#보안
15 편의 글
GitHub Actions 강좌 #9 보안 강화: permissions 최소화, SHA 고정, pull_request_target
GITHUB_TOKEN의 기본 권한을 읽기로 줄이고 잡별로 필요한 권한만 여는 최소화 방법부터 시작해, 태그가 가변이라 생기는 서드파티 액션의 공급망 위험과 SHA 고정, Dependabot 자동 업데이트 조합을 다룹니다. 시크릿이 노출되는 대표 경로인 pull_request_target의 함정과 제목·브랜치명 보간이 만드는 스크립트 인젝션 방어까지 정리하겠습니다.
테라폼 운영 강좌 #4 보안·비용 스캔: trivy, checkov, Infracost로 PR 가드레일
보안 설정 실수를 apply 전에 잡는 정적 스캐너 trivy와 checkov를 비교해 도입하고, 오탐 예외 처리를 이유와 함께 코드에 남기는 규칙을 세웁니다. Infracost로 PR에 월 비용 변화를 코멘트로 표시해 비용 리뷰를 배포 전 단계로 당기고, default_tags 기반 비용 추적까지 연결해 PR 가드레일을 완성하겠습니다.
Wails 실전 강좌 #5 서명과 공증 — 배포된 앱이 신뢰받는 법
완성한 노트 앱을 다른 사람의 기기에서 경고 없이 실행되게 만듭니다. 서명하지 않은 앱이 macOS Gatekeeper와 Windows SmartScreen에서 차단되는 이유, macOS 코드 서명과 공증(notarytool) 절차, Windows 코드 서명 인증서의 종류와 비용, 그리고 이 과정을 CI로 넘기기 전에 알아야 할 것을 다룹니다.
Git에 비밀키를 커밋했을 때 — 키 회전과 filter-repo 히스토리 정리
AWS 키, API 토큰, .env 파일을 커밋하고 push까지 한 사고의 대응 절차를 정리합니다. 1순위는 히스토리 정리가 아니라 키 무효화입니다. filter-repo로 히스토리를 다시 쓰는 절차와 예방 장치까지 다룹니다.
장고 고급 #7 배포 보안 — settings 분리, ALLOWED_HOSTS, CSRF, secret 관리
settings 분리 패턴, django-environ, DEBUG/ALLOWED_HOSTS/CSRF/HSTS, SECRET_KEY 관리, manage.py check --deploy까지 장고를 운영에 올리기 전 점검해야 할 내용을 정리합니다.
AWS 고급 #6 Secrets Manager / Parameter Store
Secrets Manager와 SSM Parameter Store의 차이, 자동 회전, 코드에서 가져오기(boto3 / 캐싱 / Powertools), ECS와 Lambda 통합, IaC 연결, 비용 비교까지. AWS 시크릿 / 설정 관리를 정리합니다.
RHEL 고급 #4 SELinux 고급 — 정책 직접 작성과 audit2allow
중급에서 SELinux 모드와 라벨, audit2allow로 거부를 푸는 흐름까지 봤다면, 이번엔 그 위에서 한 단계 더 들어갑니다. .te/.fc/.if 정책 파일의 구조, audit2allow로 모듈을 자동 생성하는 흐름과 한계, checkmodule,semodule_package,semodule로 직접 컴파일,설치하는 절차, 부울과 인터페이스 활용까지 한 사이클로 다루겠습니다. AVC 거부가 떴을 때 끝까지 따라가서 영구 정책 모듈로 굳히는 흐름이 목표입니다.
도커 고급 강좌 #3 이미지 보안 — non-root, distroless, Trivy 스캔
컨테이너 보안의 기본 도구를 한곳에 모으겠습니다. USER로 비특권 사용자 떨어트리기, read-only 루트와 tmpfs, capabilities drop, distroless로 공격 표면 좁히기, Trivy/Grype의 취약점 스캔, hadolint의 Dockerfile 린트까지 정리합니다.