여러 보안 취약점을 평가하고 즉각적인 주의가 필요한 항목을 판단해야 할 때 다음 가이드라인을 따릅니다.

• 예상 소요 시간: 15-25분
• 수준: 중급
• 사전 요구 사항: GitLab Duo Enterprise 애드온, 취약점 보고서에서 확인할 수 있는 취약점

과제#

보안 스캔은 많은 취약점 경고를 생성하는 경우가 많아, 거짓 양성을 식별하고 어떤 이슈가 가장 큰 비즈니스 위험을 초래하는지 판단하기 어렵습니다.

접근 방법#

GitLab Duo Chat, Vulnerability Explanation, Vulnerability Resolution을 사용하여 취약점을 분석하고 비즈니스 영향을 평가하며 우선순위가 지정된 수정 계획을 수립합니다.

1단계: 취약점 설명#

프로젝트의 취약점 보고서로 이동합니다. 높음 또는 치명적 취약점마다 Vulnerability Explanation을 사용하여 이슈를 설명합니다. 그런 다음 GitLab Duo Chat으로 후속 질문을 합니다.

Based on the earlier vulnerability explanation:

1. What specific security risk does this pose?
2. How could this be exploited in our [application_type]?
3. What data or systems could be compromised?
4. Is this a true positive or likely false positive?
5. What is the realistic business impact?

Consider our application stack: [technology_stack] and deployment environment: [environment_details].

예상 결과: 각 취약점의 실제 영향과 악용 가능한 방식에 대한 명확한 설명.

2단계: 위험 우선순위 지정#

GitLab Duo Chat을 사용하여 여러 취약점을 함께 분석하고 우선순위 매트릭스를 만듭니다.

Based on these vulnerability explanations, help me prioritize fixes:

[paste_vulnerability_summaries]

Create a priority matrix considering:
1. Exploitability (how easy to exploit)
2. Business impact (what gets compromised)
3. Exposure level (public-facing vs internal)
4. Fix complexity (simple patch vs major changes)

Rank as Critical/High/Medium/Low priority with justification.

예상 결과: 비즈니스 중심의 위험 평가가 포함된 취약점 우선순위 목록.

3단계: 수정 계획 생성#

우선순위가 높은 취약점에 대해서는 Vulnerability Resolution 또는 Chat을 사용하여 구체적인 수정 지침을 확인합니다.

Provide a detailed remediation plan for this [vulnerability_type]:

1. Immediate steps to reduce risk
2. Code changes needed (with examples)
3. Configuration updates required
4. Testing approach to verify the fix
5. Timeline estimate for implementation

Focus on [security_framework] compliance and our [coding_standards].

예상 결과: 구체적인 구현 단계가 포함된 실행 가능한 수정 계획.

팁#

• 치명적(Critical) 및 높음(High) 심각도 취약점부터 시작합니다.
• 수정에 착수하기 전에 Vulnerability Explanation을 사용하여 컨텍스트를 파악합니다.
• 비즈니스 영향을 평가할 때는 해당 애플리케이션 아키텍처를 고려합니다.
• 익숙하지 않은 기술 용어나 공격 벡터는 GitLab Duo Chat에 설명을 요청합니다.
• 유사한 취약점은 일괄 분석과 일관된 수정을 위해 함께 묶습니다.
• Security Dashboard를 사용하여 수정 작업의 진행 상황을 추적합니다.

검증#

다음 사항을 확인합니다.

• 우선순위가 CVSS 점수뿐 아니라 실제 비즈니스 위험을 반영합니다.
• 수정 계획에 구체적인 코드 예시와 테스트 단계가 포함됩니다.
• 거짓 양성이 명확하게 식별되고 문서화됩니다.
• 치명적 취약점에 대한 즉각적인 완화 전략이 식별되어 있습니다.
• 수정 일정이 현실적이며 테스트 및 배포 프로세스를 고려합니다.