SAST(정적 분석 보안 테스트) 도구를 사용해 본 개발자라면 누구나 실망감을 느껴봤을 겁니다. 200개의 발견 사항을 받고 하루 동안 분류 작업에 매달리지만, 실제로 중요했던 네 가지는 단일 엔진이 조용히 건너뛴 것들이었습니다.

도구가 틀린 것은 아니었습니다. 하나의 규칙 세트가 하나의 렌즈를 통해 위험을 모델링하기 때문에, 그 사각지대가 곧 여러분의 사각지대가 되는 겁니다.

저희에게 효과적이었던 변화는 하나의 스캐너를 믿는 것을 멈추고 아홉 개의 보안 엔진을 병렬로 실행하는 것이었습니다. 각각은 OWASP Top 10과 CWE 공간의 다른 부분을 모델링하기 때문에, 그 간극들이 겹치지 않습니다.

그러면 AI 레이어가 발견된 문제에 대한 수정안을 제안하고, 종종 약 1분 만에 처리됩니다. 최종 판단은 여전히 여러분이 내립니다. 스캐너는 단지 명백한 것들에 시간을 낭비하는 것을 멈추게 해줄 뿐입니다.

구체적인 사례를 들자면, Python 서비스에서 한 엔진이 Bandit가 깨끗하다고 점수한 로깅 헬퍼의 SQL 인젝션을 플래그 지정했습니다. 병렬 커버리지가 이를 잡아냈고, 제안된 수정 사항은 파라미터화된 쿼리였으며, 저희는 이를 삽입하고 60초 이내에 재실행할 수 있었습니다.

243개의 발견 사항 대 중요했던 4가지라는 것이 다중 엔진을 사용해야 하는 이유 전체입니다. 깨끗한 결과가 나왔다고 믿기 전에 두세 개의 스캐너를 돌려보세요.