보안을 위한 정적 코드 분석(SAST): SAST는 OWASP Top 10 취약점을 어떻게 해결할까요?

보안 취약점은 수정하는 것보다 예방하는 것이 훨씬 쉽습니다. 코드 검토 중에 발견된 SQL 인젝션 취약점은 수정하는 데 몇 분밖에 걸리지 않습니다. 하지만 데이터 유출 후에 발견된 동일한 취약점은 사고 대응, 규제 조사, 복구 작업에 몇 주가 소요될 뿐 아니라 그 사이에 유출된 데이터까지 손실될 수 있습니다. 정적 코드 분석은 소스 코드 구조, 데이터 흐름, 패턴을 알려진 취약점 시그니처와 비교하여 코드가 실행되기 전에 이러한 문제를 찾아내는 방법입니다. 체계적으로 적용하면 보안을 사후 대응적인 방식에서 개발 프로세스에 내재된 속성으로 전환할 수 있습니다.

OWASP Top 10은 웹 애플리케이션 보안에 있어 가장 중요한 위험 요소들을 정리한 권위 있는 목록으로, OWASP(Open Web Application Security Project)에서 수천 개의 애플리케이션에 대한 실제 취약점 데이터를 기반으로 지속적으로 업데이트됩니다. 목록에 있는 모든 항목은 정적 분석 도구를 통해 다양한 수준으로 탐지할 수 있습니다. 이 가이드에서는 각 OWASP 범주를 정적 분석 도구로 탐지할 수 있는 위험 요소와 연결하고, 취약한 코드 패턴과 그에 상응하는 안전한 코드를 보여주며, 각 기법을 적용할 수 있는 도구를 설명합니다.

정적 애플리케이션 보안 테스트(SAST)란 무엇인가요?

정적 애플리케이션 보안 테스트(SAST)는 프로그램을 실행하지 않고 소스 코드, 바이트코드 또는 바이너리를 분석합니다. 이 분석은 데이터가 애플리케이션을 통해 어떻게 흐르는지, 해당 데이터가 어떤 보안에 민감한 작업에 도달하는지, 그리고 외부 입력(사용자 입력, HTTP 매개변수, 파일 내용, 환경 변수)에서 시작된 경로가 적절한 유효성 검사 또는 검증 없이 위험한 작업(데이터베이스 쿼리, 시스템 명령, HTML 출력, 암호화 함수)으로 이어지는지 여부를 검사합니다.

SAST는 전체 애플리케이션 보안 프로그램의 한 계층입니다. SAST가 어떤 위치를 차지하는지 이해하려면 다른 대안들과 비교해 봐야 합니다.

접근	그것이 실행될 때	발견한 것	이 작품이 놓친 점
SAST(정적)	실행 전, 소스 코드에서	코드 수준 취약점, 인젝션 패턴, 암호화 오용, 하드코딩된 비밀 키	런타임에만 발생하는 취약점, 배포 시 구성 문제
DAST(동적)	실행 중인 애플리케이션에 대해	런타임 동작, 인증 결함, 서버 구성 문제	테스트 중에 코드 수준 패턴이 트리거되지 않았습니다.
SCA(소프트웨어 구성 분석)	의존성 발현	타사 라이브러리에서 발견된 알려진 CVE	사용자 지정 코드 취약점
IAST(대화형)	계측을 사용한 테스트 실행 중	높은 정확도로 런타임 데이터가 흐릅니다.	애플리케이션 실행이 필요하며, 피드백 속도가 느립니다.

SAST는 취약점이 테스트 환경에 도달하기 전에, 즉 CI/CD 파이프라인이나 IDE에서조차 배포되지 않은 코드에서 실행되므로 가장 빠른 피드백을 제공합니다. 이러한 조기 발견이 SAST의 주요 보안 장점입니다.

정적 코드 분석은 어떤 유형의 위협을 완화할 수 있습니까?

이는 SAST에 대해 가장 많이 검색되는 질문 중 하나입니다. 직접적인 답변은 다음과 같습니다.

정적 코드 분석은 소스 코드 패턴 에서 나타나는 위협 , 즉 SQL, 명령, XSS 인젝션 취약점, 암호화 오용, 하드코딩된 자격 증명, 안전하지 않은 인증 구현, 코드 로직의 접근 제어 오류, 데이터 무결성 실패 등을 완화할 수 있습니다. 하지만 런타임 구성, 네트워크 토폴로지 또는 인프라 설정에서 발생하는 위협은 완화할 수 없으며, 이러한 위협은 동적 가용성 테스트(DAST), 침투 테스트 또는 인프라 보안 스캔이 필요합니다.

