VulShot을 활용한 DevSecOps 및 보안 점검 자동화

카카오뱅크 블루팀은 외부 공격 방어와 정보 보호를 위해 DevSecOps를 도입하고 보안 프로세스 자동화를 추진하고 있다. DevSecOps는 개발(Dev), 보안(Sec), 운영(Ops)을 통합하여 소프트웨어 생명주기 초기부터 보안을 고려하는 방식이다.

핵심 전략인 **시프트레프트(Shift-Left)**를 통해 보안 문제를 개발 초기 단계에서 식별함으로써, 서비스 릴리즈 속도 증가에 따른 수동 점검의 한계를 극복하고 취약점 조치 비용을 절감하는 것을 목표로 한다.

보안 자동화는 크게 두 가지 방식으로 진행된다.

• 정적 점검(Static Analysis): 실행되지 않은 소스코드나 바이너리를 분석한다. 카카오뱅크는 이를 CI(Continuous Integration) 시스템과 연동하여 코드 커밋 시 자동으로 취약점을 검사한다.
• 동적 점검(Dynamic Analysis): 실행 중인 소프트웨어의 동작을 분석한다. 웹사이트와 API를 대상으로 실제 발생 가능한 시나리오를 기반으로 취약점을 탐지한다.