Mond

더 많은 화면 · More previews

📚 어떤 OSS인가요? · What is Mond?

• 무엇을 푸는가 — DevSecOps 도구가 너무 흩어져 있고, 발견사항이 너무 많고, 의사결정은 너무 느립니다. Mond는 AI가 1차 분석해서 사람이 결정만 하면 되는 흐름을 만듭니다.
• 어떻게 다른가 — 클라우드 / 스캐너 / AI provider / IdP — 어디에도 묶이지 않습니다. 어댑터로 갈아끼우고, 한국어가 1급 시민입니다.
• 어디로 가는가 — v0.2: 자산 자동 동기화 · RAG 기반 AI Insights · OPA Rego 평가 · CI 패키지 · SBOM diff · 스캐너 자동 라우팅 등 11개 항목 완료. v0.3: 멀티 워크스페이스 · ISMS-P 증빙 패키지 · GitLab/Bitbucket 동기화 · vLLM 게이트웨이 완료. 다음(v0.4): 멀티 클러스터 K8s 자동 동기화, AWS Auto-scaling, 자원 전체 워크스페이스 분리.

📖 자세한 이야기는 → docs/ABOUT.md 🛠️ 설치·운영 가이드 → docs/SETUP.md

In English: a vendor-neutral, self-service DevSecOps platform that consolidates asset inventory, scanning, AI-triaged findings, IAM access requests, policy simulation, and regulation mapping into a single flow. Bring your own scanners (Trivy/Semgrep/Nuclei/...), your own AI provider (Anthropic/OpenAI/Bedrock/Ollama), your own IdP (Keycloak/Okta/Google). See docs/ABOUT.md and docs/SETUP.md.

⚡ 시작하기 · Get started

🐳 Docker Compose — 30초 데모 (로컬·평가용)

git clone https://github.com/jland-93/mond.git && cd mond
cp .env.example .env
# (선택) ANTHROPIC_API_KEY를 .env에 넣으면 실제 Claude 분석이 동작합니다.
docker compose up -d

• 프론트 → http://localhost:3000
• 백엔드 docs → http://localhost:8000/docs
• 첫 가입자가 자동 ADMIN. MFA(패스키 or TOTP) 1회 등록 후 진입.

⛵ Helm chart — 운영 배포 (Kubernetes)

OCI 레지스트리에 자동 배포되는 차트로 한 줄 설치:

helm install mond oci://ghcr.io/jland-93/charts/mond \
  --version 0.3.1 \
  -n mond --create-namespace \
  -f charts/mond/values-prod.yaml \
  --set ingress.hosts[0].host=mond.your-corp.com \
  --set secrets.existingSecret=mond-secrets

• 차트 소스 → charts/mond/ (values.yaml · values-prod.yaml)
• 자동 배포 → 태그 push 시 .github/workflows/release.yml helm job
• 컨테이너 이미지 → ghcr.io/jland-93/mond-backend:<ver> · …-frontend:<ver> (multi-arch amd64/arm64)
• EKS / GKE / AKS 권장 설정 · 시크릿 관리(External-Secrets) → docs/SETUP.md Part 2

🛠️ SSO · MFA · AI provider 전환 · 관리자 초기 세팅 → docs/SETUP.md

🤖 GitHub Actions — 한 줄 통합

CI/CD에서 push 또는 PR마다 Mond 스캔을 자동 트리거. Security Settings에서 webhook 토큰 발급 → repo secrets에 등록 → workflow에 다음 step 한 줄.

- name: Mond scan
  uses: jland-93/mond/.github/actions/mond-scan@main
  with:
    mond_host: mond.your-corp.com
    webhook_token: ${{ secrets.MOND_WEBHOOK_TOKEN }}
    asset_id: 42          # Mond UI Assets 페이지에서 ID 확인
    scanner: trivy        # trivy | semgrep | nuclei

자동 생성된 YAML은 Mond Security Settings → Personal Webhook Tokens → CI 스니펫 생성에서도 받을 수 있습니다.

📋 Overview

Mond (독일어로 "달")은 어떤 클라우드든 어떤 스캐너든 상관없이 동작하는, AI 기반 셀프서비스 DevSecOps 플랫폼입니다. 자산 / 스캔 / 발견사항 / 정책을 단일 모델로 다루고, Claude를 활용해 발견된 이슈를 자동 트리아지 하고 수정 가이드까지 제시합니다.

🎯 Why Mond?

