Codex Security 플러그인으로 로컬 리포지터리를 스캔하고 각 보안 이슈의 근거를 검토해 추가 조사나 수정이 필요한지 판단하세요. 먼저 리포지터리나 서비스 하나를 스캔해 어디까지 검사했는지 확인한 뒤 스캔 범위를 넓히세요.

시작하기 전에

직접 소유하거나 보안 점검 권한이 있는 로컬 리포지터리를 Codex에서 여세요. Codex Security 플러그인을 설치하고 활성화한 뒤, 계정과 워크스페이스에 필요한 보안 접근 권한이 있는지 확인하세요.

먼저 리포지터리나 서비스 하나를 대상으로 표준 스캔을 실행하세요. 표준 스캔은 스캔 워크플로우를 한 번 실행합니다. 무엇을 수정할지 결정하기 전에 보안 이슈와 그 근거, 실제로 검사한 범위를 검토할 수 있습니다. 대규모 모노레포라면 서비스나 제품의 경계가 명확한 폴더 하나를 선택하세요.

해당 리포지터리의 Codex 프로젝트에서 시작 프롬프트의 경로를 스캔할 경로로 바꿔 사용하세요. 보안 사이드바에서 같은 스캔을 설정하려면 첫 스캔 실행하기의 절차를 따르세요. 두 방법 중 하나를 선택해 스캔을 시작하세요.

첫 스캔 실행하기

고객별로 워크스페이스를 분리해 데이터를 보관하는 애플리케이션이라면 다음과 같은 보안 컨텍스트를 추가할 수 있습니다.

사용자는 자신이 속한 워크스페이스의 문서만 조회할 수 있어야 합니다.
사용자가 다른 워크스페이스의 식별자를 지정해 해당 워크스페이스의 비공개 문서를 조회할 수 있는지 검토하세요.
백그라운드 작업과 직접 API 호출을 포함해 어디에서 워크스페이스 구성원 여부를 확인하고 문서 조회를 제한하는지 점검하세요.

스캔 진행 상황과 검사 범위 확인하기

Codex는 애플리케이션의 자산과 보안 경계를 파악하고, 코드를 검토해 취약점이 의심되는 부분을 찾습니다. 그런 다음 실제로 취약한지 검증하고 영향을 평가해 보고서를 작성합니다. 활동 보기를 선택해 스캔을 수행하는 Codex 작업을 확인하고 스캔이 끝날 때까지 기다리세요.

완료된 스캔을 열어 스캔 대상과 코드 리비전을 확인하세요. 보안 이슈를 읽기 전에 어떤 영역을 검사했고 어디를 건너뛰거나 나중으로 미뤘는지 검토하세요. 완료된 스캔의 결과에는 취약점이 포함될 수 있습니다. 검사하지 않은 영역이 있다면 보안 이슈 목록이 비어 있어도 코드가 안전하다고 단정할 수 없습니다.

스캔이 중단되거나 일부 영역이 빠졌다면 나중에 확인할 수 있도록 해당 영역을 기록하세요. 스캔에 걸리는 시간과 리소스 사용량은 선택한 코드와 필요한 검증 작업에 따라 달라집니다.

보안 이슈 이해하기

보안 이슈를 선택하고 요약을 여세요. 다음 세 가지 질문을 함께 검토하세요.

• 공격자는 무엇을 할 수 있나요? 영향을 받는 코드와 근본 원인, 보고된 영향을 확인하세요.
• 공격자는 어떤 경로로 접근할 수 있나요? 공격자가 제어하는 입력에서 민감한 작업에 이르기까지 공격 경로를 따라가며 기존 보호 장치도 확인하세요.
• 스캔으로 무엇을 입증했나요? 검증 근거와 해당 심각도를 부여한 이유를 살펴보고 아직 불확실한 점을 확인하세요. 심각도 표시만으로 보안 이슈가 유효하다고 판단할 수는 없습니다.

이 예시에서는 요청에 포함된 워크스페이스 식별자로 비공개 문서를 조회할 때 요청자가 해당 워크스페이스의 구성원인지 확인하지 않습니다. 코드에서 비슷한 보안 이슈를 평가할 때는 다른 보호 장치가 구성원만 접근할 수 있도록 제한하는지, 검증 결과가 다른 워크스페이스의 문서에 접근할 수 있음을 입증하는지 확인하세요.

보안 이슈를 해석하는 데 도움이 필요하면 같은 리포지터리의 프로젝트에서 채팅을 열고 보안 이슈의 제목, 영향을 받는 코드, 근거를 함께 입력하세요.

다음 조치 선택하기

검토한 보안 이슈마다 스캔한 리비전, 영향을 받는 코드, 근거, 아직 불확실한 점, 담당 팀을 간단히 기록하세요. 검토한 근거를 바탕으로 다음 조치를 선택하세요.

• 수정 필요: 유효하다고 판단한 보안 이슈 하나를 선택하고 보안 스캔에서 발견한 보안 이슈 수정하기로 진행하세요.
• 조사 필요: 보안 이슈를 열어 두고, 대응 방안을 결정하기 전에 추가로 확인할 사항이나 부족한 정보를 파악하세요.
• 수정 불필요: 검토 결과와 그렇게 판단한 근거를 기록하세요. 보안 이슈를 닫으면 해당 결정이 기록되며 코드는 변경되지 않습니다.

검토를 마치면 보안 이슈와 검사에서 빠진 영역별로 다음 조치가 정해집니다. 더 철저한 점검이 필요하면 심층 보안 스캔 실행하기를 참고하세요. 특정 pull request나 diff를 점검하려면 코드 변경 사항 보안 스캔하기를 참고하세요.