보안 기능은 알려진 취약한 종속 요소, 유출된 인증 정보 및 취약한 코드를 저장소에서 모니터링하며, 발견된 모든 항목을 하나의 목록에 저장하고 확인된 항목을 풀 요청으로 전환하여 팀에서 리뷰 후 병합할 수 있도록 합니다.
이 섹션에서는 제품 기능인 코드 보안에 대해 설명합니다. Coroid 자체가 코드와 데이터를 보호하는 방식에 대해서는 다음 문서를 참조하세요.보안 및 배포.
주요 기능
| 보호 기능 | 주요 기능 | 검사를 통과하지 못할 수 있음 |
|---|---|---|
| 취약한 종속 요소 | 기본 브랜치의 최신 버전에서 각 프로젝트의 잠금 파일을 읽어서 모든 패키지를 공개된 권고 사항과 비교합니다. pull request의 잠금 파일 변경 사항도 동일한 방식으로 스캔합니다. | 예 |
| 취약한 종속 요소 수정 | 취약한 패키지를 업그레이드하는 pull request 풀 요청을 생성하며, 심각한 발견 사항부터 우선 처리합니다. | 아니요 |
| 유출된 비밀번호 | 모든 변경 사항에서 인증 정보를 검색하며, 기본 브랜치의 전체 이력도 함께 확인합니다. | 예 |
| 코드 스캐닝 | Coroid의 코드 보안 규칙과 사용자가 지정한 스캔 명령을 함께 적용합니다. | 예 |
| 풀 요청에 대한 보안 리뷰 | Coroid 리뷰에서 도출된 보안 문제를 별도로 검증한 후에야 pull request 검사를 통과하지 못하도록 설정할 수 있습니다. | 예 |
| GitHub 보안 알림 | Dependabot, 코드 스캐닝 및 비밀번호 스캐닝에서 발생한 알림을 Coroid의 자체 발견 사항과 함께 표시합니다. | 아니요 |
| 보안 감사 | 가장 중요한 코드와 지난 감사 이후 변경된 코드를 대상으로 취약점을 검색하며, 독립적인 검증을 거친 항목만 유지합니다. | 아니요 |
각 보호 기능에 대한 설명은 이 섹션의 별도 페이지에 기술되어 있습니다. 해당 기능을 활성화하고 관찰하며 적용하는 방법은 다음 문서를 참조하세요.보호 기능 및 적용 방식해당 기능을 활성화하고 관찰하며 적용하는 구체적인 절차에 대해 설명합니다.
위치
보안 기능은 품질 관리 항목 다음에 위치한 메인 메뉴에 별도로 표시됩니다.
- 개요: 심각도별 발견 사항 및 기한이 지난 항목 수, 각 프로젝트의 커버리지 및 마지막 스캔 일자, 수정 진행 상황, 권고 사항 데이터 및 GitHub 알림의 상태를 확인할 수 있습니다.
- 발견 사항: 보안 기능에서 발견한 모든 항목을 프로젝트별로 그룹화한 단일 목록입니다. 다음 문서를 참조하세요.발견 사항 및 그 라이프사이클.
- 종속 요소: 각 프로젝트의 패키지 목록이며, CycloneDX 형식으로 내보낼 수 있습니다. 다음 문서를 참조하세요.취약한 종속 요소.
- 위협 모델: 프로젝트별로 하나씩 생성됩니다. 다음 문서를 참조하세요.위협 모델.
- 설정: 조직 기본 설정 및 프로젝트별 설정으로 구성되며, 각 보호 기능별로 별도의 스위치가 제공됩니다.
모든 멤버는 자신이 접근할 수 있는 프로젝트의 개요, 발견 사항, 종속 요소 및 위협 모델을 확인할 수 있습니다. 조직 소유자와 관리자는 설정, 위협 모델 및 예외 사항을 변경하고 발견 사항을 처리할 수 있습니다. 수정 작업은 일반 업무로 간주되어 Factory에 표시되며, 발견 사항은 해당 작업 및 pull request로 연결됩니다.
결정 기준
증거가 결정 기준이 됩니다.특정 커밋에서 검증된 명명된 유형의 증거가 있을 때에만 발견 사항이 pull request를 차단하거나 관련자에게 알림을 전송합니다. 그 외의 경우에는 '아직 확인되지 않음'으로 표시되며 다른 조치는 취해지지 않습니다. 다음 문서를 참조하세요.증거.
암묵적인 승인은 존재하지 않습니다.완전한 스캔 결과만을 유효한 결과로 간주합니다. 부분적인 스캔, 권한 상실, 오래된 목록 또는 지연된 권고 사항 데이터는 '알 수 없음' 또는 '부분적 커버리지'로 표시되며 결코 '수정 완료'로 간주되지 않습니다.
**사람이 최종 결정권을 가집니다.**Coroid는 풀 요청을 생성하지만 실제 병합은 사람이 수행합니다. 예외 사항, 스캐너 설정 및 공개 여부는 보안 기능의 소유자와 관리자가 결정하며, 테스트 중인 변경 사항에 의해 자동으로 결정되지 않습니다.
기본적으로 비공개로 처리됩니다.아직 공개되지 않은 취약점의 세부 정보는 권한을 가진 사람이 공개하기 전까지 Coroid 내에만 저장됩니다. 다음 문서를 참조하세요.공개 처리.
Coroid는 발견된 인증 정보를 절대 사용하지 않습니다.유출된 인증 정보가 유효한지 확인하기 위해 해당 정보를 테스트로 사용하지도 않습니다.
비용
보안 기능은 무료 요금제를 포함한 모든 요금제에 기본으로 포함됩니다.
- 탐지 작업에는 별도의 비용이 발생하지 않습니다.재고 관리, 조언 매칭, 비밀번호 및 코드 스캔, 알림 가져오기 기능은 AI 모델을 사용하지 않으므로 크레딧이나 에이전트 시간을 소모하지 않습니다. 각 조직의 자체 스캔 작업은 실행 중에 해당 조직의 에이전트 슬롯 중 하나를 차지합니다. 사용 가능한 슬롯이 없으면 작업은 대기 상태가 되며, 이는 Mission Control에서 '대기 중'으로 표시되고 스캔이 완료될 때까지 커버리지 정보는 '알 수 없음'으로 표시됩니다. Mission Control에서 에이전트 작업을 일시 중지해도 보안 스캔은 중단되지 않습니다.
- 모델을 사용하는 작업은 다른 작업과 동일하게 요금이 부과됩니다.: 버그 수정 작업, 보안 감사, 그리고 Coroid 리뷰의 보안 주장에 대한 독립적 검증 작업이 여기에 해당됩니다. 이 작업들은 크레딧과 에이전트 시간을 소모하며, 설정 → 활동 메뉴에 표시되고 크레딧이나 시간이 부족하면 대기 상태가 됩니다. 탐지 기능은 계속 실행됩니다.
아직 포함되지 않은 항목
컨테이너 이미지, 인프라스트럭처로서의 코드, 런타임 스캔 및 라이선스는 포함되지 않습니다. CI 워크플로우 구성은 Coroid의 기존 코드 규칙으로만 적용됩니다. 개요 페이지에도 이 내용이 명시되어 있으므로 실제로 커버리지에 포함되지 않은 항목이 커버리지에 포함된 것으로 표시되는 일은 없습니다.