OWASP 적용 범위에 대한 정적 분석과 동적 분석 비교

동적 분석(DAST)과 정적 분석(SAST)은 OWASP 취약점의 서로 다른 하위 집합을 찾아냅니다. 어느 쪽도 모든 취약점을 다루지는 않습니다. OWASP 웹 보안 테스트 가이드(WSTG)는 동적 테스트를 위한 방법론 프레임워크이며, CodeQL, Semgrep, SonarQube와 같은 SAST 도구는 소스 코드 계층을 다룹니다.

OWASP Top 10 카테고리	SAST 적용 범위	DAST 적용 범위
손상된 액세스 제어	부분적인 코드 논리 오류	좋습니다, 런타임 동작 테스트입니다.
암호화 실패	강력한 알고리즘 감지	약해서 외부에서 관찰하기 어렵습니다.
주입	강력한 오염 분석	강력하고 능동적인 페이로드 테스트
안전하지 않은 디자인	부분적 패턴 감지	약점, 설계 지식 필요
보안 구성 오류	부분적, 코드 내 설정	강력하고 실제적인 환경 테스트
취약한 구성요소	약하네요, SCA가 더 낫습니다.	약하네요, SCA가 더 낫습니다.
인증 실패	부분적, 하드코딩된 자격 증명, 취약한 패턴	강력한 세션 및 인증 테스트
데이터 무결성 오류	부분적, 역직렬화 패턴	약해서 외부에서 감지하기 어렵습니다.
로깅 실패	부분적이거나 누락된 로그 문장	약하고, 관찰하기 어려운 부재
SSRF	HTTP 호출에 심각한 오염이 발생했습니다.	강력하고 적극적인 요청 테스트

결론: SAST와 DAST는 상호 ​​보완적입니다. OWASP 적용 범위를 최대한 확보하려면 두 가지 모두 실행하세요. 예산이 제한적인 팀이 처음부터 시작하는 경우, SAST를 먼저 실행하는 것이 좋습니다. SAST는 개발자 피드백을 가장 빠르게 제공하고 주입 범위도 가장 넓습니다.

OWASP Top 10: 정적 분석의 핵심 내용과 활용법

A01, 접근 제어 오류

접근 제어 오류는 OWASP에서 가장 중요한 위험 요소입니다. 정적 분석은 코드 수준에서 나타나는 문제점들을 해결합니다. 예를 들어 함수 및 엔드포인트에 대한 권한 검사 누락, 유효성 검사 없이 내부 ID를 노출하는 객체 참조, 의도된 권한 구조를 무시하는 하드코딩된 역할 할당 등이 있습니다.

정적 분석이 탐지하는 사항: 권한 확인 없이 민감한 작업을 처리하는 메서드, 접근 유효성 검사 없이 사용자 입력에서 객체 ID를 가져오는 직접적인 객체 참조, 인증 상태는 확인하지만 객체 소유권은 확인하지 않는 강제 탐색 패턴.

자바

// Vulnerable: no ownership check -- any authenticated user can access any order
@GetMapping("/orders/{orderId}")
public Order getOrder(@PathVariable Long orderId) {
    return orderRepository.findById(orderId).orElseThrow();
}

// Secure: verify the order belongs to the requesting user
@GetMapping("/orders/{orderId}")
public Order getOrder(@PathVariable Long orderId,
                      @AuthenticationPrincipal UserDetails user) {
    Order order = orderRepository.findById(orderId).orElseThrow();
    if (!order.getOwnerId().equals(user.getUserId())) {
        throw new AccessDeniedException("Order does not belong to requesting user");
    }
    return order;
}

정적 분석으로 포착할 수 없는 것: 로직은 올바르지만 의사 결정에 사용된 데이터가 손상된 런타임 접근 제어 실패. 이러한 오류를 탐지하려면 DAST(데이터 접근 제어 테스트)와 침투 테스트가 필요합니다.

A02, 암호화 오류

취약한 암호화 방식은 소스 코드에서 MD5, SHA-1, DES, ECB 모드, 하드코딩된 키와 같은 취약한 패턴을 어휘적으로 식별할 수 있기 때문에 정적 분석을 통해 확실하게 탐지할 수 있습니다.

