지금 주목받는 오픈소스 (4) 관측 가능성과 보안

• 들어가며 — 양이 곧 비용이고, 붙지 않으면 쓰이지 않는다
• 스냅숏
• 계측 — 벤더에서 분리하기
• 저장과 조회
• 한 덩어리로 받는 선택지
• 런타임 — eBPF가 만든 시야
• 공급망과 코드
• 도입 전 확인
• 링크

들어가며 — 양이 곧 비용이고, 붙지 않으면 쓰이지 않는다

관측 가능성과 보안은 성격이 다른 분야지만 실패 방식이 닮았습니다.

관측 쪽에서는 데이터를 다 모으면 비용이 감당되지 않고, 줄이면 정작 필요할 때 없습니다. 보안 쪽에서는 도구가 아무리 정확해도 파이프라인에 들어가 있지 않으면 결과를 아무도 보지 않습니다. 그래서 두 영역 모두 어디에 꽂히는가가 기능만큼 중요합니다.

아래는 순위가 아니라 담당하는 층별 지도입니다.

스냅숏

모두 2026-08-12 기준입니다.

계측 — 벤더에서 분리하기

open-telemetry/opentelemetry-collector는 이 분야에서 가장 실용적인 변화를 만든 부품입니다. 애플리케이션은 표준 형식으로 내보내고, 수집기가 받아서 걸러 내고 표본을 뽑아 원하는 백엔드로 보냅니다. 관측 도구를 바꾸는 일이 애플리케이션 재배포에서 설정 변경으로 내려옵니다.

스타 수는 이 목록에서 가장 낮은 축이지만, 그것이 중요도와 무관하다는 좋은 예입니다. 여러 저장소로 쪼개진 조직 구조라 관심이 분산되어 있을 뿐입니다. 이 점 때문에 스타 수로 줄을 세우면 안 됩니다.

저장과 조회

VictoriaMetrics/VictoriaMetrics는 프로메테우스 호환 시계열 저장소로, 같은 데이터를 더 적은 자원으로 보관하는 데 초점을 둡니다. 이미 프로메테우스를 쓰고 있는데 보존 기간과 비용에서 막혔다면 자연스러운 다음 단계입니다.

grafana/loki는 로그를 전문 색인 없이 레이블 중심으로 저장해 비용을 낮춥니다. 대신 임의의 문자열을 전체에서 찾는 검색은 잘하지 못합니다. 레이블 설계를 잘못하면 장점이 사라집니다.

grafana/pyroscope는 연속 프로파일링을 담당합니다. 지표와 추적으로는 좁혀지지 않는 자원 사용 문제를 코드 수준까지 내려가 보게 해 줍니다.

세 프로젝트 중 Loki와 Pyroscope는 AGPL-3.0입니다. AGPL은 OSI가 승인한 오픈소스이지만, 수정한 코드를 네트워크 서비스로 제공하는 경우까지 공개 의무가 미치는 강한 카피레프트입니다. 사내에서 그대로 운영하는 것과, 고쳐서 외부 고객에게 서비스로 제공하는 것은 검토 범위가 다릅니다.

한 덩어리로 받는 선택지

SigNoz/signoz와 openobserve/openobserve는 수집, 저장, 대시보드를 한 제품으로 묶어 자체 호스팅 관측 스택을 빠르게 세우려는 팀을 겨냥합니다.

라이선스 형태가 서로 다릅니다. SigNoz는 LICENSE 파일에서 ee/와 cmd/enterprise/ 디렉터리가 별도 라이선스를 따르고 그 밖은 MIT라고 선언합니다. OpenObserve는 AGPL-3.0입니다. 둘 다 소스를 볼 수 있지만 조건이 같지 않으니, 어느 기능이 어느 조건에 속하는지 확인하고 도입하세요.

런타임 — eBPF가 만든 시야

falcosecurity/falco는 커널 이벤트를 규칙으로 판정해 컨테이너 안의 수상한 동작을 잡아냅니다. cilium/tetragon은 같은 기반 위에서 관찰뿐 아니라 정책 집행까지 겨냥합니다.

이 계열은 애플리케이션을 고치지 않고도 계측된다는 점이 강력하지만, 커널 버전과 배포 환경에 민감합니다. 관리형 쿠버네티스에서 노드 이미지를 마음대로 고를 수 없다면 지원 범위를 먼저 확인해야 합니다. 그리고 규칙을 조율하지 않은 채 켜면 경보가 쏟아져 아무도 보지 않는 상태가 됩니다.

공급망과 코드

aquasecurity/trivy는 이미지, 파일 시스템, 저장소, 쿠버네티스 자원까지 하나의 명령으로 훑습니다. 취약점뿐 아니라 설정 오류와 유출된 비밀도 함께 봅니다.

# 예시: 배포 전 이미지와 저장소를 함께 점검
trivy image --severity HIGH,CRITICAL registry.example.com/app:1.4.2
trivy fs --scanners vuln,secret,misconfig .

gitleaks/gitleaks는 커밋 이력에서 자격 증명을 찾습니다. 이미 올라간 비밀은 회수보다 폐기가 답이므로, 사후 점검보다 커밋 훅과 CI에 두는 편이 실효가 큽니다.

semgrep/semgrep은 코드 패턴 기반 정적 분석을 담당합니다. 규칙을 팀 관례에 맞게 직접 쓸 수 있다는 점이 실질적인 가치입니다. 저장소 라이선스는 LGPL-2.1이며, 상용으로 제공되는 부가 기능과 규칙은 별개 조건이니 구분해서 보세요.

sigstore/cosign은 산출물에 서명하고 검증합니다. 서명은 만드는 것보다 검증을 강제하는 것이 핵심입니다. 배포 단계에서 검증하지 않으면 서명은 장식입니다.

도입 전 확인

라이선스 전문을 직접 확인하고, 상업적 도입은 법무 검토를 거치세요. 이 글은 법률 자문이 아닙니다.

이 영역에서 흔한 실패는 도구를 늘리는 것으로 문제를 덮는 것입니다. 새 도구를 넣기 전에 누가 그 결과를 보고 무엇을 결정하는지 먼저 정하세요. 보는 사람이 없는 대시보드와 아무도 고치지 않는 경보는 비용만 만듭니다.

저장소 정보(스타 수·라이선스·최근 활동)는 2026-08-12에 GitHub에서 직접 확인한 시점 값입니다. 수치와 상태는 바뀝니다.

링크

시리즈: 이전 글 — 인프라와 데이터베이스 · 다음 글 — 데이터와 ML 파이프라인

이 블로그의 관련 글:

• eBPF 기반 관측과 OpenTelemetry
• Cilium eBPF 데이터패스 구조
• 컨테이너 보안과 공급망 이미지 스캐닝

도구: 해시 생성기 · HTTP 상태 코드