개발자 포트폴리오 만들면서 느낀점..

깁깁 2025-06-14 12:01:43 0 0
기업에서는 보안적합성 심사를 주기적으로 받는데, IT관련 포폴에 보안 심사를 염두에 둔 포폴이 진짜 깡패임..시스템 만들고 구현하는 건 솔직히 대부분 다 할 수 있거든 근데 다른 차별점으로 보안 관련 내용도 염두에 뒀다라는 걸 포함 시키면(하다 못해 패스워드 규칙 등 주기마다 변경 되는 거, otp 시스템 등등) 진짜 개 깡패임 그냥 디테일이라고 생각할 수 있지만 보안 관련 내용도 추가하믄 되게 되게 좋게 보더라 인사담당자는 모를 수 있는데 실무진이나 그 팀의 팀장아 봤을 때 가산이 꽤 커 좋은 포폴 만들었음 좋겠다..
추천 답글 신고

추천완료
Yeol2 2025-06-14 12:23:11 0 0
오 그래용? 지금 서버용 암호키는 구현한 볼트 중계(스케줄러로 매 토큰 만료시간마다 레디스 ttl구성해 토큰 갱신) 호출 클라이언트애서 나머지 파라미터 일치하면 암호를 호출-주입 하고 있고 유저용을 키클록 애서 유저생성-> 이메일 인증(smtp구성해서발신) 완료시 로그인 하면 토큰으로 신원 확인하고 클래스 헤더에 인증 역할 명시해서 서비스별로 인가 되도록하고 로그아웃시 토큰 폐기 방법 까진 해야하나 과한가 싶어서 고민즁이고.. 뭐 정말 필요하다면 추가적인것도 구현하면 될것 같아요 ㅎㅎ 아 otp를 넣으려면 넣을수 있는데 현재방식으로는 앱에서 등록은 대중적으로 복잡해 보여서.. 음 이매일 발신으로 2차 인증 보내는거 추가하면 괜찮겠내요!ㅎㅎ
추천 신고

추천완료
Yeol2 2025-06-14 12:28:00 0 0
아 그리고 htts 적용되있어요 도메인 발급->letsencr.. 인증서 발급-> 인증서를 서버에 추가해서 사용중입니다
추천 신고

추천완료
깁깁 2025-06-14 12:47:55 0 0
각 os별 보안, 네트웍 등 프로토콜 별 보안(smtp 서버 조차도 isms 심사에 들어가거든요), 로직은 로직대로 두고 보안은 별도로 봐야 합니다. 패스워드 몇 번 실패시 로그인 안 되게 막거나, tls1.0 같이 오래된 ssl 프로토콜은 끄게 냅두고 가까운 리눅스만 봐도 실무에서 보안 땜에 끄는 기능이 많거든요 gpt와 kisa에서 문의 해보셔서 현제 포폴에서 쓰고 계시는 보안 기준을 받아 볼 수 도있을 거예요. 실무에서는 보안 떔에 진짜 드러워서 쓰기 싫을 정도로 해놓습니다. otp 인증, 메일 인증 심하면 어떤 기능을 쓸 때도 결재시스템 태워서 확인 받고 진행하기도 해요.
추천 신고

추천완료
깁깁 2025-06-14 12:48:03 0 0
또 보안에서 간과할 수 있는게 시간입니다(잘 아시겠지만 os로그인 이후, 각 시스템 로그인 이후 ttl값 제한도 있답니다.) os, 솔루션에 대한 기능이 제한된 유저도 생성(보안사항에 해당 어드민 계정하나두고 운영하면 안 됨 무조건 하위 계정으로!) 각 로그인 세션별 ttl, 서비스 별 ttl 프로토콜 별 보안 사항에 위배되진 않는 지.. os에 취약한 기능은 꺼져있는지 등등.. 현업에 종사할 때 진짜 포폴들이 다 상향 평준화 되어서 좋았는데 공통적으로 이야기 되는게 현업 입장에서 보안적인 측면이 많이 빈약하더라구요..오히려 기본적인 로직이였지만, 빈틈없는 보안디테일에 높은 점수 받는 경우가 상당히 많았습니다. 그냥 보안적인 부분도 염두에 주신다면 디테일이 더 업되지 않을까 싶어서 댓글 달아봐요 화이팅 하십셔
추천 신고

추천완료
깁깁 2025-06-14 12:49:02 0 0
렛츠인크립트도 포폴 영억에선 좋습니다. 다만 ssl 프로토콜 빡쌔게 잡아두세요. tls1.0 등 오래된 보안 프로토콜은 위배됩니다.
추천 신고

