README.ko.md

DevSecOps를 원하는 모든 사람을 위한 로드맵입니다.

DevSecOps란 무엇이며 왜 중요할까요?

DevSecOps는 소프트웨어 개발 수명 주기(SDLC)의 모든 단계에 보안을 통합하는 것을 목표로 하는 문화이자 관행입니다. 개발, 보안 및 운영 팀 간의 협업을 강조합니다. 목표는 처음부터 안전한 소프트웨어를 구축하고, 취약점을 줄이며, 더 빠르고 안전한 배포를 보장하는 것입니다. 이 로드맵은 개인과 조직이 DevSecOps 관행을 구현하는 데 도움이 되는 엄선된 리소스와 도구 목록을 제공합니다.

📜 목차

• 로드맵
• 도구
• 리소스
  • 0. DevSecOps 개요
  • 1. 설계
  • 2. 개발
  • 3. 빌드
  • 4. 테스트
  • 5. 배포
  • 6. 운영 및 모니터링
• CICD 보안
• Awesome resources
• 다른 로드맵
• 마무리
• 기여자
• 기여하기

📖 이 로드맵 사용 방법

이 로드맵은 DevSecOps 관행을 채택하거나 개선하려는 개인 및 조직을 위한 포괄적인 가이드로 설계되었습니다. 최대한 활용하는 방법은 다음과 같습니다.

1. 기본 사항 이해: DevSecOps를 처음 사용하는 경우 "DevSecOps란 무엇이며 왜 중요한가요?" 섹션부터 시작하여 기본 사항을 이해하십시오.
2. 큰 그림 보기: 기본 로드맵 이미지는 DevSecOps 내의 다양한 단계와 영역에 대한 시각적 개요를 제공합니다. 이를 사용하여 방향을 잡으십시오.
3. 도구 탐색: 도구 섹션에서는 다양한 DevSecOps 기능을 구현하는 데 도움이 되는 엄선된 소프트웨어 및 서비스 목록을 제공합니다.
4. 리소스 살펴보기: 리소스 섹션은 DevSecOps 수명 주기(설계, 개발, 빌드, 테스트, 배포, 운영 및 모니터링)별로 분류되어 있습니다. 각 범주에는 기사, 가이드 및 공식 문서에 대한 링크가 포함되어 있습니다. 특정 요구 사항이나 관심 분야에 따라 이러한 항목을 탐색할 수 있습니다.
5. CI/CD 보안에 집중: 파이프라인 보안에 중점을 둔다면 CICD 보안 섹션에서 대상 리소스를 제공합니다.
6. 기여: 이것은 커뮤니티 중심의 노력입니다. 제안 사항이 있거나, 깨진 링크를 발견하거나, 새로운 리소스를 추가하려면 CONTRIBUTING.md 가이드를 참조하십시오.

선형적으로 진행할 필요는 없습니다. 현재 과제나 학습 목표와 가장 관련성이 높은 섹션으로 자유롭게 이동하십시오.

💭 로드맵

🔩 도구

이 프로젝트에는 DevSecOps 관행을 구현하는 데 도움이 되는 엄선된 도구 목록이 포함되어 있습니다. 이러한 도구는 SAST(Static Application Security Testing), DAST(Dynamic Application Security Testing), 비밀 관리, 위협 모델링, 구성 요소 분석 등 SDLC의 다양한 단계를 다룹니다.

➡️ DevSecOps 도구 목록 살펴보기

이 목록은 도구를 빠르게 찾고 비교하여 검색 및 의사 결정에 소요되는 시간을 줄이는 데 도움이 되도록 설계되었습니다.

📦 리소스

0. DevSecOps 개요

• 개요
  1. Wikipedia와 Grokipedia의 DevSecOps
  2. Zero to DevSecOps (OWASP Meetup)
  3. DevSecOps What Why And How (BlackHat USA-19)
  4. DevSecOps – Security and Test Automation (Mitre)
  5. DevSecOps: Making Security Central To Your DevOps Pipeline
  6. Strengthen and Scale security using DevSecOps
  7. DSOVS (OWASP DevSecOps Verification Standard)
  8. What is DevSecOps? (Github)

1. 설계

• 개발 수명 주기
  1. SDL(Secure Development Lifecycle) by Microsoft
  2. OWASP's Software Assurance Maturity Model
  3. Building Security In Maturity Model (BSIMM)
  4. NIST's Secure Software Development Framework
  5. DevSecOps basics: 9 tips for shifting left (Gitlab)
  6. 6 Ways to bring security to the speed of DevOps (Gitlab)
• 위협 모델
  1. What is Threat Modeling / Wikipedia
  2. Threat Modeling by OWASP
  3. Application Threat Modeling by OWASP
  4. Agile Threat Modeling Toolkit
  5. OWASP Threat Dragon

2. 개발

• 보안 코딩
  1. Secure coding guide by Apple
  2. Secure Coding Guidelines for Java SE
  3. Go-SCP / Go programming language secure coding practices guide
  4. Android App security best practices by Google
  5. Securing Rails Applications

3. 빌드

• SAST(Static Application Security Testing)
  1. Scan Source Code using Static Application Security Testing (SAST) with SonarQube, Part 1
  2. Announcing third-party code scanning tools: static analysis & developer security training
  3. SAST levels defined by OWASP

4. 테스트

• DAST(Dynamic Application Security Testing)
  1. Dynamic Application Security Testing with ZAP and GitHub Actions
  2. Dynamic Application Security Testing (DAST) in Gitlab
  3. DAST using projectdiscovery Nuclei (github action)
  4. ZAPCon 2021-Democratizing ZAP with test automation and domain specific languages
  5. DAST levels defined by OWASP
• 침투 테스트
  1. Penetration Testing at DevSecOps Speed

5. 배포

• 보안 강화 및 구성
  1. CIS Benchmarks
  2. DevSecOps in Kubernetes
• 보안 스캐닝
  1. Best practices for scanning images (docker)

6. 운영 및 모니터링

• RASP(Run-time Application Security Protection)
  1. Runtime Application Self-Protection by rapid7
  2. Jumpstarting your devsecops - Pipeline with IAST and RASP
• 보안 감사
• 보안 모니터
  1. IAST(Interactive Application Security Testing)
     • IAST levels defined by OWASP
  2. 지표, 모니터링, 알림
• 보안 분석
  1. Attack Surface Analysis Cheat Sheet by OWASP

CICD 보안

• Github Actions
  1. Security hardening for GitHub Actions
  2. Github Actions Security Best Practices
  3. GitHub Actions Security Best Practices [cheat sheet included]
• Jenkins
  1. Securing Jenkins
  2. Securing Jenkins CI Systems by SANS
  3. DEPRECATED/chef-jenkins-hardening

Awesome Resources

• https://github.com/TaptuIT/awesome-devsecops

🚀 다른 로드맵

U.S. Department of Defense	Larry Maccherone
The DevSecOps Security Checklist	Gitlab security devops diagram

🙏🏼 마무리

로드맵을 개선할 수 있다고 생각되면 언제든지 PR을 열어 업데이트하고 문제를 제출하십시오. 또한 이 로드맵을 계속 개선할 것이므로 이 저장소를 즐겨찾기에 추가하여 다시 방문할 수 있습니다.

아이디어 출처: Go Developer Roadmap

기여자