클라우드 보안 통제 6계층을 빈 골격에서 직접 재구현하고, 이미 만들어 둔 검증 하네스가 PASS/FAIL로 자동채점한다. 정답을 베끼는 게 아니라 — 직접 쓰고, 일부러 부수고, 어디가 왜 막는지 손으로 확인한다.
개념 읽기→골격에 직접 작성(정답 안 봄)→자동채점→일부러 부수기(예측→확인)→구두문답→졸업과제
학습자는 labs/<모듈>/ 만 수정 · 원본은 정답지(졸업 후 diff) · 진도 카운터 N / 7(코어 M0–M6), M7·M8·M9·M10·M11은 졸업 후 심화
| 모듈 | 배우는 것 | 스택 | 소요 | 환경 |
|---|---|---|---|---|
| M0 | 인가 정책을 스펙만 보고 작성 — 소유자·이체한도·역할·동결. 과잉허용 잡기가 핵심 | Cedar | ~3–6h | 무클러스터 |
| M1 | 시프트레프트 triage — 심어둔 16개 위반을 0으로. “0 findings”가 아니라 왜 막는지 | checkov | ~1.5–3h | 무클러스터 |
| M2 | Cilium이 신뢰하는 app 라벨을 파드의 ServiceAccount에 묶기 — 신원 위조 차단 | VAP + CEL | ~30–45m | 클러스터 · RAM 6–8GB |
| M3 | default-deny에서 최소권한 홉(외부→web→api→db)만 열기 + egress 잠그기 | Cilium L3/L7 | ~30–45m | 클러스터 |
| M4 | data tier 셸을 커널에서 SIGKILL — 단 정상 바이너리는 살림. 선택성이 핵심(과잉차단도 결함) | Tetragon eBPF | ~20–35m | 클러스터 |
| M5 | 전송 중(WireGuard)·저장(etcd) 암호화를 직접 실행하고 암호문을 손으로 확인 | WireGuard+etcd | ~30–45m | 클러스터 |
| M6 | 같은 “위임” 문제를 두 모델로 — (A) Cedar ABAC 교집합(confused-deputy 차단) (B) OpenFGA ReBAC 그래프 | Cedar+OpenFGA | ~2–4h | 무클러스터 · Part B Docker |
| 심화 — 졸업 후 선택 (진도 카운터에 미포함) | ||||
| M7 | 계층이 합성될 때의 모순 — Cilium L7 × Cedar PDP의 shadow/ungated 규칙 탐지(JSON/SARIF/HTML) | z3 (SMT) | ~1–2h | 무클러스터 |
| M8 | 탐지 ≠ 차단 경계 — M4 규칙이 어디까지 막고 어디서 새는지 정직하게 측정 | Tetragon | ~30–45m | 클러스터 |
| M9 | 침해 가정 — 공격자가 한 파드를 장악했다 치고, 6계층이 블래스트 반경을 어디까지 봉쇄하는지 측정(제로데이 렌즈) | Tetragon · 전 계층 | ~25–40m | 클러스터 |
| M10 | GitOps 무결성 — drift 자동교정의 윈도우·admission 교착(fighting controllers)·reconciler=새 신원-TCB를 라이브 측정(B7→B8) | ArgoCD | ~40–60m | 클러스터 |
| M11 | exec 허용목록 = LSM — 적재-이미지 신원으로(arg0=rename우회·matchBinaries=caller 함정 회피). kind는 BPF-LSM 없어 SKIP(ED3 불변) | Tetragon BPF-LSM | ~30–50m | 클러스터 |
모두 비용 $0(로컬 kind) · 무클러스터 랩(M0·M1·M6·M7)은 Codespaces에서 0설치로 즉시 채점
인가(authz-as-code)와 스캔 triage. Codespaces 0설치 또는 Python만으로. M0 첫 PASS ~5분. Cedar 레퍼런스·연습 →
신원·네트워크·런타임·암호화. kind를 up → 네 모듈 진행 → down. RAM ~6–8GB.
에이전트 위임 ABAC + ReBAC 그래프. Part B(OpenFGA)만 Docker.
M7 교차계층 형식검증(무클러스터) · M8 런타임 탐지≠차단 측정(클러스터) · M9 침해 가정 블래스트 반경 봉쇄(클러스터) · M10 GitOps 무결성 통제판(클러스터) · M11 BPF-LSM exec 허용목록(클러스터·BPF-LSM 커널).
Docker · kind · kubectl · helm · cilium-cli · terraform, Windows는 Git Bash(.sh 스크립트·채점기).