웹 보안 미드레벨 배포·운영 기술면접

CI/CD 파이프라인에는 여러 보안 검증 단계를 구성해야 합니다. 먼저 소스코드 커밋 시 SAST 도구(SonarQube, Checkmarx)로 정적 분석을 수행하고, 의존성 취약점은 Snyk이나 OWASP Dependency-Check로 검사합니다. 컨테이너 이미지 빌드 후에는 Trivy, Clair, Anchore 같은 이미지 스캐너로 OS 패키지와 애플리케이션 라이브러리의 CVE를 탐지합니다. 또한 Dockerfile 린팅 도구(Hadolint)로 베스트 프랙티스 준수 여부를 확인하고, 이미지 서명(Docker Content Trust, Cosign)을 통해 무결성을 보장합니다. 배포 전에는 정책 엔진(OPA, Kyverno)으로 보안 정책 준수 여부를 검증하고, 임계값 이상의 취약점이 발견되면 배포를 자동으로 차단하는 게이트를 설정합니다.

즉시 로드밸런서나 라우팅 설정을 통해 트래픽을 다시 Blue 환경으로 전환하여 롤백을 수행해야 합니다. 동시에 모니터링 시스템에서 인증 실패 로그를 확인하고, Green 환경의 JWT 검증 키나 OAuth 설정 등 보안 구성을 점검합니다. 재발 방지를 위해서는 배포 전 Smoke Test와 Health Check에 보안 설정 검증 항목을 추가해야 합니다. 예를 들어 실제 인증 토큰으로 API를 호출하는 End-to-End 테스트를 자동화하고, 환경변수나 Secret 값이 올바르게 주입되었는지 확인하는 검증 스크립트를 실행합니다. 또한 Canary 배포 방식을 도입하여 소수의 트래픽으로 먼저 검증한 후 점진적으로 전환하고, 인증 실패율 같은 보안 메트릭을 모니터링하여 임계값 초과 시 자동 롤백하도록 구성합니다.

보안 모니터링을 위해서는 여러 계층의 메트릭과 로그를 수집해야 합니다. 인증 관련 메트릭으로는 로그인 실패율, 비정상적인 토큰 사용, 권한 없는 리소스 접근 시도(403/401 응답)를 추적하며, 예를 들어 5분 내 동일 IP에서 10회 이상 로그인 실패 시 알림을 발생시킵니다. WAF 로그에서는 SQL Injection, XSS 같은 공격 패턴 탐지 건수를 모니터링하고, 특정 엔드포인트에 1분 내 100회 이상 요청 시 DDoS 가능성을 알립니다. 또한 보안 헤더(CSP, HSTS, X-Frame-Options) 누락 비율, API Rate Limit 초과 횟수, 비정상적인 파일 업로드 시도를 추적합니다. ELK Stack이나 Datadog, Prometheus+Grafana로 대시보드를 구성하고, PagerDuty나 Slack으로 Critical 알림을 전송하며, 심각도에 따라 자동으로 IP 차단이나 계정 잠금 같은 대응을 트리거합니다.