• 벤더 비종속 — Trivy / Semgrep / Nuclei를 어댑터로 통합. AWS / 특정 클라우드에 묶이지 않음.
• AI 셀프서비스 — Claude가 발견사항을 분석해 severity 재평가, 수정 코드 제안, 자연어 쿼리 응답.
• 즉시 사용 — docker compose up 한 줄. 스캐너 바이너리가 없으면 stub 모드로 UI 데모.
• 모듈식 — 새 스캐너는 ScannerAdapter 한 클래스로 추가.
• Mond 다크 테마 — 가독성 높은 달빛 무드 (다크 네이비 + 보라 글로우).

✨ 핵심 기능

한국어 기본 · 영어 보조 (i18n)

UI는 한국어를 기본으로 표시하며, 우측 상단 토글로 영어로 전환할 수 있습니다. DEFAULT_LOCALE=ko|en로 초기값을 바꿀 수 있고, 선택은 브라우저 localStorage에 지속됩니다.

셀프서비스 자동화

🏗️ 아키텍처

graph LR
    UI[Web UI<br/>React + Vite + Ant Design]
    API[REST API<br/>FastAPI + asyncpg]
    AI[AI Engine<br/>Anthropic Claude]
    SCAN[Scanner Adapters<br/>Trivy · Semgrep · Nuclei]
    DB[(PostgreSQL)]
    R[(Redis)]

    UI -->|/api/v1| API
    API --> DB
    API --> R
    API --> AI
    API --> SCAN

5개 핵심 도메인: Asset · Scan · Finding · Policy · AIInsight

• Asset — 보호 대상 (URI + 라벨 + 환경)
• Scan — 어댑터 1회 실행 결과
• Finding — fingerprint 기반 dedup된 보안 이슈
• Policy — 룰셋 + 컴플라이언스 매핑
• AIInsight — Claude가 만든 triage / remediation / explain

🚀 Quick Start

사전 요구사항

• Docker & Docker Compose
• (선택) ANTHROPIC_API_KEY — 없어도 기본 규칙 모드로 모든 화면이 동작합니다.

실행

git clone https://github.com/jland-93/mond.git
cd mond
cp .env.example .env
# .env에 ANTHROPIC_API_KEY를 넣으면 실제 Claude 분석이 작동합니다.
docker compose up -d

• 백엔드 API: http://localhost:8000/docs
• 프론트엔드: http://localhost:3000

첫 부팅 시 데모 자산 3개(레포 / 컨테이너 이미지 / URL)와 정책 3개가 자동 시드됩니다.

첫 ADMIN 로그인 — 막힘 방지 가이드

/login 화면에 이메일을 입력해 첫 로그인하는 사용자가 자동으로 ADMIN으로 가입됩니다. ADMIN은 기본 MFA_REQUIRED_ROLES=admin,reviewer 정책에 따라 즉시 /mfa로 이동하며, 패스키 또는 TOTP 중 하나를 인라인으로 등록해야 합니다.

만약 잠겼다면 — 운영자 복구 CLI

비밀번호 매니저 분실 등으로 모든 MFA factor에 접근할 수 없게 됐을 때:

docker compose exec backend python -m scripts.admin_unlock [email protected]
# 또는 확인 프롬프트 없이:
docker compose exec backend python -m scripts.admin_unlock [email protected] --yes

해당 사용자의 모든 MFA factor (패스키·TOTP·백업코드)가 삭제되고, 다음 화면에서 첫 등록 화면이 다시 보입니다. 사용자 데이터·자산·정책은 그대로 유지됩니다.

MFA 강제 완화 (개발/데모 환경)

데모 환경에서 MFA 강제를 끄고 싶다면 .env에:

# 아무도 강제 안 함 (옵션으로만)
MFA_REQUIRED_ROLES=
# 또는 ADMIN만 빼기
MFA_REQUIRED_ROLES=reviewer

운영에서는 반드시 admin,reviewer 이상 유지를 권장합니다.

로컬 개발 (도커 없이)

# 백엔드
cd backend
python -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
DATABASE_URL=postgresql+asyncpg://mond:mond@localhost:5432/mond \
  uvicorn main:app --reload

# 프론트엔드
cd frontend
npm install
npm run dev

운영 배포 — Kubernetes (Helm)

태그가 푸시되면 ghcr.io에 mond-backend/mond-frontend 이미지와 OCI Helm 차트가 자동 배포됩니다.

