공개SW를 활용한 소프트웨어 개발보안 점검가이드

행정자치부 지음

휴먼컬처아리랑 2016년 03월 11일 출간

작품소개

책소개

국가정보화사업으로 개발되는 정보시스템 소프트웨어(이하, SW)는 "행정기관 및 공공기관 정보시스템 구축·운영 지침"에 따라, SW 개발단계부터 보안취약점의 원인인 보안약점을 배제하여 개발토록 하고 있다. 지침에 따르면, 사업자(개발자)는 SW 개발보안가이드를 참고하여 안전한 SW를 개발하고 SW 보안약점을 식별하여 제거해야 하며, 행정기관 등 의 장은 감리법인을 통해 사업자(개발자)가 SW 보안약점을 제거하였는지 진단해야한다. 또한 감리법인이 SW 보안약점 진단을 위해 시큐어코딩 진단도구(이하, 진단도구)를 사용하는 경우, 미래창조과학부장관이 고시한 "정보보호시스템 평가·인증 지침"에 따라 정보보호제품 평가·인증된(이하, CC인증) 진단도구를 사용하여야 한다. 본 가이드는 CC인증된 진단도구 의무사용 대상 이외의 사용자가 SW 개발시 참고 및 활용할 수 있는 공개소프트웨어 점검도구 활용 방법에 대한 설명을 담고 있다. 본 가이드에서 제시한 공개소프트웨어 점검도구는 CC인증된 상용 진단도구는 아니지만, 개발자 스스로 점검도구에 손쉽게 접근할 수 있는 방안을 제시하고 있다.

목차

제1장 개요
제1절 배경 5
제2절 가이드 목적 및 구성 7
제2장 공개소프트웨어 점검도구 소개 및 설치 환경
제1절 개요 9
제2절 FindBugs 11
제3절 FindSecurityBugs 13
제4절 PMD 15
제5절 Jenkins 17
제6절 설치환경 20
제3장 FindBugs/FindSecurityBugs 사용 방법
제1절 FindBugs/FindSecurityBugs 설치 23
제2절 FindBugs/FindSecurityBugs 룰 설정 31
제3절 FindBugs/FindSecurityBugs 검사 35
제4장 PMD 사용 방법
제1절 PMD 설치 39
제2절 PMD 룰 설정 43
제3절 PMD 검사 49
제5장 Jenkins 사용 방법
제1절 Jenkins 설치 53
제2절 정적분석을 위한 플러그인 설치 57
제3절 Build 관련 공개SW 연계 설정 59
제4절 Jenkins 실행 71
제5절 Jenkins를 활용한 시큐어코딩 Inspection 활동 80
제6장 사용자 정의 룰(Rule) 작성 및 오탐(False Positive) 관리
제1절 개요 86
제2절 PMD를 활용한 사용자 정의 룰(Rule) 작성 방법 88
제3절 오탐(False Positive) 관리 103
제7장 행자부 47개 보안약점 관련 공개SW 룰(Rule) 분석
제1절 행정자치부 47개 보안약점 관련 공개SW 도구 룰(Rule) 목록 108
제2절 행정자치부 47개 보안약점 관련 공개SW 도구 룰(Rule) 현황 110
부 록
제1절 용어정의 115
제2절 공개 소프트웨어 점검도구 목록 116
제3절 시험 예제코드 117
제4절 참고사이트 119

작가정보

저자(글) 행정자치부

행정자치부