신규: Okta 워크플로우용 SCW 커넥터

Secure Code Warrior와 Okta, 개발자 워크플로우 보안을 위한 새로운 방법 출시

개발자들은 그 어느 때보다 빠르게 고품질 코드를 제공해야 하는 상황에 놓여 있지만, 비현실적인 마감 기한이 소프트웨어 품질 저하와 취약한 코드로 이어질 수 있다는 점은 의심할 여지가 없습니다. 개발자의 67%가 촉박한 마감 기한 등으로 인해 취약점이 포함된 코드를 배포한다고 생각한다는 사실은 놀라운 일이 아닙니다(State of Developer-Driven Security 2022). 위협과 침해 사고가 계속 증가함에 따라 보안은 더 이상 사후 처리가 아닌, 전체 DevSecOps 주기 내에 통합되어야 하는 필수 요소가 되었습니다.

소프트웨어 개발 수명 주기 초기부터 안전한 코드를 작성할 수 있도록 지원하는 Okta Workflows용 Secure Code Warrior 커넥터를 발표하게 되어 매우 기쁩니다. 독립적인 ID 제공업체인 Okta와 SCW의 이번 협업은 보안 역량 확인 기능을 제공합니다. 이를 통해 AppSec 관리자는 개발자가 워크플로우를 벗어나지 않고도 취약점을 줄이는 안전한 코드를 커밋하고 있다는 확신을 가질 수 있습니다. 또한, Secure Code Warrior와 Okta 간의 싱글 사인온(SSO)을 추가하여 이 혁신적인 솔루션을 더욱 간편하게 활용할 수 있게 되었습니다.

취약점 유입 위험 감소

개발 팀은 전통적으로 플러그인, 스캔 도구, 코드 리뷰와 같이 개발 주기 후반부에 이루어지는 사후 대응적이고 느린 프로세스에 의존해 왔습니다. 이러한 방식은 나름의 장점이 있지만, 취약한 코드와 향후 재작업이라는 너무 큰 위험을 초래합니다. 우리는 조직이 보안을 개발 초기 단계로 앞당기는 '시프트 레프트(Shift-Left)'를 실현하고, 사후 대응이 아닌 선제적인 보안 태세를 갖추도록 돕고자 합니다. 새로운 Okta Workflows용 Secure Code Warrior 커넥터는 각 개발자가 코드 커밋을 위한 저장소 접근 권한을 얻기 전에 필요한 보안 코딩 기술을 갖추었는지 확인함으로써 개발 주기 전반에 보안 사고방식을 통합합니다. 이 통합을 통해 개발자는 SCW의 몰입형 플랫폼을 통해 최신 보안 관행을 학습하게 되며, 수동 코드 리뷰의 부담을 줄여 엔지니어링 팀이 품질 저하 없이 더 많은 기능을 배포할 수 있도록 지원합니다.

AppSec 및 엔지니어링 리더는 SCW의 광범위한 학습 플랫폼을 활용하여 개인 맞춤형 평가와 학습 경로를 생성할 수 있습니다. 이를 통해 개발자가 조직의 최우선 보안 코딩 요구 사항에 집중하고, 코드 커밋에 필요한 전문성을 갖추도록 보장합니다. 6,500개 이상의 대화형 코딩 챌린지, 56개 이상의 언어 및 프레임워크, 150개 이상의 취약점 카테고리를 포함하는 방대하고 깊이 있는 콘텐츠를 통해 조직의 거의 모든 요구 사항을 충족할 수 있습니다.

팀을 위한 올바른 학습 전략을 수립했다면, 평가 점수와 과정 이수 상태를 활용하여 개발자가 보안 우선 접근 방식으로 소프트웨어를 구축할 수 있는 기술을 갖추었는지 판단할 수 있습니다. Okta와의 새로운 통합 덕분에 이제 평가 점수를 기반으로 각 개발자의 권한을 자동화하여, 코드 커밋 승인 과정을 간소화하거나 추가적인 기술 향상이 필요한 부분을 쉽게 파악할 수 있습니다.