# 1) 시크릿 미리 생성 (External-Secrets/Sealed-Secrets로 대체 가능)
kubectl create ns mond
kubectl -n mond create secret generic mond-secrets \
  --from-literal=SECRET_KEY="$(python -c 'import secrets;print(secrets.token_urlsafe(48))')" \
  --from-literal=ANTHROPIC_API_KEY="sk-ant-..." \
  --from-literal=SSO_PROVIDERS="keycloak" \
  --from-literal=SSO_KEYCLOAK_ISSUER="https://keycloak.your-corp.com/realms/mond" \
  --from-literal=SSO_KEYCLOAK_CLIENT_ID="mond" \
  --from-literal=SSO_KEYCLOAK_CLIENT_SECRET="..." \
  --from-literal=DATABASE_URL="postgresql+asyncpg://user:pwd@rds.../mond" \
  --from-literal=REDIS_URL="redis://elasticache.../0"

# 2) Helm 설치 (OCI 레지스트리)
helm install mond oci://ghcr.io/jland-93/charts/mond \
  --version 0.3.1 \
  -n mond \
  -f charts/mond/values-prod.yaml \
  --set ingress.hosts[0].host=mond.your-corp.com

자세한 옵션: charts/mond/values.yaml · charts/mond/values-prod.yaml

EKS 가이드

운영 환경(ENVIRONMENT=production)에서는 약한 SECRET_KEY/DEBUG=true/AUTH_MODE=dev/SESSION_SECURE=false 조합을 부팅 단계에서 거부합니다 (backend/app/core/config.py).

🤖 AI 동작 방식

자기 환경의 AI API를 직접 끌어다 씁니다. 모든 provider가 같은 추상화 layer를 통해 호출되며, .env에서 한 줄로 전환됩니다.

키를 설정하지 않으면 기본 규칙 fallback으로 모든 UI가 작동합니다. 응답에는 항상 {provider}:{model} 라벨이 함께 기록되어 출처 추적이 가능합니다.

# 예) GPT를 쓰는 조직
AI_PROVIDER=openai
OPENAI_API_KEY=sk-proj-...
OPENAI_MODEL_DEFAULT=gpt-4o-mini

# 예) 사내 폐쇄망에서 Ollama로
AI_PROVIDER=ollama
OLLAMA_BASE_URL=http://ollama.internal:11434
OLLAMA_MODEL_DEFAULT=llama3.1:8b

🧩 스캐너 어댑터

backend/app/scanners/에서 새 어댑터를 만들 수 있습니다.

class MyAdapter(ScannerAdapter):
    name = "my-tool"
    supported_asset_types = (AssetType.REPOSITORY.value,)

    async def scan(self, asset: Asset) -> ScanResult:
        ...
        return ScanResult(findings=[...], raw_output={...})

registry.py에 한 줄 등록하면 UI 메뉴(Integrations) + 스캔 트리거(Scans)에 즉시 노출됩니다. 바이너리가 없을 때는 stub 결과를 반환하도록 구현해 사용자가 빈 화면을 보지 않도록 하는 것을 권장합니다.

기본 동봉 어댑터:

• Trivy — 컨테이너 이미지 / IaC / SBOM
• Semgrep — 정적 코드 분석 (SAST)
• Nuclei — 템플릿 기반 동적 스캔 (DAST)

🗺️ 로드맵

• 5도메인 + AI 트리아지 MVP
• Trivy / Semgrep / Nuclei stub 어댑터
• 한국어/영어 i18n (ko 기본 · en 보조)
• Regulations Guide (K-PIPA · ISMS-P · K-EFSA · CSAP · GDPR · HIPAA · PCI-DSS · SOC2 · ISO-27001 · COPPA · EU AI Act)
• Policy Simulation (PR diff 미리보기)
• SBOM / Compliance 리포트 (JSON · Markdown)
• GitHub Webhook 자동 스캔
• Slack / Discord / MS Teams / Generic Webhook 알림 (채널별 포맷 변환)
• MCP 서버 (stdio + HTTP/SSE)
• 멀티유저 + RBAC + OIDC SSO (Keycloak · Okta · Google)
• MFA — 패스키(WebAuthn/FIDO2) + TOTP + 백업 코드
• IAM 셀프서비스 — AWS · Kubernetes · LDAP/AD · GCP · Azure (5종 어댑터)
• Helm 차트 (charts/mond) + 운영용 멀티스테이지 Docker 이미지
• AI provider 추상화 — Anthropic · OpenAI · AWS Bedrock · Ollama(로컬)

v0.2 로드맵 — 완료 (v0.2.0 릴리스)

핵심 기능:

