Code Audit

Code Audit

코드 수준 보안 취약점 정적 분석.

Usage

/security:code-audit           → 현재 프로젝트 스캔
/security:code-audit <path>    → 특정 경로 스캔

핵심 프로세스

SAST 스캔 → CWE 분류 → OWASP Top 10 매핑 → 수정 코드 제안

graph LR
    A[SAST 스캔] --> B[CWE 분류]
    B --> C[OWASP Top 10 매핑]
    C --> D[수정 코드 제안]

Workflow

1. 대상 감지

# 기본: 현재 디렉토리
TARGET="${args[0]:-.}"

# 언어/프레임워크 감지
ls "$TARGET"/{package.json,pom.xml,build.gradle,requirements.txt,pyproject.toml,Cargo.toml,go.mod,Gemfile,*.csproj,*.sln} 2>/dev/null

2. 스캔 대상 필터링

의존성 디렉토리, 빌드 산출물은 제외해야 false positive 방지.

# 공통 제외 패턴
EXCLUDE="--exclude node_modules --exclude .git --exclude venv --exclude __pycache__ \
  --exclude dist --exclude build --exclude .next --exclude vendor --exclude target"

3. SAST 스캔

Semgrep (공통, 멀티언어)

# 안전한 임시 파일 (프로세스별 고유)
RESULT_FILE=$(mktemp /tmp/semgrep-XXXXXX.json)

# auto 룰로 스캔 (OWASP Top 10 + security 포함)
semgrep --config auto --json $EXCLUDE "$TARGET" > "$RESULT_FILE"

# 특정 룰셋 (필요시 — p/security는 Semgrep 공식 보안 룰)
semgrep --config p/owasp-top-ten --config p/security --config p/secrets $EXCLUDE "$TARGET"

p/security는 Semgrep 공식 보안 룰셋. p/security-audit는 낮은 신뢰도 룰이 포함될 수 있으므로 제외.

언어별 추가 도구

# Python — bandit
bandit -r -f json -x "./node_modules,./venv,./.git" "$TARGET" > "$(mktemp /tmp/bandit-XXXXXX.json)" 2>/dev/null

# Go — gosec (./... 로 재귀 스캔)
gosec -fmt=json -out="$(mktemp /tmp/gosec-XXXXXX.json)" ./...  2>/dev/null

# Ruby (Rails) — brakeman
brakeman -f json "$TARGET" > "$(mktemp /tmp/brakeman-XXXXXX.json)" 2>/dev/null

# JavaScript/TypeScript — eslint-plugin-security (플러그인 설치 필요)
# 사전 확인: npx eslint --print-config "$TARGET/index.js" | grep eslint-plugin-security
npx eslint --rule 'security/*' --format json $EXCLUDE "$TARGET" > "$(mktemp /tmp/eslint-XXXXXX.json)" 2>/dev/null

설치되지 않은 도구는 스킵. semgrep이 기본, 나머지는 보조. mktemp /tmp/name-XXXXXX로 프로세스별 고유 파일명 생성 (병렬 스캔 안전).

4. CWE 분류

SAST 결과의 각 이슈를 CWE(Common Weakness Enumeration)로 매핑.

5. OWASP Top 10 매핑

각 CWE를 OWASP Top 10 (2021) 카테고리로 분류. (공식 OWASP 매핑 기준)

OWASP 카테고리 ≠ 심각도: 같은 카테고리 내에서도 개별 취약점의 심각도는 다름. 심각도는 SAST 도구 자체 판정(severity 필드)을 우선 사용.

6. 결과 리포트

## Code Audit 결과

대상: [프로젝트명] ([언어])
도구: semgrep, bandit
스캔 파일: 142개

🔴 [OWASP A03] SQL Injection
━━━━━━━━━━━━━━━━
📋 CWE-89: SQL Injection
📌 위치: src/api/user.go:42
📝 설명: 사용자 입력이 SQL 쿼리에 직접 삽입
🔧 수정: Parameterized Query 사용
  - Before: db.Query("SELECT * FROM users WHERE id = " + input)
  + After:  db.Query("SELECT * FROM users WHERE id = $1", input)
━━━━━━━━━━━━━━━━

🟠 [OWASP A07] Hardcoded Credentials
📋 CWE-798: Use of Hard-coded Credentials
📌 위치: config/database.py:15
🔧 수정: 환경변수 또는 Secret Manager 사용

---

## 요약

| OWASP | Critical | High | Medium | Low |
| :--- | :--- | :--- | :--- | :--- |
| A03 Injection | 1 | 2 | - | - |
| A07 Auth | - | 1 | 1 | - |
| A02 Crypto | - | - | 1 | - |

7. 후속 안내

• 수정 적용: 제안된 수정 코드를 검토 후 반영
• 재스캔: 수정 후 /security:code-audit 재실행하여 회귀 확인
• 패키지 취약점: /security:system-audit으로 의존성 CVE 확인

Key Rules

• 기본 대상: . (현재 프로젝트), 경로 지정 시 해당 경로
• 의존성/빌드 산출물 제외: node_modules, venv, .git, dist, build 등
• semgrep 우선: 멀티언어 지원, 설치 안 되어 있으면 안내 후 스킵
• 언어별 도구는 보조: bandit, gosec, brakeman 등은 선택적
• False positive 최소화: 높은 신뢰도 rule만 사용 (p/security), 의심 시 확인 표시
• 심각도는 도구 판정 사용: OWASP 카테고리로 고정하지 않음
• 수정 코드 제안: 문제만 지적하지 않고 실제 수정 코드를 함께 제시
• A06(Vulnerable Components)은 제외: 의존성 취약점은 /security:system-audit 영역
• 한국어 리포트: 결과는 항상 한국어로 출력