대본 기획 도우미▸ 
AI 앱 
AI 뉴스 
Corgea: AI 기반 SAST 코드 보안 스캔 및 수정 도구
Corgea: AI 기반 SAST 코드 보안 스캔 및 수정 도구소개
Corgea는 SAST 보안 검사 도구로, 비즈니스 로직 취약점, 코드 로직 취약점 등 보안 문제를 발견할 수 있으며 SQL 인젝션, 크로스 사이트 스크립팅 공격을 탐지할 수 있습니다. 미탐지율도 매우 낮아 최고 5% 미만이었으며, 보안 문제의 74%를 자동으로 수정하여 매주每人당 6시간을 절약할 수 있습니다. Java, Python 등 여러 언어를 지원하며, 코드 수정 권장 사항, 취약점 정책 관리, 차단 규칙 기능도 제공합니다.
기능 모듈
취약점 탐지: 비즈니스 로직 취약점(예: 인증 우회), 코드 로직 취약점(예: SQL 인젝션, 크로스 사이트 스크립팅 XSS, 안전하지 않은 역직렬화), 하드코딩된 자격 증명, 민감 정보 노출 등의 문제를 찾아냅니다.
최적화: 상당수의 오탐을 걸러내어 약 30%의 티켓을 줄이고, 오탐률을 <5%로 유지합니다.
자동 수정: 74%의 보안 문제를 자동으로 수정하며, SQL 인젝션 문제를 매개변수화된 쿼리로 변경하는 등 코드 수정 권장 사항을 제공합니다. 매주 개발자가 6시간 이상 절약할 수 있습니다.
다국어 지원: 영어, JavaScript, TypeScript, Go, Python, C# 등 언어 및 프레임워크를 지원합니다.
스캔 및 분석: Corgea-Blast 엔진으로 코드를 스캔하며, 리포트에는 취약점 심각도(Critical/High/Medium/Low), 수정 상태 등의 내용이 포함됩니다.
정책 및 차단 규칙: 의료 데이터 암호화 요구 사항 등 비즈니스 정책을 자연어로 정의할 수 있으며, 비준수 코드 병합을 차단하는 차단 규칙도 설정할 수 있습니다.
통합 및 개발자 경험: GitHub, Azure DevOps 통합을 지원하며(GitLab, Bitbucket도 향후 지원 예정), 코드 수정을 IDE로 직접 푸시할 수도 있습니다.
활용 시나리오
취약점 예방: 코드 커밋 전에 취약점을 탐지할 수 있습니다. 예를 들어 pygoat 프로젝트의 인증 우회 취약점 등은 공격자나 침투 테스트 담당자가 발견하기 전에 잡아낼 수 있습니다.
효율성 향상: 하드코딩된 SQL 쿼리를 매개변수화된 쿼리로 변경하는 등 수정 코드를 자동으로 생성하여 수동 수정에 들어가는 수고를 크게 덜어줍니다.
규정 준수 관리: 사설 네트워크 통신, ORM 사용规范 등 기업 아키텍처에 맞는 사용자 정의 정책으로 규정 준수 리스크를 낮출 수 있습니다.
사용 방법
설치 및 통합: GitHub 앱, Azure DevOps 플러그인 및 CLI 도구(npm install -g corgea-cli)를 지원합니다.
스캔 설정: .corgearc 파일로 스캔 규칙을 설정하며, 여러 언어(예: JavaScript, TypeScript)와 규칙 카테고리(예: 인증)를 지원합니다.
수정 프로세스: 수정 PR을 자동으로 생성하고, 개발자가 리뷰 및 병합하며, 취약점 상태를 추적합니다.
장점과 단점
장점：
취약점 탐지율 74% 향상.
오탐률이 낮아 5% 미만(업계 평균 30%).
여러 언어(Java, JS, Go, Python 등) 지원.
개발자 중심의 설계 철학.
단점：
현재 모바일 언어(Kotlin/Swift)는 지원하지 않음.
엔터프라이즈 버전의 시작 가격이 다소 높음.
프라이빗 배포는 엔터프라이즈 버전에서만 제공.
가격 플랜
무료 버전: 2개 저장소, 월 10회 PR 스캔, 10회 자동 수정.
스타터 버전($14)——5개 저장소, 월 30회 PR 스캔, 50회 자동 수정.
그로스 버전($29)——10개 저장소, 월 150회 PR 스캔, 무제한 자동 수정.
스케일 버전($49)——저장소 수 무제한, PR 스캔 횟수 무제한, 자동 수정 횟수 무제한, 악성 코드 스캔 및 SLA 관리 지원.
엔터프라이즈 버전——저장소 수 무제한, PR 스캔 횟수 무제한, 자동 수정 횟수 무제한, 악성 코드 스캔, SLA 관리 및 프라이빗 ai 모델 지원.