파이썬

# Vulnerable: MD5 for password hashing (broken algorithm)
import hashlib
password_hash = hashlib.md5(password.encode()).hexdigest()

# Vulnerable: hardcoded encryption key
KEY = b"mysecretkey12345"
cipher = AES.new(KEY, AES.MODE_ECB)  # ECB mode also vulnerable

# Secure: bcrypt for passwords, environment-sourced keys
import bcrypt, os
password_hash = bcrypt.hashpw(password.encode(), bcrypt.gensalt(rounds=12))

# Secure: AES-GCM with environment-sourced key
import os
from cryptography.hazmat.primitives.ciphers.aead import AESGCM
key = os.environ["ENCRYPTION_KEY"].encode()
aesgcm = AESGCM(key)

정적 분석 규칙 플래그: 보안에 민감한 목적을 위한 MD5/SHA-1, DES/3DES/RC4/ECB 모드, 하드코딩된 암호화 키 및 비밀 키, 민감한 데이터 전송에 HTTPS 대신 HTTP 사용, 인증서 검증 비활성화(verify=False Python requests에서, setHostnameVerifier(ALLOW_ALL_HOSTNAME_VERIFIER) 자바에서).

A03, 주사

인젝션, SQL, OS 명령, LDAP, XSS, 템플릿 인젝션은 프로시저 간 오염 분석이 가장 직접적으로 가치를 발휘하는 범주입니다. 이러한 취약점은 신뢰할 수 없는 입력이 소스에서 함수 호출을 거쳐 위험한 싱크로 이어지는 과정을 추적해야 합니다.

자바 스크립트

// Vulnerable: direct string interpolation in SQL (SQL injection)
app.get('/users', async (req, res) => {
    const name = req.query.name;
    const result = await db.query(`SELECT * FROM users WHERE name = '${name}'`);
    res.json(result.rows);
});

// Secure: parameterized query
app.get('/users', async (req, res) => {
    const name = req.query.name;
    const result = await db.query('SELECT * FROM users WHERE name = $1', [name]);
    res.json(result.rows);
});

PHP는

// Vulnerable: unescaped output (XSS)
echo "Welcome, " . $_GET['username'];

// Secure: context-appropriate escaping
echo "Welcome, " . htmlspecialchars($_GET['username'], ENT_QUOTES, 'UTF-8');

날카로운

// Vulnerable: command injection in C#
var process = new Process();
process.StartInfo.FileName = "cmd.exe";
process.StartInfo.Arguments = "/c " + userInput;
process.Start();

// Secure: avoid shell interpretation, validate and whitelist inputs
var allowedCommands = new HashSet<string> { "report", "export" };
if (!allowedCommands.Contains(userInput))
    throw new ArgumentException("Invalid command");

인젝션 공격에 대한 프로시저 간 오염 분석을 수행하는 도구: CodeQL(가장 정확함), 오염 모드가 있는 Semgrep, Snyk Code, 보안 규칙이 있는 SonarQube.

A04, 불안정한 디자인

안전하지 않은 설계는 코드 패턴보다는 아키텍처 설계와 관련된 문제이기 때문에 정적 분석에서 OWASP 범주 중 가장 어려운 범주입니다. 정적 분석을 통해 다음과 같은 증상을 파악할 수 있습니다.

인증 엔드포인트에 속도 제한 로직이 없거나, 로그인 실패 후 계정 잠금이 없거나, 유효성 검사 단계를 건너뛰는 비즈니스 로직이 있거나, 감사 로깅 없이 권한 있는 작업을 수행하는 함수가 있는 경우 이러한 문제점을 발견할 수 있습니다. 이러한 문제점은 누락된 패턴을 통해 탐지할 수 있으며, 이는 존재하는 것이 아니라 부재하는 것을 보고하는 정적 분석 방식입니다.

일부 SAST 도구는 조직의 보안 설계 요구 사항을 코드로 구현할 수 있는 사용자 지정 규칙을 지원합니다. 예를 들어 모든 컨트롤러 메서드는 권한 부여 함수를 호출해야 하고, 모든 데이터베이스 쓰기 작업은 입력 유효성 검사를 거쳐야 하며, 모든 외부 API 호출은 타임아웃을 사용해야 합니다. 이러한 사용자 지정 규칙은 설계 요구 사항을 실행 가능한 코드 제약 조건으로 변환합니다.

