한줄평
“인프라를 실제로 만들기 전에 보안 결함을 걸러 내려는 팀에 유용합니다. 다만 정책 위반 후보가 많이 나올 수 있어 규칙 조정이 필요하고, 실제 런타임 위협까지 잡지는 못합니다.”
이런 분께 인프라 코드를 배포 전에 보안 검사하려는 데브옵스 팀께
좋은 점
- 여러 IaC 형식을 배포 전에 정적 검사
- CI 파이프라인 통합이 쉬움
아쉬운 점
- 오탐이 많아 규칙 튜닝이 필요
- 코드 단계 점검이라 런타임 위협은 못 봄
테라스캔 소개
테라폼·쿠버네티스·도커 등 코드형 인프라(IaC) 설정을 배포 전에 검사하는 정적 분석 명령줄 도구입니다. 보안 규정과 모범 사례에 어긋나는 설정을 찾아, 잘못된 권한이나 공개된 스토리지 같은 위험을 미리 잡아 줍니다. CI 파이프라인에 넣어 인프라 변경이 병합되기 전에 자동 점검하는 용도로 씁니다.
