CI/CD with GitHub Actions & DevOps Pipelines · 강의

CI/CD 보안 모범 사례

파이프라인의 일반적인 보안 취약점과 개발 수명 주기 전반에서 위험을 완화하는 모범 사례를 이해합니다.

CI/CD 보안 모범 사례은(는) CoddyKit의 무료 CI/CD with GitHub Actions & DevOps Pipelines 강의입니다. 이것은 4개 중 1번째 강의입니다. 아래에서 전체 강의를 무료로 읽을 수 있으며, 내장 코드 에디터와 24/7 AI 튜터와 함께 브라우저에서 직접 실습할 수 있습니다. 이 강의는 CI/CD with GitHub Actions & DevOps Pipelines 학습 경로의 일부이며, 진행 상황이 웹과 CoddyKit 앱에 동기화됩니다. CI/CD with GitHub Actions & DevOps Pipelines 강의에는 총 4개의 강의가 포함되어 있습니다.

CI/CD 보안이 중요한 이유

현대적인 소프트웨어 개발에서 CI/CD 파이프라인은 핵심적입니다. 코드의 빌드, 테스트 및 배포를 자동화합니다.

하지만 큰 힘에는 큰 책임이 따릅니다! 악의적인 공격이나 실수로 발생하는 보안 취약점으로부터 코드, 데이터 및 인프라를 보호하려면 이러한 파이프라인을 안전하게 유지하는 것이 매우 중요합니다.

파이프라인 취약점 식별

보안 조치를 적용하기 전에 무엇으로부터 보호해야 하는지 이해해야 합니다. CI/CD 파이프라인은 다음과 같은 여러 유형의 공격에 취약할 수 있습니다.

탈취된 자격 증명: 도난당한 API 키 또는 토큰입니다.
악성 의존성: 알려진 보안 결함이 있는 라이브러리를 사용하는 것입니다.
안전하지 않은 구성: 액세스 제어 또는 빌드 단계가 잘못 구성된 것입니다.
공급망 공격: 빌드 프로세스 자체를 변조하는 것입니다.

최소 권한 원칙 적용

최소 권한 원칙(PoLP)은 사용자와 자동화된 프로세스(예: CI/CD 작업)에 작업을 수행하는 데 필요한 최소한의 권한만 부여하고 그 이상은 부여하지 않는다는 의미입니다.

이렇게 하면 자격 증명이나 작업이 손상되었을 때 발생할 수 있는 피해를 줄일 수 있습니다. GitHub 액션에서는 각 작업에 필요한 특정 권한을 정의해야 합니다.

jobs:
  build:
    runs-on: ubuntu-latest
    permissions:
      contents: read # Only read access to repo code
      packages: write # Only write to package registry
      id-token: write # Needed for OIDC authentication
    steps:
      - uses: actions/checkout@v4
      - run: echo "Build logic here"

코드 및 의존성 보호

소스 코드는 애플리케이션의 핵심입니다. 처음부터 안전하게 관리해야 합니다.

코드 검토: 동료 검토를 통해 잠재적인 보안 결함을 발견할 수 있습니다.
정적 분석: 도구를 사용하여 코드의 취약점을 검사합니다(전용 SAST는 이후 레슨에서 다룹니다).
의존성 검사: 타사 라이브러리에 알려진 취약점이 있는지 정기적으로 확인합니다.

타사 의존성 관리

대부분의 프로젝트는 오픈 소스 라이브러리에 의존합니다. 이러한 라이브러리는 강력하지만 주의 깊게 관리하지 않으면 취약점을 유입할 수 있습니다.

의존성 Scanner 사용: Dependabot과 같은 도구를 통합하여 알려진 취약점을 자동으로 확인합니다.
의존성 버전 고정: 예기치 않은 변경을 방지하도록 의존성의 정확한 버전을 지정합니다.
정기 업데이트: 보안 패치의 혜택을 받을 수 있도록 의존성을 최신 상태로 유지합니다.

빌드 환경 강화

코드를 빌드하고 테스트하는 환경은 가능한 한 안전해야 합니다. 소프트웨어를 위한 클린룸이라고 생각해 보세요.

임시 실행기: 각 작업에 새롭게 격리된 환경을 사용합니다. GitHub에서 호스팅하는 실행기는 기본적으로 임시 실행기입니다.
최소한의 도구: 공격 표면을 줄이기 위해 필요한 도구만 설치합니다.
안전한 기본 이미지: 컨테이너를 사용하는 경우 신뢰할 수 있고 보안이 강화된 기본 이미지를 사용합니다.

시크릿을 절대 하드코딩하지 않기

API 키, 데이터베이스 자격 증명 또는 비공개 토큰과 같은 민감한 정보는 저장소나 워크플로 파일에 직접 하드코딩해서는 NEVER 안 됩니다.

