container image signing과 scan 결과 해석
컨테이너 이미지 서명과 취약점 스캔 결과를 혼동하지 않도록 digest, 서명 검증, SBOM, CVE 판정 기준을 분리해 정리한다.
보안 엔지니어링
공급망 보안, 클라우드 보안, secure coding, AI 보조 코드 리뷰, DevSecOps, 취약점 우선순위화처럼 운영 가능한 보안 주제를 모아둔 분류다.
이 아카이브는 악성코드 샘플 분석보다 넓은 운영 보안 주제를 다룹니다. SBOM, provenance, CI/CD secret, cloud IAM, container security, vulnerability prioritization, secure coding, AI 보조 코드 리뷰처럼 개발과 운영 흐름 안에서 바로 점검할 수 있는 보안 기준을 정리합니다.
예정 주제
- 소프트웨어 공급망 보안: SBOM, SLSA, provenance, dependency update
- 클라우드/컨테이너 보안: IAM, service account, image signing, admission control
- DevSecOps: CI/CD secret, GitHub Actions, Jenkins credentials, GitOps 감사
- 취약점 운영: CISA KEV, EPSS, CVSS 한계, 패치 우선순위화
8주 이후 확장
- Secure Coding with AI: AI에게 안전한 코드를 요청하는 법, 내가 작성한 코드의 보안 점검, OWASP Top 10 기반 코드 리뷰 질문, SAST 결과 해석, 사람이 다시 검증하는 절차
CI/CD secret leak 방지 기준
CI/CD secret leak 방지 기준에 대해 공식 문서와 운영 관점으로 확인할 기준, 점검 순서, 한계를 정리한 글.
SBOM, SLSA, provenance 입문
SBOM, SLSA, provenance 입문에 대해 공식 문서와 운영 관점으로 확인할 기준, 점검 순서, 한계를 정리한 글.
GitHub Actions 보안 체크리스트
GitHub Actions 보안 체크리스트에 대해 공식 문서와 운영 관점으로 확인할 기준, 점검 순서, 한계를 정리한 글.
Kubernetes RBAC 최소 권한 입문
Kubernetes RBAC 최소 권한 입문에 대해 공식 문서와 운영 관점으로 확인할 기준, 점검 순서, 한계를 정리한 글.