A05, 보안 설정 오류

코드의 보안 구성 오류에는 보안 기능 비활성화, 허용적인 CORS 헤더, 보안 응답 헤더 누락, 프로덕션 환경에서 디버그 모드 활성화, 스택 추적을 노출하는 자세한 오류 메시지 등이 포함됩니다.

파이썬

# Vulnerable: Flask debug mode enables interactive debugger in production
app = Flask(__name__)
app.run(debug=True)  # exposes console access if error occurs

# Vulnerable: overly permissive CORS
from flask_cors import CORS
CORS(app, origins="*")  # allows any origin

# Secure: environment-controlled debug, restricted CORS
import os
debug_mode = os.environ.get("FLASK_DEBUG", "false").lower() == "true"
CORS(app, origins=os.environ.get("ALLOWED_ORIGINS", "").split(","))
app.run(debug=debug_mode)

정적 분석 규칙 플래그: 디버그 모드가 설정됨 True 소스 코드의 와일드카드 CORS 출처, HTTP 응답 구성의 보안 헤더 누락, SSL 인증서 검증 비활성화 및 구성 파일의 기본 자격 증명 등이 원인일 수 있습니다.

A06, 취약하고 오래된 구성 요소

이 범주는 전통적인 SAST보다는 소프트웨어 구성 분석(SCA)에서 주로 다룹니다. SCA는 스캔을 수행합니다. package.json, pom.xml, requirements.txt그리고 유사한 내용이 취약점 데이터베이스(국가 취약점 데이터베이스, GitHub Advisory Database)에 대해 보고됩니다.

SAST는 더 이상 사용되지 않는 API 사용, 보안 결함으로 인해 더 이상 사용되지 않는 라이브러리 함수 호출, 또는 최신 라이브러리조차 더 이상 권장하지 않는 취약한 패턴의 직접적인 사용을 식별함으로써 기여합니다.

A06 전용 도구: npm audit, pip-audit, snyk test, OWASP Dependency-CheckGitHub Dependabot 및 Mend(이전 WhiteSource)도 포함됩니다.

A07, 식별 및 인증 실패

정적 분석을 통해 코드 수준 인증 안티 패턴이 발견되었습니다. 이러한 안티 패턴에는 하드코딩된 비밀번호, 취약한 비밀번호 유효성 검사, 비암호학적 난수로 생성된 세션 토큰, 로그아웃 시 세션 무효화 누락, 그리고 JWT 구현 시 발생하는 오류 등이 포함됩니다. none 연산.

자바 스크립트

// Vulnerable: JWT accepting 'none' algorithm -- allows signature bypass
const decoded = jwt.verify(token, secret, { algorithms: ['HS256', 'none'] });

// Vulnerable: hardcoded admin credentials
if (username === 'admin' && password === 'admin123') {
    grantAccess();
}

// Secure: algorithm whitelist, no hardcoded credentials
const decoded = jwt.verify(token, process.env.JWT_SECRET, {
    algorithms: ['HS256']  // explicit allowlist only
});

날카로운

// Vulnerable: weak random for session token generation in C#
var sessionToken = new Random().Next().ToString();

// Secure: cryptographically secure random
using var rng = RandomNumberGenerator.Create();
var bytes = new byte[32];
rng.GetBytes(bytes);
var sessionToken = Convert.ToBase64String(bytes);

A08, 소프트웨어 및 데이터 무결성 오류

이 범주는 안전하지 않은 역직렬화 및 검증되지 않은 소프트웨어 업데이트를 다룹니다. 정적 분석은 Java를 탐지합니다. ObjectInputStream 신뢰할 수 없는 소스에서 가져온 데이터 역직렬화, Python pickle.loads() 외부 데이터, PHP unserialize() 사용자 입력 제어 기능과 안전하지 않은 로더를 사용하는 YAML 파서가 있습니다.

파이썬

# Vulnerable: pickle deserialization of untrusted data
import pickle
data = pickle.loads(request.data)  # arbitrary code execution risk

# Vulnerable: unsafe YAML loader
import yaml
config = yaml.load(user_input)  # yaml.load without Loader is unsafe

# Secure: safe alternatives
import json
data = json.loads(request.data)  # JSON cannot execute code

import yaml
config = yaml.safe_load(user_input)  # safe_load disables arbitrary object creation

A09, 보안 로깅 및 모니터링 실패

로깅 실패는 정적 분석을 통해 누락된 패턴으로 감지할 수 있습니다. 예를 들어 민감한 작업, 인증 이벤트, 접근 제어 결정, 데이터 수정 등이 로그 문 없이 진행되는 경우입니다. 정적 분석 규칙을 설정하여 특정 함수 호출이 항상 감사 로그 호출과 함께 발생하도록 요구할 수 있습니다.

