Datadog에서 2~4월까지 애플리케이션과 컨테이너 이미지, 클라우드 환경을 분석해서 공개한 DevSecOps 분석 리포트입니다.

분석 결과 다음과 같은 7가지 특징을 정리했습니다.

1. Java 서비스는 서드파티 취약점의 영향을 가장 많이 받습니다.

2. 자동화된 보안 스캐너의 공격 시도는 대부분 조치할 수 없는 노이즈일 뿐입니다.

3. 식별된 취약점 중 일부만 우선순위를 정할 가치가 있습니다.

4. 경량 컨테이너 이미지를 사용하면 취약점이 감소합니다.

5. Infrastructure as Code의 도입률은 높지만, 도입률이 클라우드 업체별로 꽤 차이가 있습니다.

6. 수동 클라우드 배포는 여전히 널리 퍼져있습니다.

7. CI/CD 파이프라인에서 수명이 짧은 크리덴셜의 사용률이 여전히 너무 낮습니다.

4번 처럼 경량 컨테이너가 공격 표면이 적어서 취약점도 감소한다는 것은 너무 당연한 얘기이지만 관심있는 부분에 대한 데이터도 있어서 흥미로웠습니다.

취약점 같은 경우 도구를 처음부터 사용했다면 비교적 괜찮지만 중간에 취약점 분석 도구를 도입하는 경우 크게 의미 없어 보이는 수많은 취약점 리포트에 압도되어 제대로 처리하기가 어렵습니다. 이런 부분을 어떻게 도입하면 좋을지 고민이 있었는데 실제로 의미있는 취약점이 일부라는 부분에 관심이 갔습니다.

CI/CD 파이프라인에서도 크리덴셜 관리에 관심을 가지고 있는데 짧은 수명 주기로 정기적으로 교체하기 위한 시스템을 만들기 위해 고민중인데 업계 전체적으로도 이런 부분을 잘 하고 있지 못하다는 것도 재밌었습니다.

https://www.datadoghq.com/state-of-devsecops/