아티팩트 보호 개요

Security Command Center의 아티팩트 보호는 개발 수명 주기 전반에서 취약점을 식별하는 데 도움을 주어 애플리케이션 개발 프로세스에 보안 계층을 추가합니다.

아티팩트 보호는 다음과 같은 기능과 이점을 제공합니다.

  • 세분화된 정책 제어: 유연한 예외 옵션을 사용하여 취약점 유형에 따라 정확한 규칙을 정의합니다.
  • 빌드 시간 정책 시행: 보안 검사를 Artifact Registry 및 지속적 통합/지속적 배포 (CI/CD) 파이프라인 에 직접 통합하여 배포 전에 안전하지 않은 이미지를 중지합니다.
  • 고급 런타임 시행: 실시간 스캔과 보안 상황에 대한 전체 개요를 활용합니다.
  • 통합된 '코드에서 클라우드' 보안 그래프: 빌드 시간, 아티팩트 분석, 런타임 스캔의 데이터를 상호 연결하여 보안 발견 사항을 전체적으로 파악합니다.

개요

CI/CD 파이프라인 및 배포 환경에는 규정을 준수하지 않는 이미지를 차단하거나 감사하기 위한 자동 시행이 없는 경우가 많습니다. 애플리케이션을 보호하려면 빌드 단계와 배포 단계 모두에서 정책을 일관되게 적용해야 합니다.

강력한 정책 프레임워크는 다음과 같은 작업을 지원할 수 있습니다.

  • 공급망 공격: 사전 예방적 정책은 위협을 조기에 완화하여 손상된 이미지가 애플리케이션에 영향을 미치지 않도록 합니다.
  • 규정 준수 및 거버넌스: 사용자 인증 정보 유출 방지, 취약한 라이브러리 차단, 보안 컨테이너 구성 유지와 같은 권장 사항을 시행하여 규제 요구사항을 충족합니다.
  • 개발자 마찰 감소: 보안을 개발 수명 주기에 원활하게 통합하여 혁신을 저해하지 않고 보호를 강화합니다.
  • 런타임 위험: 지속적인 런타임 스캔은 배포 후에도 새로운 취약점을 포착하여 지속적인 보호를 제공합니다.

아티팩트 보호는 수명 주기 전반에서 아티팩트의 취약점과 기타 발견 사항을 관리하기 위한 통합 보안 프레임워크를 제공합니다. 이 프레임워크를 사용하면 다양한 단계에서 세분화된 승인 제어를 수행하여 확인된 아티팩트만 승격할 수 있습니다.

아티팩트 보호는 Artifact Registry 및 Google Kubernetes Engine (GKE)과 같은 주요 서비스와 기본적으로 통합됩니다. 정책은 Google 보안 기준 정책에 포함되고 App Hub와 통합될 수도 있으므로 팀은 애플리케이션 설계 센터에서 직접 보안 표준을 시행할 수 있습니다. 이 기능을 사용하면 아티팩트 보호가 조직 정책 서비스 프레임워크 내에서 강력한 제약조건으로 작동하여 일관된 보안 거버넌스를 대규모로 보장할 수 있습니다. Google Cloud

대상

아티팩트 보호는 다음과 같은 이해관계자 작업을 지원할 수 있습니다.

  • 보안 관리자: 보안 정책을 정의하고 시행합니다.
  • DevOps 또는 플랫폼 엔지니어링팀: 아티팩트 보호를 기존 빌드 및 배포 파이프라인에 통합합니다.
  • 애플리케이션 개발자: 아티팩트 보호의 통계를 사용하여 코드 내에서 보안 취약점을 해결합니다.

주요 용어 및 개념

  • CVE (Common Vulnerabilities and Exposures): 공개적으로 공개된 컴퓨터 보안 취약점으로, 고유 식별자가 할당됩니다. 이러한 식별자는 해결을 위해 취약점을 추적하는 데 도움이 됩니다.
  • SBOM (Software Bill of Materials): 소프트웨어 구성요소 및 종속 항목의 기계 판독 가능 인벤토리입니다. SBOM에는 각 구성요소의 버전, 출처, 기타 관련 세부정보가 포함됩니다. SBOM을 사용하여 CVE 및 기타 보안 위험을 식별할 수 있습니다.
  • 아티팩트: 빌드 프로세스 중에 생성된 데이터 또는 항목과 같은 소프트웨어 개발의 버전 관리되고 검증된 출력입니다.

대략적인 워크플로

  1. 아티팩트 보호는 세 가지 유형의 정책 범위를 지원합니다.

    • CI/CD 플랫폼: Cloud Build, GitHub Actions 또는 Jenkins 파이프라인
    • 레지스트리: GKE 클러스터
    • 런타임: GKE 클러스터

    CI/CD 플랫폼 범위를 사용하려는 경우 커넥터를 사용하여 CI/CD 통합을 사용하여 CI/CD 환경에 연결할 수 있습니다.

  2. 아티팩트 보호 정책을 구성합니다. 정책에는 지원되는 범위가 포함될 수 있습니다.

  3. 평가가 정책에 대해 실행됩니다. 평가 중에 이미지가 빌드되고 정책에 대해 평가됩니다. 정책이 실패하면 빌드가 실패합니다. 그러면 DevOps 또는 애플리케이션 엔지니어가 실패 세부정보를 검토하고 필요한 수정을 배포할 수 있습니다.

다음 단계