Aurea 명세
IaC 보안을 위한 골든 스탠다드
명세 개요
Aurea는 소프트웨어 개발 및 인프라 배포 수명 주기 전반에 걸쳐 지속적인 보안 분석을 제공하도록 설계된 완전한 오픈소스, AI 기반 Infrastructure-as-Code 보안 명세입니다.
Aurea는 인프라 정의를 분석하고, 취약점과 잘못된 구성을 식별하며, 보안 및 규정 준수 정책을 평가하고, AI 지원 교정을 제공하며, CI/CD 및 GitOps 워크플로에 직접 통합됩니다.
Aurea는 모듈식 보안 시스템으로 설계되었습니다. 핵심 모듈은 명세에서 요구하는 기반 보안 기능을 제공합니다. 선택적 플러그인 모듈은 추가 인프라 형식, 클라우드 제공자, 규정 준수 프레임워크, AI 시스템, 통합, 보고 시스템 및 특수 보안 기능으로 Aurea를 확장합니다.
Aurea는 로컬 우선 운영, 벤더 중립성, 설명 가능한 AI, 최소 권한, 제로 트러스트 원칙, 인간 감독, 재현성 및 완전한 서비스 격리를 중심으로 설계되었습니다.
설계 목표
- 오픈소스 IaC 보안 자동화 제공
- 배포 전 인프라 취약점 탐지
- 보안을 CI/CD 파이프라인에 직접 통합
- 지속적인 인프라 보안 검증 지원
- 결정론적 분석과 AI 지원 분석 결합
- 설명 가능한 보안 발견 사항 제공
- 컨텍스트와 영향에 따라 보안 위험 우선순위 지정
- 실행 가능한 교정 지침 제공
- Policy-as-Code 지원
- 규정 준수 검증 지원
- 인프라 드리프트 탐지 제공
- 개발 및 배포 환경 전반의 보안 테스트 지원
- 통제된 적대적 AI 테스트 지원
- 서비스와 AI 에이전트 간의 엄격한 격리 유지
- 독점 인프라 없이 엔터프라이즈 거버넌스 제공
- 모듈식 및 확장 가능하게 유지
- 벤더 종속 회피
- 실용적인 경우 로컬 및 오프라인 보안 분석 지원
핵심 아키텍처 원칙
모듈식 설계
Aurea는 명확한 인터페이스와 책임을 가진 독립적으로 정의된 모듈로 구성됩니다.
핵심 모듈은 필수 Aurea 기능을 제공합니다.
선택적 플러그인 모듈은 핵심 보안 엔진을 변경할 필요 없이 Aurea를 확장합니다.
모듈은 문서화된 인터페이스를 통해 통신해야 하며 불필요한 결합을 요구해서는 안 됩니다.
로컬 우선 보안
Aurea는 실용적인 경우 로컬 실행을 지원해야 합니다.
보안 분석은 인프라 코드, 자격 증명, 시크릿 또는 보안 발견 사항을 외부 서비스로 전송할 것을 요구해서는 안 됩니다.
외부 서비스는 필수 종속성이 아닌 선택적 통합이어야 합니다.
기본 보안
Aurea는 기본적으로 제한적인 보안 설정을 사용해야 합니다.
안전하지 않은 기능은 명시적 권한 부여를 요구해야 합니다.
영향이 큰 작업은 명시적 정책 권한 부여와, 구성된 경우 인간의 승인을 요구해야 합니다.
최소 권한
모든 Aurea 서비스, 모듈, 플러그인, 통합 및 AI 에이전트는 할당된 기능을 수행하는 데 필요한 권한만 받아야 합니다.
제로 트러스트 아키텍처
Aurea 서비스는 서로를 암묵적으로 신뢰해서는 안 됩니다.
인증, 권한 부여 및 기능 검증은 서비스 경계에서 발생해야 합니다.
완전한 서비스 격리
Aurea는 서비스, 플러그인, AI 에이전트, 평가 환경, 자격 증명 및 대상 인프라 간의 엄격한 격리를 유지해야 합니다.
보안 경계는 AI 지침에만 의존하지 않고 실행 환경과 정책 엔진에 의해 강제되어야 합니다.
핵심 모듈
IaC 분석 모듈
IaC 분석 모듈은 Infrastructure-as-Code를 위한 기반 분석 엔진을 제공합니다.
