OWASP Docker Top 10 요약
OWASP Docker Top 10 요약
OWASP Docker Top 10은 안전한 Docker 기반 컨테이너 환경 설계 및 운영을 위한 10가지 주요 보안 통제 항목을 제공하는 가이드입니다. 이 항목들은 보통의 취약점 리스트라기보다는, 보안 중심 설계를 위한 통제 수단으로 구성됩니다.(OWASP 공식 페이지)
10가지 주요 보안 통제 사항
| 코드 | 항목명 | 설명 |
|---|---|---|
| D01 | Secure User Mapping | 컨테이너를 root 사용자로 실행 금지, 최소 권한 사용자 사용 |
| D02 | Patch Management Strategy | 호스트, 이미지, 오케스트레이션 도구 등 정기적 패치 관리 |
| D03 | Network Segmentation & Firewalling | 기본적으로 차단 정책 설정, 네트워크 영역 분리 및 접근 제어 |
| D04 | Secure Defaults & Hardening | 불필요한 서비스 비활성화, 설정 강화, 기능 최소화 |
| D05 | Maintain Security Contexts | 개발/테스트/운영 환경 분리, 민감 데이터는 격리된 컨텍스트에서 운영 |
| D06 | Protect Secrets | 비밀번호, 토큰 등의 민감 정보는 안전하게 관리 |
| D07 | Resource Protection | 메모리, CPU 등 자원 제약 설정으로 과다 사용 방지 |
| D08 | Container Image Integrity & Origin | 신뢰할 수 있는 최소 이미지 사용, 전달 경로 무결성 확인 |
| D09 | Follow Immutable Paradigm | 컨테이너 파일 시스템을 읽기 전용으로 설정하여 변경 방지 |
| D10 | Logging | 컨테이너, 호스트, 오케스트레이터 수준에서 중앙 집중 로그 수집 및 보관 |
요약
- 목적: Docker 환경에서 보안 위험을 체계적으로 관리하고, 안정적인 컨테이너 운영을 실현.
- 활용 방안:
- 설계 초기 단계부터 보안 요구사항 도입
- 감사 점검(Audit) 체크리스트로 활용
- 운영 계약 또는 조달 문서 내 보안 요구조건 명시
참고 링크 및 라이선스
- OWASP Docker Top 10 (Official)
https://owasp.org/www-project-docker-top-10/
라이선스: CC BY-NC-SA 4.0 (Creative Commons Attribution-ShareAlike)
...