전문가 인터뷰: Oscar Quintas와 함께하는 Infrastructure as Code

기술 스타트업에서 일하는 가장 큰 즐거움 중 하나는 함께 일하며 만나는 흥미롭고 뛰어난 동료들입니다. 멋진 아이디어를 시장에서 경쟁력 있는 서비스로 성장시키려면 어벤져스(또는 취향에 따라 저스티스 리그)와 같은 최고의 팀을 꾸려야 합니다.

이러한 맥락에서 저희 팀의 전문가인 오스카 퀸타스를 소개합니다. 그는 제품 콘텐츠 팀의 수석 보안 연구원으로, 코드형 인프라(IaC) 분야의 마법사 같은 존재입니다. 현재까지 178개가 넘는 IaC 플랫폼 챌린지를 직접 설계했으며, 이 뜨거운 주제에 관한 모든 궁금증을 해결해 주는 해결사이기도 합니다.

그는 정말 특별한 동료이기에 여러분께 더 자세히 소개해 드리고자 합니다. 오스카가 전하는 코드형 인프라 보안에 대한 통찰과 그의 역할, 그리고 기업이 클라우드 인프라와 엔지니어를 더 잘 준비시키기 위해 무엇을 해야 하는지 확인해 보세요.

Q: Secure Code Warrior에서의 역할과 평소 일과에 대해 말씀해 주세요.

A: 저는 제품 콘텐츠 팀의 수석 보안 연구원으로 일하고 있습니다. 평소에는 파이썬, 자바, 골랭 등 다양한 언어로 작성된 챌린지 코드를 검토하며 코드 품질 표준을 준수하고 보안 모범 사례가 잘 적용되었는지 확인합니다. 또한 새로운 IaC 콘텐츠를 개발하는 업무도 수행합니다.

Q: 저희 IaC 플랫폼 챌린지를 모두 설계하신 장본인이신데, 어떤 과정을 거쳐 작업하시나요?

A: 연구와 더불어 다양한 숙련도의 사용자들에게 높은 관련성과 참여를 이끌어낼 수 있는 콘텐츠를 만들기 위해 노력합니다. 보통 사용자들이 인프라를 배포할 때 겪는 가장 흔한 문제들을 파악하고, 이를 바탕으로 각 사례별 보안 모범 사례를 보여줄 수 있는 유용한 챌린지를 개발합니다.

저는 항상 우리 워리어들에게 훌륭한 학습 경험을 제공하고, 실무에 즉시 활용할 수 있는 유익한 연습이 되도록 노력하고 있습니다.

Q: IaC 보안은 현재 매우 인기 있는 주제입니다. 기업들이 클라우드 보안 관행에서 직면하는 주요 문제는 무엇인가요?
A: 코드형 인프라는 코드를 사용하여 인프라 리소스를 관리하는 것을 의미합니다. 단 몇 줄의 코드로 수백 개의 클라우드 리소스(네트워크, 방화벽 규칙, 가상 머신, 컨테이너 등)를 배포할 수 있는데, 제대로 설정하지 않으면 보안 취약점이 발생할 수 있습니다. 따라서 애플리케이션 배포에 적용되는 보안 원칙을 IaC에도 동일하게 적용해야 하며, SDLC에 참여하는 모든 팀이 이러한 위험과 해결 방법을 이해해야 합니다.

이러한 인식과 실천은 적절한 IaC 보안 교육에서 시작되며, 클라우드 엔지니어의 보안 코딩 역량을 우선시해야 합니다. 엔지니어들은 강력한 방어막이 될 수 있으며, 특히 애플리케이션이 호스팅되는 인프라를 구축할 때 이들의 역할은 매우 중요합니다.

Q: 쿠버네티스에 대한 업계의 관심이 매우 높고 널리 사용되는 것 같습니다. 하지만 저희 플랫폼 데이터에 따르면 테라폼(Terraform)이 압도적으로 인기 있는 언어로 나타나고 있습니다. 테라폼이 이렇게 각광받는 이유에 대해 어떻게 생각하시나요?
A: 테라폼은 간단한 구문으로 멀티 클라우드 환경(AWS, GCP, Azure 등)에서 인프라 리소스를 배포할 수 있게 해주기 때문에 IaC의 사실상 표준 언어로 자리 잡았습니다. 코드로 인프라를 정의하고 클라우드 API와 투명하게 상호작용하여 리소스 배포를 관리할 수 있다는 점이 큰 장점입니다.

테라폼은 활용도가 매우 높으며, 소스 제어 저장소에 추가할 수 있어 인프라 배포에도 데브옵스(DevOps) 및 데브섹옵스(DevSecOps) 원칙을 적용할 수 있습니다. 하지만 이로 인해 새로운 위협이 발생할 수도 있으므로, 테라폼을 활용한 보안 코딩에 대한 포괄적인 교육은 필수입니다.

Q: IaC 보안 전문가로서, 이 직업의 가장 좋은 점은 무엇인가요?
A: IaC는 아직 초기 단계라 새로운 기술이 자주 등장합니다. 이러한 최신 기술을 따라가는 것이 다소 어렵게 느껴질 때도 있지만, 그만큼 보람도 큽니다. 저는 새로운 것을 배우고 새로운 서비스에 대한 보안 모범 사례를 테스트하는 과정을 정말 좋아합니다.

IaC 보안 역량을 한 단계 더 높여보세요.

클라우드 개발자의 IaC 보안 기술을 연마하고 싶다면, 저희의 IaC Top 8 챌린지에 도전해 보세요! 각 챕터를 읽으며 8가지 일반적인 IaC 보안 취약점을 파악하고, 대화형 챌린지를 통해 새로운 지식을 테스트할 수 있습니다.

도전 결과를 공유하고 오스카를 뿌듯하게 만들어 주세요!