지원되는 인프라 형식
- Terraform
- Kubernetes 매니페스트
- Dockerfile
- Ansible
- CloudFormation
- Helm
- 플러그인을 통한 추가 형식
분석 기능
- IaC 파싱
- 구문 분석
- 의미 분석
- 구성 분석
- 잘못된 구성 탐지
- 안전하지 않은 기본값 탐지
- 과도한 권한 탐지
- 공개 노출 탐지
- 네트워크 보안 분석
- ID 및 액세스 분석
- 암호화 구성 분석
- 스토리지 보안 분석
- 로깅 구성 분석
- 모니터링 구성 분석
- 백업 구성 분석
- 컨테이너 구성 분석
- 인프라 종속성 분석
- 인프라 공격 표면 분석
- 제로 트러스트 준비 상태 분석
보안 규칙 모듈
보안 규칙 모듈은 결정론적 보안 탐지를 제공합니다.
기능
- 내장 보안 규칙
- 사용자 정의 보안 규칙
- 규칙 심각도
- 규칙 카테고리
- 규칙 식별자
- 규칙 설명
- 규칙 교정 지침
- 규칙 버전 관리
- 규칙 검증
- 규칙 테스트
- 규칙 억제
- 규칙 예외
- 규칙 만료
- 규칙 상속
- 규칙 충돌 탐지
- 조직별 규칙
시크릿 보안 모듈
시크릿 보안 모듈은 잠재적으로 노출된 자격 증명과 민감한 정보를 식별합니다.
기능
- 하드코딩된 시크릿 탐지
- 자격 증명 탐지
- API 키 탐지
- 토큰 탐지
- 개인 키 탐지
- 비밀번호 탐지
- 시크릿 패턴 분석
- 시크릿 마스킹
- 시크릿 노출 보고
- 시크릿 교정 지침
- IaC 내 시크릿 스캔
- 구성 파일 내 시크릿 스캔
모듈은 발견된 시크릿이 로그, 보고서, AI 프롬프트 또는 외부 통합에서 불필요하게 노출되는 것을 방지해야 합니다.
종속성 및 공급망 모듈
종속성 및 공급망 모듈은 인프라와 관련된 종속성을 평가합니다.
기능
- IaC 모듈 분석
- Terraform 모듈 분석
- 컨테이너 이미지 분석
- 종속성 취약점 탐지
- 종속성 버전 분석
- 알려진 취약점 상관 관계
- 종속성 출처 분석
- 공급망 위험 분석
- 종속성 위험 점수화
- 종속성 업데이트 권장 사항
- 지원되는 경우 악성 종속성 탐지
- 종속성 정책 시행
위험 인텔리전스 모듈
위험 인텔리전스 모듈은 보안 발견 사항을 평가하고 우선순위를 지정합니다.
기능
- 심각도 분류
- 위험 점수화
- 비즈니스 영향 점수화
- 악용 가능성 점수화
- 노출 점수화
- 자산 중요도 점수화
- 복합 위험 점수화
- 위험 우선순위 지정
- 위험 집계
- 위험 상관 관계
- 위험 추세 분석
- 위험 경과 분석
- 위험 히트맵
- 공격 경로 우선순위 지정
- 환경 인식 위험 점수화
- 사용자 정의 조직 위험 모델
- 위험 수용 워크플로
AI 보안 분석 모듈
AI 보안 분석 모듈은 AI 지원 인프라 보안 분석을 제공합니다.
기능
- AI 기반 IaC 분석
- 컨텍스트 인식 보안 분석
- 인프라 아키텍처 이해
- 파일 간 추론
- 리소스 간 추론
- 언어 간 추론
- 보안 의도 탐지
- AI 이상 탐지
- AI 위협 모델링
- 공격 경로 추론
- 예측 위험 분석
- 예측 잘못된 구성 분석
- 오탐 감소
- AI 신뢰도 점수화
- 설명 가능한 AI 발견 사항
- 자연어 보안 쿼리
- 자연어 인프라 분석
- AI 생성 보안 권장 사항
- AI 지원 규정 준수 분석
- AI 지원 정책 생성
AI 생성 발견 사항은 결정론적 보안 발견 사항과 구별 가능해야 합니다.
AI 에이전트 모듈
AI 에이전트 모듈은 Aurea 보안 워크플로를 위한 통제된 AI 에이전트를 제공합니다.
에이전트 유형
- 보안 분석가 에이전트
- 코드 리뷰 에이전트
- 인프라 보안 에이전트
- 레드팀 에이전트
- 블루팀 에이전트
- 교정 에이전트
- 정책 에이전트
- 규정 준수 에이전트
- 위협 분석 에이전트
에이전트 제어
- 에이전트 ID
- 에이전트 인증
- 에이전트 권한 부여
- 기능 프로필
- 도구 권한
- 파일 권한
- 네트워크 권한
- API 권한
- 리소스 제한
- 실행 제한
- 작업 제한
- 대상 제한
- 에이전트 활동 로깅
- 에이전트 결정 감사
- 에이전트 종료 제어
AI 에이전트는 스스로 추가 권한을 부여할 수 없어야 합니다.
