오탐 분류와 긴 분석 시간에 지치셨나요?
Security Scanner는 근거와 재현 정보를 함께 리포트합니다.
Clean hold-out: 12/15 PASS (weak_random N=1 caveat)
weak_random N=1 caveat
Q2 blind: 2/12 PASS
과장 없는 메시지를 위해, 페이지의 핵심 문구를 “근거(SoT/테스트/리포트)”에 맞춰 제공합니다
많은 기업들이 SAST 도구를 도입하지만, 실제로 효과를 보는 곳은 드뭅니다. 이유가 무엇일까요?
기존 SAST 도구는 오탐이 많아, 개발자가 실제 취약점 대신 경고를 분류하느라 시간을 소모합니다.
분석 시간이 길면 빌드/배포가 느려져 DevSecOps 자동화가 어려워집니다.
설치/운영/권한/정책/리포트 체계를 갖추는 데 시간이 많이 들면, 도입 자체가 장벽이 됩니다.
이런 문제들을 겪고 계신가요?
해결책 보기Security Scanner는 세 겹의 방어 체계로
불필요한 경고를 줄이고, 근거 기반 리포트만 제공합니다.
파라미터 바인딩, ORM 패턴, escape 함수 등 안전한 코드를 먼저 식별하여 불필요한 경고를 제거합니다.
핵심 기술. 반복문 내부의 데이터 흐름을 추적하여 복잡한 취약점도 탐지합니다.
탐지 결과에 CWE/OWASP 매핑과 근거를 붙이고, 검증 로그로 재현 가능성을 확인합니다.
우리는 코드를 받지 않습니다. 분석 엔진이 고객에게 가서 일하고,
익명화된 리포트만 선택적으로 전송됩니다.
코드가 고객 인프라를 벗어나지 않습니다. 분석 엔진이 고객에게 가서 일합니다.
코드 스니펫 제거, 파일 경로 익명화 등 민감 정보 보호 옵션을 제공합니다.
SARIF, JSON, SPDX 등 업계 표준 포맷으로 출력하여 기존 도구와 연동됩니다.
검증 스위트와 테스트 케이스를 함께 제공하여 탐지 성능을 직접 검증할 수 있습니다.
소스코드가 절대 외부로 나가지 않습니다
고객 인프라 내부에서만 스캐너가 실행됩니다. Docker 컨테이너 또는 Python 패키지로 설치하면, 모든 분석이 사내 네트워크 안에서 완료됩니다.
# 고객 인프라 내부에서 실행
pip install securityscanner
# 전체 프로젝트 스캔 (오프라인)
securityscanner scan --target ./src \
--profile security_extended \
--format sarif > report.sarif
# 코드 스니펫 제거 + 경로 익명화
securityscanner scan --target ./src \
--no-snippets --anonymize-paths기존 보안 스캐너는 오탐으로 개발자를 지치게 합니다.
Security Scanner는 다른 접근을 택했습니다.
* 모든 상황에서 오탐이 “제로”라는 뜻이 아니라, 우리가 관리하는 코퍼스 기준으로 동일 FP 재발을 줄이는 품질 관리 체계를 의미합니다.
계약서에 표기 가능한 SLA는 SoT(`contract_performance.json`) 기반으로만 산정합니다.
현재 계약서 SLA 표기 가능: —(증빙 로딩 중/미연결)
개인/소규모 팀을 위한 기본 플랜
확장 가능한 팀/프로덕션 CI 플랜
규제/감사/대규모 조직을 위한 맞춤 플랜