정적 분석에서 탐지되는 사항은 다음과 같습니다. 비밀번호 또는 토큰 로깅(민감한 데이터 로깅 또한 취약점입니다), 로깅 없이 오류를 묵살하는 예외 처리기, 그리고 원시 예외 메시지(민감한 데이터가 포함될 수 있음)를 로깅하는 catch 블록입니다.

자바

// Vulnerable: swallowed exception, no logging
try {
    authenticateUser(username, password);
} catch (Exception e) {
    // silent failure -- no log, no audit trail
}

// Vulnerable: logging sensitive data
log.info("User logged in with password: " + password);

// Secure: log the event, not the credential
try {
    authenticateUser(username, password);
    auditLog.info("Authentication success for user: {}", username);
} catch (AuthenticationException e) {
    auditLog.warn("Authentication failure for user: {}", username);
    throw e;  // do not swallow
}

A10, 서버 측 요청 위조(SSRF)

SSRF는 프로시저 간 오염 분석이 필요한 강력한 사례입니다. 이 취약점은 사용자가 입력한 내용을 여러 함수 호출을 거쳐 HTTP 요청에 이르기까지 추적해야 합니다. 개별 함수만 분석하는 도구로는 URL 구성과 HTTP 호출이 서로 다른 함수에 있는 경우 SSRF를 탐지할 수 없습니다.

파이썬

# Vulnerable: user-controlled URL in HTTP request (SSRF)
import requests

def fetch_resource(url):
    return requests.get(url).content  # no validation

def api_endpoint(request):
    target = request.json().get("url")    # attacker controls this
    return fetch_resource(target)          # SSRF across function boundary

# Secure: allowlist validation before making the request
from urllib.parse import urlparse

ALLOWED_HOSTS = {"api.internal.example.com", "cdn.example.com"}

def fetch_resource(url: str) -> bytes:
    parsed = urlparse(url)
    if parsed.hostname not in ALLOWED_HOSTS:
        raise ValueError(f"URL host not allowed: {parsed.hostname}")
    return requests.get(url, timeout=5).content

OWASP 보안을 위한 정적 코드 분석 도구

아래 표는 주요 SAST 도구를 해당 도구가 가장 효과적으로 다루는 OWASP 범주와 연결합니다.

수단	주요 언어	OWASP의 강점	접근
CodeQL	자바, 자바스크립트/텍스트 편집, 파이썬, C/C++, 고, 루비	A03 주입, A10 SSRF (심한 오염)	절차 간 의미 분석
셈그렙	30 개 이상의 언어	A03, A02, A07 (패턴 기반 + 오염 모드)	패턴 매칭 + 얕은 얼룩
Snyk 코드	자바, 자바스크립트/텍스트 편집, 파이썬, C#	A03, A07, A08	ML 기반 오염 분석
소나큐브	30 개 이상의 언어	A02, A03, A05, A07, A09	규칙 기반 + 데이터 흐름
체크 마크스	30 개 이상의 언어	OWASP 전체 보장	절차 간 오염
베라코드	자바, .NET, JS, PHP	OWASP 전체 보장	바이트코드 + 오염 분석
OWASP 잽	언어에 구애받지 않음	A01, A05, A07 (실행 시간)	DAST, 동적 테스트
SMART TS XL	COBOL, JCL, Java, Python, RPG, SQL	언어 간 오염, 의존성 위험	언어 간 구조적 + 오염

방법 SMART TS XL 엔터프라이즈 코드베이스의 보안 문제를 다룹니다.

기업 보안 프로그램은 단일 언어 SAST 도구로는 해결할 수 없는 문제에 직면해 있습니다. 바로 공격 표면이 여러 언어에 걸쳐 있다는 점입니다. 웹 애플리케이션이 JavaScript로 사용자 입력을 받아 Java로 처리하고, 메시지 큐를 통해 DB2 데이터베이스에 대해 SQL을 실행하는 COBOL 프로그램으로 전달할 수 있습니다. 이러한 인젝션 취약점은 네 가지 언어 경계를 넘나들며 존재합니다. 따라서 어떤 개별 언어 스캐너도 전체 오염 경로를 파악할 수 없습니다.

