GitHub Advanced Security 소개
GHAS(GitHub Advanced Security)는 소프트웨어 개발 프로젝트의 보안 태세를 강화하도록 설계된 포괄적인 보안 기능 도구 모음입니다. GitHub와 긴밀하게 통합되는 것 외에도. GHAS는 Azure DevOps의 확장으로도 사용 가능하며 두 플랫폼 모두에서 유사한 기능을 제공합니다.
GHAS는 기술적인 문제를 직접 측정하도록 설계되지는 않았지만 기술적인 문제 검색 및 수정에 크게 기여할 수 있습니다. GHAS는 코드 스캐닝, 비밀 검사, 종속성 스캐닝과 같은 보안 스캐닝 서비스와 함께 코드 분석, 종속성 관리 및 고급 코드 검토를 제공합니다. GHAS는 또한 보안 취약성의 우선 순위를 정하고 해결하는 데 도움이 되는 자세한 인사이트와 권장 사항을 제공합니다.
이러한 기능을 활용함으로써 조직은 개발 수명 주기 초기에 기술적인 문제를 적극적으로 식별하고 해결할 수 있습니다. 이를 통해 보안 위험이 줄어들고, 코드 품질이 향상되며, 소프트웨어 프로젝트의 장기적인 유지 관리가 용이해집니다.
SQL 분석
CodeQL은 개발자가 코드베이스 내 문제를 식별하는 데 도움을 주는 의미 체계 코드 분석 엔진입니다. 기술적인 문제 누적에 기여하는 코딩 오류 및 디자인 결함을 식별하는 데 도움이 되는 패턴을 쿼리하도록 설계된 선언적 쿼리 언어를 제공합니다. 또한 분석 기능을 사용하여 주입 결함, 인증 문제, 액세스 제어 문제 등 잠재적인 보안 취약성을 검색할 수 있는데, 이는 종종 근본적인 기술적인 문제를 나타냅니다.
종속성 관리
종속성 관리는 오래되었거나 취약한 종속성과 관련된 기술적인 문제를 관리하는 데 중요합니다. GHAS 종속성 검사는 오래된 패키지, 보안 취약성, 라이선스 문제에 대한 정보를 포함하여 프로젝트 종속성에 대한 표시 여부를 제공합니다. Dependabot은 보안 취약성이 있는 종속성을 자동으로 업데이트하여 코드베이스를 최신 상태로 안전하게 유지하는 데 도움을 줍니다.
코드 검사
코드 검사는 정적 분석 기술의 조합을 사용하여 코드 스멜 및 안티 패턴을 포함하여 잠재적인 보안 취약성과 코딩 오류가 있는지 코드 리포지토리를 자동으로 검사합니다. XSS(교차 사이트 스크립팅), SQL 주입, 버퍼 오버플로와 같은 일반적인 보안 문제를 검색합니다. 이는 CodeQL 기반 분석과 마찬가지로 일반적으로 안전하지 않은 코딩 사례로 인해 발생하는 기술적인 문제를 나타냅니다. 또한 보안 코드 스캐닝은 코드 품질 및 보안 위험에 대한 실행 가능한 인사이트를 제공하여 가장 효율적이고 효과적인 방식으로 기술적인 문제의 우선 순위를 지정하고 해결하는 데 도움을 줍니다.