추천완료
Yeol2 2025-06-14 14:05:20 0 0
ㅎㅎ넹 감사합니다 많이 참고 해야겠내요 ㅠㅠ 지금 핵심 기능은 유저애개 도커 컨태이너를 할당해 컨테이너 내부에서 인공지능 모델 호출해 어플리케이션을 생성 지시 하고 실행 태스트 하는것이고 부가적으로 파일 생성 수정도 되고 인공지능 모델 호출 로직에 도구사용 ,디비호출 ,RAG으로 유사도 기반 데이터 제공 해서 작업 지시 정확도 향상 통합하고있고 인공지능 모댈 호출은 gemini ,mistral ,cohree , 로컬 라마 등 사용하고 있어요 미나이오 스토리지에 파일 보관해서 컨테이너와 파일동기화 되구요 어디서 보고 하는게 아니고 제가 생각한 아이디어로 개발중인데 누구한테 말할데도 없어서 ㅠㅎ 어떨지 궁굼해요
추천 신고

추천완료
깁깁 2025-06-14 14:34:34 0 0
도커가 깔린 os, 도커 네트웍에도 보안이 적용되야 할 것이고...(외부 포트도 80이 아닌 8080:8800(http) 이렇게 웰노운 포트가 외부에 노출 되지 않게 하는 것도 좋습니다.. 쉽게 설명하면 걍 아파치 디폴트가 80, 443인데 8080,8443 이렇게 변환시키는 것 처럼요) 아시겠지만 컨테이너를 쓰면 필연적으로 오케스트레션 도구(도커내에도 자체 기능이 있지만 쿠버네티스 같은,..)도 필요하시겠네요.. 그에 따른 보안적인 측면을 더 신경써야하겠구요ㅋㅋ; 현업에선 도커 컨테이너만 단독으로 쓰이는게 아니라 아시겠지만 컨테이너를 오케스트레이션 도구로 관리하는게 핵심입니다.
추천 신고

추천완료
깁깁 2025-06-14 14:34:44 0 0
도커로 기능 구현도 중요하지만서도 포폴을 받아보는 입장에선 기능 구현도 물론 보지만 편리성이랑 관리적 측면을 많이 봐요. 도커 컨테이너로 구현한다곤 하지만 컨테이너를 빼면 그냥 레거시나 vsphere 환경에서도 구현이 가능한 부분이라고 생각되긴 하네요. 주제 넘는 이야기일 수 있지만 컨테이너에서 어떤 서비스를 구현한다도 중요하지만 그 컨테이너를 확장, 축소가 용이 해야한다고 생각해요. 앞서 말씀 드린 오케스트레이션 도구와의 연동이 없다면 크게 와닿지는 않네요 그냥 물리서버 os에 구현해도 똑같으니까요..ㅎㅎ; 이미 하고 계실 수도 있으니 제 의견은 그냥 보안 디테일이 들어가면 좋겠다 정도로만 받아들이시면 좋겠습니다!
추천 신고

추천완료
Yeol2 2025-06-14 14:41:27 0 0
음.. 핵심은 코드스페이스처럼 개별컨테이너를 유저에게 할당하고 내부에서 작업을 인공지능 호출 해서 어시스턴스로 활용하는거 였는데 그닥 인가보내요..ㅠㅠ
추천 신고

추천완료
깁깁 2025-06-14 14:50:18 0 0
아뇨 말씀해주신 핵심은 제가 이렇다 저렇다 하는 건 절대 아니구요 도커 컨테이너를 쓰신다면 다크 스웜 또는 오케스트레이션 도구를 꼭 쓰셔야 한다는 말씀이였습니다. 구색이라도 맞추시는게 더 구색을 갖춘? 완성도 있다는 부분이였슴다! 컨테이너+오케스트레이션 도구는 필연적이라고 생각하시면 될 듯해요. 물론 컨테이너만 써도 서비스가 안 되는건 아니지만 컨테이너를 쓰는 곳이면 무조건이라고 말씀드릴 수 있을만큼 오케스레이션 도구와 연동은 필연적입니다. 포폴이시니 굳이 추가할 필요는 없지만 구색만 갖추어도 좋을 거 같다는 의견이였슴다. + 추가로 보안적인 부분이 보완된다면 더할나위 없구요 ㅎ
추천 신고

추천완료
Yeol2 2025-06-14 14:56:30 0 0
아 그런 말씀이셨군여.. 오케스트레이션을 코드로 운영하려고 구현하고있었어요 되도록이면 미들웨어보다는 직접 코드로 관리 하고(도커sdk사용) 도커 할당해서 사용해도 직접 주소를 보는게 아니라 호출된 결과를 서버 거쳐서 보기때문에 실제 운영 아이피 노출도 안되게 구성하구용... 조언 감사합니다 ㅎㅎ
추천 신고

추천완료
깁깁 2025-06-14 15:04:33 0 0
ㅎㅎ좋은 포폴 만드시길
추천 신고

추천완료

개발자 포트폴리오 만들면서 느낀점.. [13]