Policy-as-Code 모듈
Policy-as-Code 모듈은 중앙 집중식 보안 정책 시행을 제공합니다.
기능
- 보안 정책
- 규정 준수 정책
- 조직 정책
- 프로젝트 정책
- 환경 정책
- 정책 상속
- 정책 버전 관리
- 정책 예외
- 정책 만료
- 정책 테스트
- 정책 검증
- 정책 충돌 탐지
- 정책 시행
- 정책 시뮬레이션
- 자연어 정책 생성
- AI 지원 정책 생성
규정 준수 모듈
규정 준수 모듈은 인프라 구성을 보안 및 규제 요구 사항에 매핑합니다.
기능
- CIS 매핑
- SOC 2 매핑
- ISO 27001 매핑
- HIPAA 매핑
- GDPR 매핑
- 사용자 정의 규정 준수 프레임워크
- 규정 준수 점수화
- 규정 준수 범위 분석
- 규정 준수 격차 분석
- 증거 수집
- 감사 준비 보고
- 규정 준수 추세 분석
- 규정 준수 정책 시행
교정 모듈
교정 모듈은 보안 교정 권장 사항과 통제된 자동 수정을 제공합니다.
기능
- 교정 권장 사항
- 보안 구성 예시
- AI 생성 패치
- AI 생성 IaC 수정
- 자동 수정 제안
- 교정 미리보기
- 교정 검증
- 교정 후 재스캔
- 롤백 지원
- 수정 우선순위 지정
- 교정 추적
- 교정 이력
- 수정 효과 분석
자동 교정은 구성 가능해야 하며 영향이 큰 작업에 대해 인간의 승인을 지원해야 합니다.
CI/CD 보안 모듈
CI/CD 보안 모듈은 Aurea를 개발 파이프라인에 직접 통합합니다.
기능
- 파이프라인 네이티브 스캔
- 풀 리퀘스트 스캔
- 머지 리퀘스트 스캔
- 커밋 트리거 스캔
- 사전 커밋 스캔
- 변경 파일 스캔
- 증분 스캔
- 전체 저장소 스캔
- 파이프라인 보안 게이트
- 구성 가능한 실패 임계값
- 경고 전용 모드
- 보안 승인 게이트
- 빌드 차단
- 배포 보호
- 파이프라인 아티팩트
- 보안 결과 게시
CI/CD 플랫폼
- GitHub Actions
- GitLab CI
- Jenkins
- CircleCI
- Bitbucket Pipelines
- 일반 CI/CD 시스템
CLI 모듈
CLI 모듈은 로컬 및 자동화된 명령줄 액세스를 제공합니다.
기능
- 로컬 스캔
- 저장소 스캔
- 디렉터리 스캔
- 파일 스캔
- 구성 관리
- 정책 실행
- 보고서 생성
- AI 쿼리
- 발견 사항 관리
- 교정 워크플로
- 파이프라인 실행
- 기준선 관리
- 플러그인 관리
개발자 보안 모듈
개발자 보안 모듈은 개발 워크플로 내에서 직접 보안 피드백을 제공합니다.
기능
- 개발자 친화적 발견 사항
- 인라인 보안 지침
- 풀 리퀘스트 코멘트
- 머지 리퀘스트 코멘트
- 사전 커밋 훅
- IDE 통합
- 편집기 진단
- 보안 구성 예시
- 교정 지침
- 발견 사항 소유권
- 발견 사항 억제
- 발견 사항 만료
인프라 인텔리전스 모듈
인프라 인텔리전스 모듈은 인프라의 보안 인식 표현을 생성합니다.
기능
- 인프라 인벤토리
- 리소스 검색
- 리소스 분류
- 리소스 관계 매핑
- 인프라 종속성 그래프
- 보안 아키텍처 시각화
- 인터넷 노출 매핑
- 네트워크 토폴로지 분석
- IAM 관계 분석
- 인프라 공격 그래프
- 구성 종속성 분석
- 환경 비교
드리프트 탐지 모듈
드리프트 탐지 모듈은 선언된 인프라와 배포된 인프라를 비교합니다.
기능
- IaC-런타임 비교
- 구성 드리프트 탐지
- 무단 변경 탐지
- 드리프트 이력
- 드리프트 분류
- 드리프트 위험 점수화
- 드리프트 교정 권장 사항
- 런타임-IaC 조정
- 지속적 드리프트 모니터링
런타임 보안 모듈
런타임 보안 모듈은 선택적 지속적 인프라 보안 분석을 제공합니다.
