자바 개발자를 위한 데브옵스 툴

235

7

장

바이너리 보안

감안할 때,

SRE

가 놓여 있는 위치는 개발과 운영의 공통 관심사를 전략적으로 병합할 수 있는

최적의 장소인 셈이다.

이 대목에서 다시 솔라윈즈의 사례를 돌이켜보면 당시 솔라윈즈의 가치 사슬 속에서 취약점 대

응 조치에 가장 큰 영향을 미쳤던 인물은 누구였는가에 대한 궁금증이 생긴다. 이 질문에 답하

려면 먼저 데브와 옵스 각각의 영역과 그 안에서 세울 수 있는 대처 방안을 검토해야 한다.

7.3

정적, 동적 보안 분석 정적, 동적 보안 분석

애플리케이션 보안 분석 기법은 크게 정적 테스트와 동적 테스트로 나뉜다. 각각의 의미와 접

근 방식의 차이를 직접 확인해보자.

7.3.1 7.3.1

정적 애플리케이션 보안 테스트정적 애플리케이션 보안 테스트

정적 애플리케이션 보안 테스트정적 애플리케이션 보안 테스트

static

application

security

testing

(

SAST

)는 특정 시점에 애플리케이션을

분석하는 기법이다. 이미 알려진 취약점이 현재 애플리케이션에 미치는 위험을 파악하는 데 중

점을 둔다.

SAST

는 소위 투명

clear

테스트라 불리는 유형에 속한다. 이러한 테스트는 시스템 내부를 직접

관찰하고 분석하므로 대상 애플리케이션의 소스 코드에 접근할 수 있어야 한다. 반면 실제 운

영 런타임 환경은 굳이 알 필요가 없다. ‘

정적정적

static

’이라는 특성은 애플리케이션을 실행할 필요가

없다는 의미를 내포한다.

SAST

를 통해 식별할 수 있는 보안 위협의 유형은 크게 세 가지다.

●

소스 코드의 기능부에 ...