탐지

취약점 감지 및 결과 평가.

소프트웨어 개발 수명 주기 전반에 걸쳐 프로젝트 리포지터리와 애플리케이션 동작에서 취약점을 탐지합니다. 개발 과정에서 취약점 위험을 관리하는 데 도움이 되도록 다음이 제공됩니다. 브랜치에 코드 변경 사항을 푸시하면 보안 스캐너가 실행됩니다. 브랜치에서 탐지된 취약점의 상세 내용을 확인할 수 있습니다. 개발자는 이 시점에 취약점을 조치하여 프로덕션에 도달하기 전에 수정할 수 있습니다. 선택적으로 취약점이 포함된 머지 리퀘스트 에 추가 승인을 적용할 수 있습니다. 자세한 내용은 머지 리퀘스트 승인 정책 을 참고합니다. 개발 이외 단계에서 취약점을 관리하는 데는 다음이 도움이 됩니다. 보안 스캔을 예약하거나 수동으로 실행할 수 있습니다. 기본 브랜치에서 탐지된 취약점은 취약점 리포트 에 표시됩니다. 이 리포트를 사용해 취약점을 분류하고 분석하며 조치합니다. Security Review Flow 는 머지 리퀘스트에서 비즈니스 로직 취약점을 분석하며 CI/CD 기반 보안 스캔을 보완합니다. 보안 스캔 # 보안 스캔을 최대한 활용하려면 다음을 이해하는 것이 중요합니다. 보안 스캔을 트리거하는 방법. 애플리케이션 또는 리포지터리의 어떤 부분이 스캔되는지. 어떤 스캐너가 실행될지 결정하는 요소. 보안 스캔이 진행되는 방식. 트리거 # CI/CD 파이프라인의 보안 스캔은 프로젝트 리포지터리에 변경 사항을 푸시하면 기본적으로 트리거됩니다. 다음 방법으로도 보안 스캔을 실행할 수 있습니다. CI/CD 파이프라인을 수동으로 실행 . 스캔 실행 정책 을 사용해 보안 스캔 예약. DAST에 한해 온디맨드 DAST 스캔을 수동으로 실행 하거나 예약해 실행 . SAST에 한해 VS Code용 GitLab 확장 프로그램 을 사용해 스캔 실행. 감지 범위 # 프로젝트 리포지터리를 스캔하고 애플리케이션 동작을 테스트해 취약점을 찾습니다. 리포지터리 스캔은 프로젝트 리포지터리의 취약점을 탐지할 수 있습니다. 대상에는 애플리케이션 소스 코드와 애플리케이션이 의존하는 라이브러리·컨테이너 이미지가 포함됩니다. 애플리케이션과 그 API에 대한 행동 테스팅은 런타임에만 발생하는 취약점을 탐지할 수 있습니다. 리포지터리 스캔 # 프로젝트 리포지터리에는 소스 코드, 의존성 선언, 인프라 정의가 포함될 수 있습니다. 리포지터리 스캔은 이들 각각에서 취약점을 탐지할 수 있습니다. 리포지터리 스캔 도구는 다음과 같습니다. 정적 애플리케이션 보안 테스트(SAST): 소스 코드에서 취약점을 분석합니다. Infrastructure as Code(IaC) 스캔: 애플리케이션 인프라 정의에서 취약점을 탐지합니다. 시크릿 탐지: 시크릿을 탐지하고 리포지터리에 커밋되지 않도록 차단합니다. 의존성 스캔: 애플리케이션의 의존성과 컨테이너 이미지에서 취약점을 탐지합니다. 행동 테스팅 # 행동 테스팅에는 알려진 취약점과 예기치 않은 동작을 테스트할 수 있도록 배포 가능한 애플리케이션이 필요합니다. 행동 테스팅 도구는 다음과 같습니다. 동적 애플리케이션 보안 테스트(DAST): 알려진 공격 경로에 대해 애플리케