SCW 플랫폼의 유연하고 대화형인 학습 경험 덕분에 개발자들은 학습 과정에서 즐거움을 느끼며, 학습에 대한 접근 방식이 단순한 규정 준수 확인에서 가치 있고 흥미로운 활동으로 변화하는 것을 경험할 수 있습니다.

작동 방식

Okta Workflows용 Secure Code Warrior 커넥터는 Okta Workflows의 노코드 ID 자동화 및 오케스트레이션 구성을 사용하여 if-then 논리로 쉽게 구축할 수 있습니다. 이 커넥터는 API 호출이나 복잡한 구성 설정에 대한 고민 없이 워크플로우 작업을 수행할 수 있도록 돕는 일련의 액션(Actions)을 제공합니다.

개발자 워크플로우를 보호하기 위한 간단한 설계는 다음과 같습니다.

전체 워크플로우 설계에 대한 개요는 다음과 같습니다.

‍

단계별로 살펴보겠습니다.

1. 개발자의 보안 역량을 판단하는 데 사용되는 평가 ID를 구성합니다. 또한, 설정의 일부로 조직 및 저장소와 같은 GitHub 세부 정보를 추가합니다.

2. 'Check Assessment Completion For User' 액션을 사용하여 워크플로우가 개발자의 특정 평가 통과 여부를 확인합니다.

‍

3. 원하는 과정/평가를 완료했거나 특정 점수를 달성했다면, GitHub 커넥터를 사용하여 리포지토리 접근 권한을 부여합니다. 요건을 충족하지 못한 경우, 알림을 생성하거나 다른 Okta 워크플로우를 트리거하여 적절한 조치를 취할 수 있습니다.

‍

위 과정은 일회성, 주기적 또는 지속적인 확인 작업으로 설계할 수 있으며, 이를 통해 자격을 갖춘 개발자만 보안 워크플로우에 참여하도록 관리할 수 있습니다.

기타 가능한 SCW 커넥터 액션은 다음과 같습니다:

• List Assessment Attempts For User - 사용자의 특정 평가 시도 내역을 나열합니다
• Check Course Completion For User - 사용자의 특정 과정 완료 여부를 확인합니다
• List Course Enrollments For User - 사용자의 특정 과정 ID에 대한 모든 등록 내역을 나열합니다
• Custom API Action - 사용 가능한 액션 외에 다른 API 호출을 실행합니다

고품질의 안전한 코드를 더 빠르고 자신 있게 출시하세요

SCW 커넥터는 소프트웨어 개발 수명 주기 초기 단계에서 취약점 발생 위험을 줄여줍니다. 코드 리뷰 및 스캔 도구와 마찬가지로, 개발자가 처음부터 안전한 코드를 작성하도록 보장하는 품질 게이트 역할을 합니다. 결과적으로 코드 검토 및 예방 가능한 문제 수정에 소요되는 시간이 줄어들고, 고품질 코드 배포에 더 집중할 수 있게 됩니다. 또한, 이 커넥터는 개발자가 SCW 학습 플랫폼에 능동적으로 참여하여 보안 역량을 유지하도록 장려함으로써 보안 우선 문화를 조성하는 데 기여합니다. 개발자의 보안 성숙도가 향상됨에 따라 새로운 코드의 취약점은 지속적으로 감소합니다. 이는 AppSec 팀의 수정 지원 부담을 덜어주어 조직의 전반적인 보안 태세를 강화하는 데 집중할 수 있도록 합니다.

Okta 워크플로우용 Secure Code Warrior 커넥터는 당사의 학습 플랫폼과 함께, 개발 팀의 보안 역량을 높여 조직이 더 빠르게 보안을 강화(Shift Left)할 수 있도록 지원합니다.

데모를 예약하거나 문서를 확인하여 설정 및 구성에 대한 자세한 내용을 알아보세요.

‍