우리는 소프트웨어 구성 분석 (SCA), 정찰 (recon), 증거 (evidence) 및 보고를 위한 거버넌스 제어 평면(governed control plane)인 Synapse를 오픈 소스로 공개했습니다. 이 플랫폼은 종속성 트리 (dependency tree)를 스캔하고, 발견한 내용을 증명하며, 신뢰할 수 있는 보고서를 제출해야 하는 사람들을 위해 구축되었습니다.

• 사이트: https://synapse.kkloudtarus.net/
• 코드: https://github.com/KKloudTarus/synapse-ce (Apache-2.0)

우리가 이를 구축한 이유

일반적인 워크플로우는 파편화되어 있습니다. SBOM을 위한 도구 하나, 취약점 (vulnerabilities)을 위한 또 다른 도구, 라이선스 (licenses)를 위한 스프레드시트, 증거를 위한 스크린샷 폴더, 그리고 수동으로 작성하는 보고서가 따로 존재합니다. 어떤 것도 재현 가능 (reproducible)하지 않으며, 고객이 "이것이 진짜라는 것을 어떻게 아느냐"라고 물었을 때 그 답변은 누군가의 기억 속에만 머물러 있습니다. 발견 사항을 작성하는 LLM을 추가하는 것은 상황을 더욱 악화시킬 뿐입니다. 우리는 그 반대, 즉 빠르면서도 증명 가능한 것을 원했습니다.

이것은 무엇인가

Synapse는 Go 언어와 클린 아키텍처 (clean architecture)를 사용하여 하나의 제어 평면 뒤에서 평가 라이프사이클 (assessment lifecycle)을 실행합니다. 몇 가지 핵심 아이디어가 이를 지탱합니다:

• 결정론적 우선 (Deterministic-first). 스캔, 매칭, 라이선스 분류 및 보고는 순수하고 재현 가능한 Go로 이루어집니다. 보고 경로에는 모델 (model)이 포함되지 않습니다.
• 범위 제한 실행 (Scope-gated execution). 모든 작업에는 범위 (scope)와 권한 부여 창 (authorization window)이 포함되며, 어떤 도구가 실행되기 전에 서버 측에서 강제됩니다. 도구는 인자 배열 (argument arrays)을 통해 실행되며, 절대 셸 문자열 (shell string)을 사용하지 않습니다.
• 변조 방지 증거 (Tamper-evident evidence). 모든 아티팩트 (artifact)는 해시 체인 (hash-chained) 방식으로 연결되며 추가만 가능 (append-only)합니다. 체인이 끊어지면 보고서 생성이 차단됩니다.
• 제한된 자동화 (Bounded automation). 선택적인 AI 레이어는 오직 제안만 할 수 있습니다. 별도의 검증기 (verifier) 또는 사람이 이를 확인합니다. 에이전트 (agent)는 스스로의 주장을 결코 확정할 수 없습니다.

현재 제공 기능: 15개 이상의 생태계에 걸친 SBOM, 리스크 기반 우선순위 지정(KEV, 그 다음 EPSS, 그 다음 CVSS)을 포함한 다중 소스 취약점 탐지, 라이선스 준수 (license compliance), 도달 가능성 (reachability), 그리고 CycloneDX, SPDX, SARIF, OpenVEX 형식의 결정론적 보고서.

사용해 보기

git clone https://github.com/KKloudTarus/synapse-ce.git
cd synapse-ce
docker compose -f deploy/docker-compose.full.yml up --build
...

실제 위험에 대한 Or gate CI: ./bin/synapse-cli scan . --fail-on high.

우리는 기여자(contributors)를 찾고 있습니다

Synapse는 이러한 종류의 도구가 더 많은 사람의 검토를 거칠수록 더 좋아지기 때문에 오픈 소스(open source)로 운영됩니다. 참여하기 좋은 분야는 다음과 같습니다:

• 새로운 생태계(ecosystems) 및 lockfile 파서(parsers)
• 탐지 품질(detection quality) 및 오탐(false-positive) 감소
• 도달 가능성(reachability) 및 SAST 커버리지
• 보고 및 표준 (OpenVEX, CSAF, SARIF)
• 대시보드 (Vite, React, Tailwind) 및 문서(docs)

문서(documentation)와 CONTRIBUTING을 먼저 확인하고, 로컬에서 실행해 본 뒤, 이슈(issue)를 생성하거나 풀 리퀘스트(pull request)를 보내주세요.

주의 사항: Synapse는 승인된 보안 테스트용으로만 사용해야 합니다. 이 도구는 범위(scope) 데이터를 검증하지만 귀하의 법적 권한을 확인할 수는 없으므로, 테스트가 허용된 시스템에 대해서만 사용하십시오.

도움이 된다고 생각하신다면 스타(star)를 눌러 다른 사람들이 찾을 수 있도록 도와주세요. 그리고 저희와 함께 개발하고 싶다면 이슈를 생성하여 인사를 건네주세요.