인: “당신의 데이터베이스 비밀번호는 현재 Slack에 있습니다”
6. 마무리: DevSecOps 전략 계획
🧭 OWASP 통합 로드맵:
- DefectDojo, Dependency-Track, 및 ZAP 채택 계획
📋 개인 행동 계획:
- 30일 보안 체크리스트 작성
- DevSecOps KPI 및 보고 대시보드 정의
요건
기초 소프트웨어와 SDLC 경험
대상자
Theoretical security talks를 싫어하는 DevOps, 보안 및 클라우드 엔지니어들
회원 평가 (2)
크레이그는 훈련에 매우 적극적으로 참여하여 항상 우리가 주의를 기울이는지 확인하고, 예제를 우리의 일상 활동에 맞게 조정하며, 프레젠테이션에 포함되지 않은 정보더라도 질문할 때마다 답변을 제공했습니다.
Ecaterina Ioana Nicoale - BOOKING HOLDINGS ROMANIA SRL
코스 - DevOps Foundation®
기계 번역됨
트레이너의 높은 참여도와 지식 수준
Jacek - Softsystem
코스 - DevOps Engineering Foundation (DOEF)®
기계 번역됨
