earticle

영어

Recently, automated tools and processes are being adopted using DevOps (Development, Operations). Many companies are embracing open source tools for each CI/CD stage, considering cost savings, flexible customization and scalability, and vendor lock-in. Furthermore, they are adopting IaC (Infrastructure as Code) to configure everything from development to initial infrastructure environments. Among these, Terraform, an IaC tool, is used for configuration. It is necessary to first diagnose vulnerabilities using SCA tools for both the infrastructure configuration code and application code, and then generate an SBOM to immediately track component usage and change history. This paper presents an architecture that analyzes and resolves the impact of open source tools on the development lifecycle when vulnerabilities arise in a CI/CD environment that leverages rapid development and automated security tools.

한국어

최근 DevOps(Development, Operation)을 이용하여 자동화된 도구와 프로세스를 도입하고 있다. 많은 기업들은 비용 절감, 유연한 커스터마이징 및 확장성, 벤더 종속성 등을 고려하여 CI/CD 각 단계별 도구를 선택할 때, 오픈소스 도구를 많이 사용 하고 있다. 또한, IaC(Infrastructure as Code)를 도입하여 개발부터 초기 인프라 환경까지 많이 구성한다. 그 중 IaC 툴인 Terraform을 이용해서 구성하는데 인프라 환경 구성 코드와 애플리케이션 코드에 대해서 SCA 도구를 이용하여 취약점 진단 을 선행하고 이후에 SBOM을 생성해 구성요소 사용처와 변경이력을 즉시 추적할 수 있어야 한다. 본 논문에서는 빠른 개발과 자동화된 보안 도구를 이용하는 CI/CD 환경에서 오픈소스 도구가 취약점 발생 시 개발생명주기에 미치는 영향도 분석과 해소 가 가능한 아키텍처를 제시한다.