SSDLC의 모든 단계에서 안전한 코딩 기술을 구축하세요

새로운 GitHub Action을 통해 GitHub 코드 스캔 워크플로우 내에서 업계 표준 SARIF 파일에 개발자 중심 교육을 직접 추가하세요.

9월 30일, GitHub는 GitHub 코드 스캔의 정식 출시를 공식 발표했습니다. GitHub 코드 스캔은 개발자가 프로덕션 단계에 도달하기 전에 보안 취약점을 쉽게 찾을 수 있도록 지원하는 개발자 우선의 GitHub 네이티브 접근 방식입니다.

코드 스캔은 GitHub Actions 또는 기존 CI/CD 환경과 통합되어 개발 팀의 유연성을 극대화합니다. 코드가 작성되는 즉시 스캔하여 풀 리퀘스트 내에서 실행 가능한 보안 검토 결과를 제공하고, GitHub 워크플로우의 일부로 보안을 자동화합니다.

개발자를 위한 원활한 보안 접근 방식.

개방형 SARIF(Static Analysis Results Interchange Format) 표준을 기반으로 구축된 코드 스캔은 조직의 지속적인 요구 사항에 맞춰 유연하게 설계되었습니다. 따라서 오픈 소스 및 상용 정적 애플리케이션 보안 테스트(SAST) 솔루션을 동일한 GitHub 네이티브 환경 내에 포함할 수 있습니다.

타사 코드 스캔 도구는 풀 리퀘스트와 같은 GitHub 내 이벤트를 기반으로 GitHub Action 또는 GitHub App을 통해 시작할 수 있습니다. 결과는 SARIF 형식으로 변환되어 GitHub 보안 알림 탭에 업로드됩니다. 이후 알림은 도구별로 집계되며, GitHub는 중복 알림을 추적하고 억제할 수 있습니다. 이를 통해 개발자는 GitHub의 모든 프로젝트에서 원하는 도구를 선택하여 네이티브 GitHub 환경 내에서 사용할 수 있습니다. 간단히 말해, 기존 보안 방식의 번거로움을 줄이고 개발자 워크플로우를 존중합니다.

어제 Secure Code Warrior는 GitHub 블로그 게시물인 타사 코드 스캔 도구: 정적 분석 및 개발자 보안 교육에서 Snyk, Checkmarx, Fortify On Demand, Synopsis, Veracode와 함께 유일한 개발자 중심 교육 제공업체로 소개되었습니다.

많은 SCA/SAST 솔루션이 발견된 각 취약점에 대한 방대한 세부 정보와 게시된 권고 사항 및 관련 CWE에 대한 참조를 제공하지만, 모든 개발자가 보안 전문가일 수는 없으며 그렇게 기대해서도 안 됩니다. 실용적이고 사용 가능한 조언과 도구가 실행 가능한 인식의 핵심입니다.

맥락 기반 마이크로 러닝.

개발자가 취약점에 대한 맥락을 더 많이 이해할수록 위험을 파악하고 가장 시급한 문제를 우선적으로 해결하며, 궁극적으로는 취약점 발생을 사전에 방지할 수 있습니다. 바로 이 지점에서 Secure Code Warrior가 역할을 합니다. 우리의 사명은 재미있고 매력적인 프레임워크별 교육을 통해 개발자가 처음부터 안전한 코드를 작성할 수 있도록 지원하고, 보안 마인드를 갖추어 코딩하도록 도와 보안 규정 준수, 일관성, 품질 및 개발 속도를 빠르게 향상시키는 것입니다.

GitHub 코드 스캔 통합

Secure Code Warrior는 GitHub 코드 스캔에 맥락 기반 학습을 도입하는 GitHub Action을 구축했습니다. 이를 통해 개발자는 Snyk Container Action과 같은 타사 액션을 사용하여 취약점을 찾고, CWE별로 매우 관련성 높은 학습 콘텐츠를 결과에 추가할 수 있습니다.

Secure Code Warrior GitHub Action은 업계 표준 SARIF 파일을 처리하고 SARIF 규칙 객체의 CWE 참조를 기반으로 맥락 기반 학습을 추가합니다. 이를 통해 개발 및 보안 팀은 취약점을 찾는 것뿐만 아니라, 지원되는 SAST 도구 보고서를 실행 가능한 지식으로 보강하여 취약점의 재발을 방지할 수 있습니다.

직접 체험해 볼 준비가 되셨나요?

GitHub Marketplace에서 액션을 무료로 받으려면 여기를 클릭하세요.
Secure Code Warrior GitHub Action에 대해 자세히 알아보려면 여기를 클릭하세요.