소스코드 분석
소스코드 분석은 애플리케이션을 실행하기 전에 소스코드, 바이트 코드, 또는 바이너리 코드를 분석하여 보안 취약점을 식별하는 작업입니다. 이는 Sparrow SAST(Static Application Testing)의 핵심 기능입니다.
소스코드 분석과 같이 소프트웨어를 실행하기 전에 코드를 분석하여 보안 취약점을 탐지하는 기술을 정적 분석(SAST)이라고 합니다. 정적 분석은 잠재적으로 발생할 수 있는 문제를 유추하는 방법이기 때문에 다수의 오탐이 발생할 수 있습니다.
그럼에도 불구하고 소스코드 분석은 소프트웨어 개발 라이프사이클(SDLC) 초기에 보안 문제를 식별하고 해결할 수 있는 주요한 방법입니다. 또한 소스코드 분석 솔루션을 CI/CD 파이프라인에 통합하여 지속적으로 코드 품질을 향상시킬 수 있습니다. 이러한 장점으로 인해 정적 분석을 통한 소프트웨어 보안 취약점 관리는 여전히 중요합니다.
스패로우의 솔루션에서는 프로젝트에서 오탐으로 인해 검출된 이슈가 있는 경우 동일한 이슈가 발생하더라도 더 이상 검출 목록에 표시되지 않도록 제외할 수 있습니다. 그리고 필요한 경우 더 정확하게 이슈를 탐지하도록 검출 규칙에 대한 옵션을 변경할 수도 있습니다.
스패로우의 정적 분석 솔루션 제품에 대해서는 다음 링크를 참고하세요. https://sparrow.im/kr/product/sast/

스패로우 정적 분석 기술 백서
정적 분석(SAST, Static Application Security Testing)은 애플리케이션을 실행하기 전 소스 코드, 바이트 코드, 또는 바이너리 코드를 분석하여 보안 취약점을 식별하는 기술로, 소프트웨어 개발 생명 주기(SDLC) 초기에 보안 문제를 식별하고 해결할 수 있는 방식입니다.
소프트웨어의 오류나 취약점으로 발생하는 비용은 해당 문제를 발견하고 해결하는 시점이 늦어질수록 기하급수적으로 증가합니다.
스패로우의 정적 분석 기술은 소스 코드만으로 분석하기 때문에 애플리케이션이 완성되지 않은 개발 초기 단계부터 지속적으로 적용할 수 있습니다. 따라서 시프트 레프트(Shift-left) 접근 방식에 따라 조기에 결함을 찾아내려는 현대 소프트웨어 개발 흐름에 매우 유용합니다.
본 백서는 이러한 정적 분석 기술의 의미, 주요 기능의 동작, 특징을 자세히 안내합니다.

