Security

SkillSpector 같은 보안 스캐너에 기여하거나 코드를 읽을 때 필요한 개념들. 웹 취약점 기초, OWASP LLM Top 10, 정적 분석(regex·AST·YARA·taint tracking)을 개발자 시각에서 정리한다.

PayloadsAllTheThings SQL Injection 챕터 전문 번역.

Falco·Sigma·Coraza를 이해하기 위한 런타임 보안 생태계 전체 그림. WAF/IDS/SIEM/SOAR의 역할 구분, 탐지-차단-대응 3계층, MITRE ATT&CK 기초.

전통적인 보안 모델은 내부 네트워크를 신뢰했다. 방화벽 안에 들어오면 내부 서비스에 자유롭게 접근할 수 있었다. Zero Trust는 이 전제를 버린다. 위치(IP)가 아니라 아이덴티티를 기반으로 매 요청을 검증한다. 왜 등장했고 어떻게 구현되는지 설명한다.

일반 TLS는 클라이언트가 서버를 인증한다. mTLS(mutual TLS)는 서버도 클라이언트를 인증한다. 마이크로서비스 환경에서 서비스 간 통신이 실제로 신뢰할 수 있는 서비스에서 왔는지 검증하는 데 쓰인다. 동작 원리, SPIFFE/SPIRE 아이덴티티 체계, Istio가 어떻게 자동화하는지 설명한다.

DDoS(Distributed Denial of Service)는 대량의 트래픽으로 서비스를 마비시키는 공격이다. 공격 유형에 따라 방어 레이어가 다르다. 네트워크 레벨 볼류메트릭 공격, 프로토콜 레벨 공격, 애플리케이션 레벨 공격 각각에 어떤 방어가 적용되는지, 그리고 실무에서 어떤 구성이 표준인지 설명한다.

eBPF(extended Berkeley Packet Filter)는 리눅스 커널 안에서 사용자 정의 프로그램을 안전하게 실행하는 기술이다. Cilium은 eBPF 기반의 k8s CNI 플러그인으로, iptables를 대체하고 고성능 네트워킹, NetworkPolicy 구현, 서비스 메시 기능, 실시간 관찰 가능성을 커널 레벨에서 제공한다.

ServiceAccount는 파드가 k8s API를 호출할 때 쓰는 신원(identity)이다. RBAC은 그 신원에 어떤 리소스에 어떤 작업을 허용할지 정하는 권한 체계다. Role, ClusterRole, RoleBinding, ClusterRoleBinding이 어떻게 조합되는지, 최소 권한 원칙을 어떻게 적용하는지를 설명한다.

k8s에서 기본적으로 모든 파드는 서로 통신할 수 있다. NetworkPolicy는 파드 단위의 방화벽 규칙으로, 어떤 파드가 어떤 파드에 접근할 수 있는지 제어한다. 인그레스·이그레스 규칙 작성 방법, 기본 차단 정책, 네임스페이스 간 트래픽 제어, 그리고 CNI 플러그인이 실제로 규칙을 집행하는 구조를 설명한다.

RBAC이 제대로 설정되지 않은 클러스터에서 파드 하나를 침투한 공격자가 전체 클러스터를 장악하는 과정을 단계별로 설명한다. 각 단계에서 공격이 성립하는 조건과 이를 차단하는 방어 포인트를 함께 정리한다.