기능
- 런타임 구성 모니터링
- 클라우드 이벤트 트리거 스캔
- Kubernetes 이벤트 트리거 스캔
- 런타임 정책 검증
- 구성 변경 추적
- 런타임 이상 탐지
- 런타임 위험 점수화
- 런타임-IaC 비교
클라우드 보안 모듈
클라우드 보안 모듈은 클라우드 인프라 보안 분석을 제공합니다.
지원 플랫폼
- AWS
- Microsoft Azure
- Google Cloud
- OpenStack
- 하이브리드 환경
기능
- 클라우드 계정 분석
- 클라우드 프로젝트 분석
- 클라우드 리소스 분석
- 클라우드 포스처 분석
- 클라우드 간 위험 분석
- 클라우드 간 정책 시행
- 클라우드 구성 검증
컨테이너 및 Kubernetes 보안 모듈
컨테이너 및 Kubernetes 보안 모듈은 컨테이너화된 인프라 보안 분석을 제공합니다.
기능
- Kubernetes 보안 분석
- Pod 보안 분석
- 네임스페이스 보안 분석
- RBAC 분석
- 네트워크 정책 분석
- 서비스 노출 분석
- Ingress 보안 분석
- 컨테이너 권한 분석
- 이미지 구성 분석
- Dockerfile 분석
- 컨테이너 취약점 통합
- Helm 분석
- Kubernetes 정책 시행
- GitOps 보안 검증
협업 모듈
협업 모듈은 팀 기반 보안 워크플로를 제공합니다.
기능
- 발견 사항 할당
- 작업 관리
- 발견 사항 코멘트
- 보안 논의
- 교정 소유권
- 에스컬레이션 워크플로
- 팀 대시보드
- 개발자 대시보드
- 보안 대시보드
- 경영진 대시보드
- 팀 보안 스코어카드
- 보안 알림
- 중요 위험 경고
- 교정 알림
- 협업 이력
엔터프라이즈 거버넌스 모듈
엔터프라이즈 거버넌스 모듈은 조직 전체의 보안 제어를 제공합니다.
기능
- 역할 기반 액세스 제어
- 멀티 테넌트 아키텍처
- 팀 권한
- 프로젝트 권한
- 환경 권한
- 조직 거버넌스
- 중앙 집중식 정책 관리
- 엔터프라이즈 정책 상속
- 거버넌스 대시보드
- 팀 간 가시성
- 프로젝트 간 가시성
- 중앙 집중식 발견 사항 관리
- 보안 소유권
- 승인 워크플로
- 예외 관리
- 위험 수용
- 관리 활동 로깅
- AI 결정 감사
- 교정 감사
보고 및 분석 모듈
보고 및 분석 모듈은 보안 가시성과 이력 분석을 제공합니다.
기능
- 보안 포스처 대시보드
- 위험 대시보드
- 규정 준수 대시보드
- 인프라 대시보드
- 경영진 요약
- 개발자 대시보드
- 이력 추세 분석
- 취약점 추세
- 잘못된 구성 추세
- 규정 준수 추세
- 팀 성과 지표
- 평균 교정 시간 추적
- 미해결 위험 추적
- 위험 경과 분석
- 사용자 정의 보고서
- 예약 보고서
- 감사 증거 내보내기
출력 형식
- HTML
- PDF
- JSON
- YAML
- SARIF
- CLI 출력
위협 인텔리전스 모듈
위협 인텔리전스 모듈은 인프라 발견 사항을 보안 인텔리전스와 상관 관계를 맺습니다.
기능
- CVE 인텔리전스
- 보안 권고 통합
- IaC 모듈 인텔리전스
- 컨테이너 이미지 인텔리전스
- 위협 패턴 라이브러리
- 잘못된 구성 지식 베이스
- 공격 패턴 상관 관계
- 신종 위협 탐지
- 위협 정보 기반 위험 점수화
- 보안 인텔리전스 업데이트
- 위협 인텔리전스 이력
시뮬레이션 및 테스트 모듈
시뮬레이션 및 테스트 모듈은 배포 전 통제된 보안 테스트를 제공합니다.
기능
- IaC 시뮬레이션
- What-if 분석
- 구성 비교
- 배포 전 테스트
- 배포 영향 분석
- 정책 영향 분석
- 보안 회귀 테스트
- 인프라 테스트 시나리오
- 샌드박스 검증
- 공격 경로 시뮬레이션
- 교정 시뮬레이션
- 구성 변경 미리보기
AI 보안 해커톤 모듈
AI 보안 해커톤 모듈은 AI 시스템이 서로의 보안 기능을 테스트하고 평가할 수 있는 격리된 환경을 제공합니다.
AI 대 AI 테스트
