결과의 신뢰성은 그를 뒷받침하는 증거에 달려 있습니다. 보안 기능은 각 결과 뒤에 있는 증거의 유형을 명시하며, 신뢰할 수 있는 검증 기록이 있는 증거만이 결과를 통해 pull request를 차단하거나 누군가에게 알림을 보내거나 확인된 것으로 처리할 수 있습니다.
세 가지 유형
| 증거 | 의미 | 검증 방식 |
|---|---|---|
| 권고 사항 일치 | 전체 스캔 결과에서 설치된 패키지 버전이 공개된 권고 사항의 영향을 받는 범위와 일치하는 경우입니다. | 스캔 자체: 스캐너와 그 버전, Coroid가 지정한 구성 정보, 마지막 변경 시점이 기록된 권고 사항입니다. |
| 검증된 정적 결과 | 코드가 취약한 패턴과 일치하는 경우입니다. | 교정 과정을 통과한 규칙이거나, AI 모델이 도출한 이슈의 경우 해당 커밋의 코드로부터 이슈를 재확인하는 독립적인 검증 절차입니다. 이 검증은 해당 이슈를 도출한 실행 과정과는 별개로 별도로 진행됩니다. |
| 재현된 장애 | 보안 관련 장애가 실제로 발생하고 그 결과가 관찰된 경우입니다. | 격리된 환경에서 증명 절차를 실행하여 동일한 결과가 다시 나오는 경우입니다.계획됨: Coroid는 아직 증명 절차를 실행하지 않습니다. |
검증 기록은 특정 커밋에만 적용되며 다음 커밋으로 자동 이어지지 않습니다. 다음 스캔 시에는 다시 검증 절차를 거쳐야 합니다.
각 유형별로 수행 가능한 작업
- 종속성 관련 결과권고 사항 일치 결과에 대해서만 적용됩니다.
- 비밀번호 및 코드 관련 규칙교정 과정을 통과한 탐지기 버전을 사용할 때만 적용됩니다. 자세한 내용은보호 조치 및 적용 규칙.
- Coroid 리뷰의 보안 관련 주장과 감사 결과독립적인 검증을 통해 검증된 정적 결과로 확인되기 전까지는 차단하거나 알림을 보내지 않습니다.
아직 확인되지 않음
이러한 증거가 없는 결과는 "아직 확인되지 않음"으로 표시됩니다.아직 확인되지 않음. 이 결과는 보안 기능에 표시되며 알려진 정보만 제공할 뿐 다른 작업은 수행하지 않습니다. 즉, 검증을 통과하지 못하거나 누군가에게 알림을 보내지 않으며 개요에서 확인된 것으로 집계되지도 않습니다. 예를 들어 이슈를 판단하는 코드가 다른 파일에 있어 독립적인 검증을 통과하지 못한 경우 AI 모델의 주장이 이런 상태로 남게 됩니다.
GitHub에서 가져온 경고로서 Coroid의 자체 스캔에서 확인되지 않은 경우 "아직 확인되지 않음"으로 표시됩니다.GitHub에서 가져왔으나 아직 확인되지 않음, 이 결과는 개요에서 별도로 집계됩니다. Coroid의 자체 스캔에서 확인되면 그때 비로소 알림을 보내고 차단 기능을 적용합니다. 자세한 내용은GitHub 권한 설정과 Coroid 보안 검증 절차.
확인할 수 있는 위치
결과 상세 페이지에서는 해당 결과의 증거, 생성 출처 및 검증 방식을 확인할 수 있습니다. 수정용 풀 요청에도 증거가 포함되는데, 종속성 관련 경우에는 수정하는 권고 사항과 변경 전후의 패키지 목록이 포함됩니다. 자세한 내용은수정용 풀 요청.