SMART TS XL의 정적 코드 분석 이 체인의 모든 언어를 동시에 다룹니다. 신뢰할 수 없는 입력이 JavaScript API 핸들러를 통해 Java 서비스를 거쳐 동적 SQL 쿼리를 구성하는 COBOL 프로그램으로 전달될 때, SMART TS XL 이 기능은 전체 언어 간 호출 그래프를 가로지르는 경로를 추적하며, CodeQL이 Java 내에서 적용하는 것과 동일한 프로시저 간 오염 추적 기능을 Java, COBOL 및 SQL에 걸쳐 함께 적용합니다.

애플리케이션 종속성 매핑 기능은 시스템 내 어떤 구성 요소가 외부 입력과 상호 작용하는지, 어떤 구성 요소가 권한 있는 작업에 접근하는지, 그리고 시스템의 전체 공격 표면이 실제로 어떻게 생겼는지에 대한 보안 관련 관점을 제공합니다. 이러한 아키텍처 보안 관점은 위협 모델링의 기반이 되며, 시스템 구조를 이해하지 못하면 시스템에 대한 위협을 모델링할 수 없습니다.

영향 분석 기능은 보안 취약점 해결 프로그램을 지원합니다. 구성 요소에서 취약점이 발견되면 영향 분석을 통해 해당 취약점에 의존하는 다른 모든 구성 요소를 식별하여 코드 변경 전에 해결 작업 범위를 정확하게 파악할 수 있습니다. 보안 결함이 있는 COBOL 프로그램이 수백 개의 다른 프로그램에 포함된 대규모 레거시 코드베이스의 경우, 해결 작업 시작 전에 전체 범위를 파악하는 것이 문제 해결을 효과적으로 관리하는 것과 연쇄적인 사고 확산을 막는 데 매우 중요합니다.

관리하는 조직의 경우 레거시 현대화 프로그램을 개발할 때, 기존 코드베이스에 대한 보안 분석은 필수 조건이며, 사후 고려 사항이 아닙니다. 취약한 COBOL 프로그램을 Java로 마이그레이션하면 취약한 Java 프로그램이 생성됩니다. SMART TS XL보안 분석을 통해 취약점이 마이그레이션된 시스템에서 발견되는 것이 아니라 현대화 프로세스의 일환으로 식별 및 수정되도록 보장합니다.

개발 라이프사이클에 SAST 통합하기

정적 보안 분석은 코드가 작성되고 검토되는 의사 결정 시점에 실행될 때 최대의 가치를 제공하며, 배포 후에 실행될 때는 그렇지 않습니다.

IDE 환경에서는 SonarLint, Snyk의 IDE 확장 프로그램, CodeQL의 VS Code 확장 프로그램이 개발자가 코드를 작성하는 동안 취약점을 즉시 표시해 줍니다. 개발자가 취약한 패턴을 입력하는 순간 나타나는 SQL 인젝션 플래그를 수정하는 데는 몇 초밖에 걸리지 않습니다.

풀 리퀘스트에서: GitHub Actions, GitLab CI 또는 Jenkins에 통합된 SAST는 모든 풀 리퀘스트에서 실행되어 발견 사항을 코드 리뷰 댓글로 인라인에 게시합니다. 개발자는 발견 사항을 원인이 된 코드와 함께 맥락 속에서 확인할 수 있습니다.

SonarQube의 품질 게이트 모델은 새로운 중요 보안 취약점이 발생할 경우 병합을 차단하는 품질 게이트 역할을 합니다. 따라서 보안은 선택적인 검토 단계가 아니라 병합 프로세스의 구조적 요구 사항이 됩니다.

정기적으로 실행되는 작업에는 심층적인 프로시저 간 분석(CodeQL, Checkmarx, 전체 Semgrep 규칙 세트)이 포함됩니다. 이 작업은 일반적으로 커밋별 실행에는 너무 느리지만, 메인 브랜치에서 매일 밤 또는 매주 실행되어 전체 호출 그래프 분석이 필요한 취약점을 찾아냅니다.

계층화된 접근 방식, IDE 및 커밋 시 적용되는 빠른 패턴 기반 규칙, 풀 리퀘스트 및 나이틀리 빌드에 대한 심층적인 오염 분석을 통해 개발자가 필요로 하는 즉각적인 대응과 보안 프로그램이 요구하는 철저함을 모두 제공합니다.