aws 아키텍처 사례 4 - Codeguru를 활용한 코드 보안 자동화

참고 링크: https://aws.amazon.com/ko/blogs/security/automate-and-enhance-your-code-security-with-ai-powered-services/

 

Amazon CodeWhisperer

• Copilot처럼 코드 생성만 해주는 줄 알았는데 보안 스캔 기능이 내장되어 있어서 취약한 코드를 알려준다.
• Python, Java, JavaScript로 코드를 생성하여 OWASP TOP 10 취약점과 안전하지 않은 암호화 라이브러리, 잠재적인 보안 취약성 등을 검색하여 해결을 위한 실행 가능한 제안 제공
• 코드 대안을 생성하여 애플리케이션의 전반적인 보안 상태 강화 가능
• 사용 가능 언어: Python, Java, JavaScript, TypeScript, C#, Go, Rust, PHP, Ruby, Kotlin, C, C++, 쉘 스크립팅, SQL, Scala 등

Amazon CodeGuru

• 코드 리포지토리 및 지원되는 통합 개발 환경(IDE)에 대한 추가 취약성 검사를 수행
• 코드 품질을 높이고 비경제적인 코드를 찾아낼 수 있도록 지원하는 권장 사항을 제공하는 지능형 개발자 도구
• Profiler와 Reviewer로 나뉘어서 Profiler는 CPU 많이 차지하고 있는 메서드나 latency가 오래 걸리는 등 비경제적인 코드를 찾아내고, Reviewer는 심각한 문제나 보안 취약성 및 찾기 힘든 버그를 식별하여 코드 리뷰를 제공
• 사용 가능 언어: Java, Python, JavaScript, TypeScript, C#, CloudFormation, Terraform, Go 및 Ruby

출처: Remember 기술 블로그

Amazon Inspector

• AWS 워크로드에서 소프트웨어 취약성 및 의도하지 않은 네트워크 노출을 지속적으로 검사하는 취약성 관리 서비스
• 일반적인 취약점 및 노출(CVE) 정보를 네트워크 액세스 및 악용 가능성과 같은 요소와 연관시켜 각 결과에 대해 고도로 상황화된 위험 점수를 계산 
• 영향을 받는 리소스 식별 및 해결 지침을 제공하는 발견 보고서까지 생
• EC2, ECR, AWS Lambda 함수 등을 검사
• 대시보드 화면 확인 가능

 

3개 중에 2개는 알고 있었는데 CodeGuru는 처음 들어봐서 실제로 한국에서 사용 사례가 있는지 검색해 본 결과

명함 관리 앱인 Remember 기술 블로그에서 관련 내용을 찾을 수 있었다.

 

참고 링크: https://blog.dramancompany.com/2021/11/code-guru-reviewer%EB%A5%BC-%EC%82%AC%EC%9A%A9%ED%95%98%EC%97%AC-%EC%BD%94%EB%93%9C%EB%A6%AC%EB%B7%B0-%EB%B0%9B%EA%B8%B0/