PE Notes · 보안

시큐어 코딩

SDLC에 보안을 심는 개발보안과, 인젝션·XSS·버퍼·경쟁조건을 구현 단계에서 막는 시큐어 코딩, SAST·DAST 비교를 한 줄로 잇습니다.

2026-09-12

출시 뒤에 구멍을 메우는 비용은 설계에서 고치는 비용보다 훨씬 큽니다. 방화벽 바깥에서 들어오는 요청이 쿼리와 메모리에 그대로 붙으면, 주변 통제는 의미가 얇아집니다. SW 개발보안은 수명주기 전체에 보안을 넣고, 은 구현 칸의 이름입니다.

수명주기와 약점 유형

요구에서 보안 스토리를 적고, 설계에서 위협 모델을 그리며, 구현에서 입력과 암호와 에러를 닫고, 테스트에서 동적 공격을 넣고, 운영에서 패치와 CVE를 쫓습니다. 국내 공공 개발은 행정 지침의 약점 목록을 진단 기준으로 씁니다.

최소 권한과 심층 방어는 설계 문장이고, 파라미터 바인딩과 출력 인코딩은 그 문장의 코드입니다.

인젝션은 문자열 연결 대신 바인딩입니다. XSS는 출력 맥락에 맞는 이스케이프입니다. 버퍼는 길이 한도와 종료 문자입니다. TOCTOU는 검사와 사용 사이에 파일이 바뀌지 않게 원자 연산으로 붙입니다.

웹 Top 10의 SSRF·CSRF가 요청의 방향을 다면, 시큐어 코딩은 그 요청이 쿼리와 메모리에 닿는 지점을 닫습니다.

는 코드를 실행하지 않고 보고, 는 떠 있는 앱에 공격을 보냅니다. IAST는 실행 중 내부를 계측합니다. CI에 세 가지와 구성 분석(SCA), SBOM이 붙으면 개발 보안이 파이프라인이 됩니다.

샌드박스와 화이트박스 토픽이 분석 시점을 가르면, SAST가 화이트박스 쪽에 가깝습니다. 패키지 혼동과 알려진 CVE는 공급망 보안의 코딩 인접 칸입니다.