• SBOM 실 의존성 추출 — package.json · package-lock.json · requirements.txt · go.mod · Dockerfile 5종 파서 + Reports UI
• SBOM Diff on PR — pull_request 이벤트에 신규/제거/버전 변경 추출 + PR comment + Slack
• AI Insights RAG — Asset · Finding · Policy · Knowledge 4 소스 검색 + [N] 인용
• 비동기 스캔 큐 (Celery) — SCAN_QUEUE_ENABLED=true로 enqueue, 별도 worker
• OPA Rego 정책 평가 — backend Dockerfile에 OPA v1.x 번들 + Policy.engine="opa"로 Rego 평가
• 자산 자동 동기화 — GitHub org (Kubernetes / AWS Auto-scaling은 v0.3)
• Webhook push 이벤트 → diff 분석 후 적절한 스캐너 선택 (semgrep · trivy · nuclei 자동 라우팅)
• CI 통합 패키지 — .github/actions/mond-scan composite action 한 줄 통합
• Rate limiting / abuse protection — login · AI · webhook · github-sync (Redis 기반)
• AI 프롬프트 PII redaction — 외부 LLM 호출 전 이메일/전화/RRN/AWS키/토큰 자동 마스킹
• GCP / Azure IAM 어댑터 권한 부여(grant) 완성도 보강 — 멱등성 + etag 충돌 재시도

UX·가시화 보강:

• IAM Explorer 가시화 — ARN/UUID/LDAP DN을 사람이 읽는 이름으로(displayName/email/ARN tail/RDN/UUID 단축). Source segmented 필터 + 통합 검색 + Permission inline 권한 요청 CTA
• AWS IAM Identity Center 지원 — IdentityType.SSO_USER/SSO_GROUP 분리 + 자홍색 SSO 태그
• Access Center 폼 친화화 — 질문형 라벨('어떤 권한이 필요한가요?'·'얼마나 오래 쓸 건가요?'·'왜 필요한가요?') + 실제 인시던트 예시 placeholder
• Access Review 위험도 색띠 — critical/high 행 좌측 색띠, AI 결정(verdict + risk + reason) 카드 형식
• MyMond 빈 상태 카드 친화화 — 신규 임직원이 첫 진입 시 '담당 자산이 없습니다 → 자산 보기', '아직 요청한 권한이 없습니다 → 권한 요청 시작' CTA
• 위험도·상태 라벨 한국어 통일 — risk: high → 위험도: 높음, granted → 권한 부여 완료 등
• 라우트별 코드 스플릿 — 첫 로드 1834KB → 684KB (63% 감소). three.js 873KB는 Moon3D hero 화면에서만 lazy 로드
• Scans 페이지 가시화 — 자산 ID → 이름, webhook smart-router 자동 선택 결과(이유·카테고리 카운트) row expand
• Findings drawer 가시화 — 발견 자산 카드 + AI 인사이트(severity 재평가 화살표·confidence Progress bar·remediation references)
• Assets owner inline edit — '내 자산으로' 1클릭 + Popover 편집
• Knowledge Hub 출처 명료화 — 📖 기본 카드 / 🤖 AI 생성 / 📖 직접 작성 + AI 카드 보라 테두리
• Regulations Guide 카드 그리드 + 시각 위계 — 시나리오 카드 그리드, 규제 카드 2열(관할 색·시점·의무·참고)
• Dashboard '다음 단계' 가이드 배너 — admin 5단계 / employee 3단계, 완료 시 자동 hide
• AI Insights citation deep-link — ?focus=N으로 자산/finding/정책에서 자동 drawer/highlight
• Admin Policies — engine 컬럼 + 임계치 색 dot
• Settings — 4 KPI 카드(backend·DB·AI·OPA) + 스캐너 어댑터 + 환경
• AI Insights '이어서 묻기' follow-up chip — intent별 표준 후보 + Claude suggested_actions
• PolicySimulator — engine + OPA deny 메시지 expand + 위험도 색
• Admin Users — MFA 등록 상태 + SSO 출처 + 최근 로그인 상대 표기

v0.3 로드맵 — 완료 (v0.3.0 릴리스)

