정보처리기사 필기(소프트웨어 개발 보안 구축) Secure SDLC

※본 내용은 스스로 공부하며 중요하다고 생각하는 부분만 정리한 내용입니다. 

---

공부 서적(시나공 정보처리기사 필기책)

시나공 정보처리기사 필기

출처: 시나공 정보처리기사 필기

저자: 김정준,강윤석,김용갑,김우경

출판사 : 길벗

---

Secure SDLC

---

 

정의

• 개발 생명주기(SDLC)에 보안 강화를 위한 프로세스를 포함한 것
• 보안 이슈로 많이 소모되는 비용을 최소화하기 위해 등장
• 대표적 방법론
• CLASP : 활동 중심, 역활 기반 프로세스, 현재 운용중 프로그램에 적합 ,SDLC 초기 단계 보안 강화, Secure Software에서 개발
• SDL : 마이크로소프트사 개발, 기존 SDLC 개선 방법, 전통적 나선형 모델 기반
• Seven Touchpoints : 보안 모범사례를 SDLC에 통합한 방법론, 모든 산출물 위험 분석 및 테스트 수행, 7개 보안 강화활동 진행

요구사항 분석 단계에서 보안 활동

• 보안항목 관련 요구사항 식별 작업 수행, 보안 요소별 등급 구분
• 보안 정책 항목 출처/요구 수준/세부 내용 등 문서화

설계 단계에서 보안 활동

• 식별된 보안 요구사항 설계서 반영 및 보안 설계서 작성, 위험 식별하여 보안대책/소요예산 등 수립
• 네트워크 : 네트워크 분리하거나 방화벽 설치
• 서버 : 보안 뛰어난 운영체제 사용, 보안 업데이트, 외부접속에 대한 접근통제 등 실시
• 물리적 보안 : 출입통제, 개발 공간 제한, 폐쇄회로 등 감시설비 설치
• 개발 프로그램 : 지속적인 데이터 무결성 검사 실시

구현 단계에서 보안 활동

• 표준 코딩 정의서와 개발 보안 가이드 준수하여 보안 요구사항 구현
• 지속적인 테스트로 보안 취약점 최소화, 진단 작업으로 소스코드의 안정성 확보

테스트 단계에서 보안 활동

• 보안 설계서 바탕으로 보안 사항 정확히 반영되고 동작하는지 점검
• 모의 침입 테스트나 동적 분석 도구로 위협들의 해결 여부 검증
• 추가 제시된 위협 테스트 계획 수립후 시행, 모든 결과 문서화, 개발자에게 피드백

유지보수 단계에서 보안 활동

• 보안사고 식별, 사고 발생 시 이를 해결 후 보안 패치 실시