소스코드 보안약점
진단 서비스
안전한 소프트웨어 개발을 위해 소스코드에 존재하는 잠재적 보안 취약점을 제거하고, 개발 과정에서 지켜야 할 보안 활동을 지원합니다.
보안클라우드만의 3가지 차별점
단순한 진단을 넘어, 완벽한 보안을 위한 전문 서비스를 제공합니다
최초 진단부터 이행점검까지
완벽 가이드 제공
검출된 모든 취약점에 대해 단순 결과 통보가 아닌, 실제 조치 가능한 상세 가이드를 제공합니다. 이행점검까지 지속적인 기술 지원으로 완벽한 보안을 달성합니다.
CC인증 전문 진단도구
CODE-RAY XG 사용
행정안전부 고시 규정 준수를 위해 국정원 CC인증을 획득한 전문 소스코드 진단도구 CODE-RAY XG를 사용합니다. 공공기관 및 금융권 사업에 완벽 대응합니다.
SW보안약점진단원이
직접 진단 수행
한국인터넷진흥원(KISA) 인증 SW보안약점진단원 자격을 보유한 전문 인력이 직접 분석 및 코드리뷰를 수행합니다. 자동화 도구만으로는 발견하기 어려운 취약점까지 정밀 진단합니다.
왜 소스코드 보안약점 진단이 필요한가요?
보안 취약점의 92%는 네트워크가 아닌 애플리케이션에서 발견됩니다
NIST Report
Microsoft
Gartner Report
의무
행안부 고시 2018-21호
행정안전부 고시 2018-21호: 행정기관 및 공공기관이 정보화 사업을 추진할 경우 소프트웨어 개발 보안과 관련하여 SW개발보안 기준 및 절차를 반드시 준수해야 합니다.
진단 기준
국내외 공인된 보안 기준을 바탕으로 정밀 진단을 수행합니다
소프트웨어 개발보안 가이드
행정안전부 지정 49개 보안약점 기준
OWASP TOP 10
국제 웹 애플리케이션 보안 표준
국정원 8대 취약점
국가정보원 지정 웹 보안 취약점
진단 프로세스
체계적인 4단계 프로세스로 완벽한 보안약점 진단을 수행합니다
사전 환경 조사
- 점검 기준 선정
- 시스템 환경 파악
- 분석 대상 협의
1차 취약점 진단
- CODE-RAY XG 자동 분석
- 전문 진단원 코드리뷰
- 취약점 통계 및 보고서
- 상세 수정 가이드 제공
2차 이행 점검
- 조치 결과 검증
- 2차 결과 보고서
- 잔여 취약점 가이드
완료 및 보완
- 최종 진단 결과 리뷰
- 잔여 취약점 조치 지원
- 인증 심사 증빙자료
보안클라우드의 약속: 검출된 모든 취약점에 대해 실제 조치 가능한 코드 수정 예시와 함께 상세 가이드를 제공합니다. 이행점검 완료까지 지속적인 기술 지원을 약속드립니다.
주요 점검 항목
행정안전부 SW개발보안 가이드 7대 유형 49개 보안약점을 점검합니다
입력데이터 검증 및 표현
외부 입력값에 대한 검증 누락 및 부적절한 처리
- SQL Injection
- 크로스사이트 스크립트(XSS)
- 경로 조작
- 운영체제 명령어 삽입
보안기능
인증, 접근제어, 권한관리, 암호화 관련 취약점
- 취약한 암호화 알고리즘
- 하드코딩된 비밀번호
- 부적절한 인가
- 중요정보 평문 저장
시간 및 상태
동시 실행 환경에서 발생하는 취약점
- 경쟁 조건(Race Condition)
- 종료되지 않는 반복문
- 재귀함수 무한 호출
에러처리
오류 상황 대응 미흡으로 인한 정보 노출
- 오류 메시지 정보 노출
- 부적절한 예외 처리
- Null Pointer 역참조
코드오류
개발자의 실수로 발생하는 코드 취약점
- Null Pointer 역참조
- 부적절한 자원 해제
- 초기화되지 않은 변수
캡슐화 / API 오용
정보 은닉 실패 및 API 부적절한 사용
- 잘못된 세션에 의한 데이터 노출
- Public 메소드 Private 필드
- DNS Lookup에 의존한 보안결정
전문 진단도구 CODE-RAY XG
보안클라우드는 행정안전부 고시 준수를 위해 국정원 CC인증을 획득한 전문 소스코드 보안약점 진단도구 CODE-RAY XG를 사용합니다.
CC인증 획득
공공기관 및 금융권 사업 완벽 대응
49개 보안약점 분석
행안부 가이드 전 항목 자동 검출
상세 보고서 제공
취약점별 조치 가이드 포함
기대 효과
시큐어코딩 도입으로 얻을 수 있는 실질적인 가치
자주 묻는 질문
Q. 어떤 프로그래밍 언어를 지원하나요?
CODE-RAY XG는 Java, C, C++, C#, Python, JavaScript, JSP, ASP, PHP, Swift, Kotlin 등 주요 개발 언어를 모두 지원합니다. 지원 언어에 대한 상세 문의는 상담 신청을 통해 확인하실 수 있습니다.
Q. 소스코드가 외부로 유출될 위험은 없나요?
보안클라우드는 고객사 소스코드 보호를 최우선으로 합니다. 비밀유지계약(NDA) 체결, 보안 시스템 내 분석, 완료 후 즉시 삭제 등 철저한 보안 절차를 준수합니다. 필요시 고객사 사이트 내 폐쇄망 분석도 가능합니다.
Q. 진단에 소요되는 기간은 얼마나 되나요?
프로젝트 규모에 따라 다르지만, 일반적으로 1차 진단 후 보고서 제출까지 1~2주, 이행점검까지 포함하면 3~4주 정도 소요됩니다. 긴급 진단이 필요한 경우 일정 조율이 가능합니다.
Q. 공공기관 사업에 적용 가능한가요?
네, 가능합니다. CODE-RAY XG는 국정원 CC인증을 획득하여 행정안전부 고시 요건을 충족합니다. 공공기관, 금융권, 의료기관 등 규제 산업의 보안 요건에 완벽히 대응합니다.
Q. 취약점이 발견되면 어떻게 조치하나요?
검출된 모든 취약점에 대해 실제 조치 가능한 상세 가이드를 제공합니다. 취약점별 원인 분석, 영향도 평가, 수정 코드 예시까지 포함된 보고서를 제공하며, 이행점검 완료까지 지속적인 기술 지원을 제공합니다.