• 자산 자동 동기화 확장 — GitLab group(include_subgroups, self-host GITLAB_API_URL) + Bitbucket Cloud workspace 일괄 sync. Admin → 연동 관리에 카드 3종(GitHub/GitLab/Bitbucket). K8s namespace·AWS Auto-scaling은 후속
• AI 멀티 프로바이더 라우팅 — 의도(intent)별 model 자동 라우팅 (remediation/explain/deep_analysis는 model_deep, 그 외 model_default)
• SBOM CycloneDX 정식 출력 — CycloneDX 1.5 표준 (bomFormat: "CycloneDX", serialNumber: urn:uuid:…, metadata.tools, REPOSITORY 자산은 default branch에서 components[] 자동 추출, findings → 표준 vulnerabilities[])
• MCP HTTP 마운트 안정화 — Bearer 토큰 미들웨어(MCP_HTTP_AUTH_TOKEN), GET /integrations/mcp/health (enabled/mounted/transport/auth_required/reason/url), 마운트 path를 /mcp/mcp → /mcp/로 단순화, Claude Desktop/Code config 예시 + 7개 tools 표 (SETUP.md)
• 다중 워크스페이스/조직 분리 (Phase 1 — Asset) — Workspace 모델(slug/name/default) + Admin CRUD + Asset에 workspace_id (NULL 허용 — 기존 단일 조직 운영 호환). Assets 페이지에 workspace selector(ADMIN). Policy/Finding/IAM 등 나머지 자원 분리는 v0.4 Phase 2
• 감사 로그 검색 UI — Admin → 감사 로그에서 기간/actor/event/request_id 필터 + 시계열 timeline
• 한국 규제 인증 심사 패키지 — GET /admin/audit-package/isms-p?format=markdown ISMS-P 핵심 통제 10개(정책·자산·위험·접근·특수계정·접근통제·감사로그·취약점·사고대응·prod 자산)에 Mond 실 데이터를 자동 매핑. Reports 페이지에 ADMIN 전용 카드. 전체 80개 통제는 v0.4
• 알림 라우팅 다채널 — Slack 외 Discord + MS Teams webhook 추가 (severity 색상 채널별 변환)
• 온프레미스 LLM 게이트웨이 + 토큰 사용량 추적 — vLLM provider (OpenAI-호환 base_url) + ai_usage_logs 테이블 자동 기록 + GET /admin/ai-providers/usage (provider/tier/intent/일별 시계열) + Admin 연동 관리에 AI 사용량 카드
• PR Bot — AI 분석 PR comment — push 스캔 결과를 PR에 자동 코멘트 + AI triage 1-liner

🧪 Known Limitations

v0.1.0 시점의 한계와 v0.2에서 해소된 항목을 함께 기록합니다.

• SBOM — v0.1: CycloneDX-lite stub → v0.2: 5종 ecosystem 실 파서 + Reports UI + PR diff → v0.3: 표준 CycloneDX 1.5 (REPOSITORY 자산은 default branch에서 의존성 자동 추출해 components[] 채움, findings → 표준 vulnerabilities[])
• 스캐너 — v0.1: 동기 인라인 실행 → v0.2 해소: Celery 큐 옵션 (SCAN_QUEUE_ENABLED)
• AI Insights — v0.1: RAG 미적용 → v0.2 해소: 4 소스 RAG + inline citation. hallucination 위험 인지·인간 검토 권장은 유지. AI 생성 카드는 ADMIN 전용
• IAM 어댑터 — v0.1: GCP/Azure 보강 중 → v0.2 해소: 5종 모두 멱등성 + etag 재시도. capability API는 ready/coming_soon/demo를 그대로 노출
• 테스트 커버리지 — 의도적으로 낮음 (MVP). 기여 환영
• 정책 템플릿의 규제 매핑 — 참고용 출발점이며 법적 자문이 아닙니다

🤝 Contributing

CONTRIBUTING.md를 참고하세요. 새 스캐너 어댑터, AI 프롬프트 개선, 정책 셋 추가 PR을 환영합니다.

📄 License

MIT — LICENSE

🧭 문서 한눈에 · Doc Map

문서 어디서든 다른 곳으로 한 번에 — 처음이라면 Setup → Part 0 부터.

시나리오별 빠른 진입

• 🐳 A. 개인·평가 → SETUP Part 1 (Docker 30초)
• 🏢 B. 사내 데모 → SETUP Part 1 + Part 4 (Dev+MFA) + Part 5
• 🚀 C. 운영 (스타트업) → SETUP Part 2 (Helm) + Part 3 (Anthropic) + Part 4 (SSO+MFA) + Part 6 (운영)
• 🔒 D. 폐쇄망 (대기업/공공/금융) → Part 2-C 시크릿(Sealed) + Part 3 (Ollama) + Part 4 (Keycloak+MFA) + Part 6 (백업)

🌙 Illuminating the path to secure DevOps