항상 안전한 시크릿 관리 시스템을 사용해야 합니다. 이렇게 하면 민감한 데이터가 버전 관리에서 제외되고 암호화된 상태로 유지됩니다.

워크플로 입력값 검증

워크플로가 외부 입력값(예: 수동 실행이나 풀 리퀘스트 댓글에서 전달된 입력값)을 받는 경우 이러한 입력값을 검증하고 정제해야 합니다.

신뢰할 수 없는 입력값은 주입 공격의 경로가 될 수 있습니다. 웹 애플리케이션에서 사용자 입력값을 검증하는 방식과 유사합니다.

on:
  workflow_dispatch:
    inputs:
      deploy_env:
        description: 'Environment to deploy to (e.g., staging, production)'
        required: true
        type: choice
        options:
          - 'staging'
          - 'production'
      version_tag:
        description: 'Git tag for the release version'
        required: true
        type: string

파이프라인 활동 기록 및 모니터링

파이프라인 활동을 파악하는 것은 중요한 보안 제어 수단입니다. 효과적인 기록을 사용하면 의심스러운 동작을 신속하게 감지하고 대응할 수 있습니다.

포괄적인 기록: 워크플로 내에서 발생하는 모든 중요한 이벤트와 작업을 기록합니다.
이상 징후 모니터링: 실패한 보안 검사, 무단 액세스 시도 또는 비정상적으로 긴 빌드 시간을 확인합니다.
알림 설정: 중요한 보안 이벤트에 대한 알림을 설정합니다.

이해도 확인

CI/CD 보안 모범 사례에 대한 지식을 확인해 보겠습니다.

레슨 요약 및 다음 단계

축하합니다! CI/CD 파이프라인을 위한 필수 보안 모범 사례를 배웠습니다.

최소 권한 원칙을 적용합니다.
소스 코드를 보호하고 의존성을 관리합니다.
빌드 환경의 보안을 강화합니다.
시크릿을 절대 하드코딩하지 않습니다.
모든 워크플로 입력값을 검증합니다.
강력한 활동 기록 및 모니터링을 구현합니다.

이러한 관행은 안전한 DevOps 수명 주기를 구축하기 위한 탄탄한 기반이 됩니다. 다음 레슨에서는 GitHub 시크릿과 SAST 같은 특정 도구와 기법을 더 자세히 살펴보겠습니다.

자주 묻는 질문

“CI/CD 보안 모범 사례” 강의는 무료인가요?

네 — “CI/CD 보안 모범 사례” 전체 내용을 이 웹사이트에서 무료로 읽을 수 있습니다. 인터랙티브하게 실습하려면(내장 코드 에디터와 24/7 AI 튜터), CoddyKit PRO로 업그레이드하면 CI/CD with GitHub Actions & DevOps Pipelines 강의 전체를 잠금 해제할 수 있습니다. CI/CD with GitHub Actions & DevOps Pipelines 강의에는 총 4개의 강의가 포함되어 있습니다.

“CI/CD 보안 모범 사례”에서 뭘 배우나요?

파이프라인의 일반적인 보안 취약점과 개발 수명 주기 전반에서 위험을 완화하는 모범 사례를 이해합니다. 브라우저에서 직접 실행하는 실습 코드로 CI/CD with GitHub Actions & DevOps Pipelines을(를) 배우며, 24/7 AI 튜터가 강의를 진행하면서 질문에 답변해줍니다.

CI/CD with GitHub Actions & DevOps Pipelines을(를) 시작하는 데 경험이 필요한가요?

사전 경험은 필요하지 않습니다. CoddyKit의 CI/CD with GitHub Actions & DevOps Pipelines은(는) 초급자부터 고급 학습자까지를 위해 구성되어 있으므로, 여기서 시작하거나 처음부터 시작할 수 있으며 자신의 속도대로 진행할 수 있습니다. 이것은 4개 중 1번째 강의입니다.

“CI/CD 보안 모범 사례” 강의는 얼마나 걸리나요?

대부분의 CoddyKit 강의는 약 5~10분이 소요됩니다. 각 강의는 간결하고 인터랙티브하여 꾸준한 진행이 가능하며, 웹과 앱에서 중단한 부분부터 바로 시작할 수 있습니다.

이 CI/CD with GitHub Actions & DevOps Pipelines 강의에서 코드를 작성하고 실행할 수 있나요?

네. 모든 CI/CD with GitHub Actions & DevOps Pipelines 강의에는 내장 코드 에디터가 포함되어 있으므로, 브라우저에서 바로 실제 코드를 작성하고 실행한 후 즉시 AI 피드백을 받을 수 있습니다 — 로컬 설정이 필요 없습니다.

이 강의의 모든 강의

← CI/CD with GitHub Actions & DevOps Pipelines(으)로 돌아가기