깃허브, ‘보안 캠페인’ 정식 출시…AI로 보안 부채 해결

깃허브는 깃허브 어드밴스드 시큐리티(GHAS) 및 깃허브 코드 시큐리티 고객을 대상으로 ‘코파일럿 오토픽스’를 포함한 ‘보안 캠페인’ 기능을 출시한다고 9일 밝혔다.

개발자와 보안 전문팀은 원활히 협업하고, 보안 부채(security debt)를 제어하고 리스크를 관리할 수 있게 된다.

보안 캠페인 기능은 보안 전문가와 개발자 간 협업을 통해, 보안 취약점 수정 프로세스를 개발자 워크플로우 내에서 간소화하면서도 대규모로 적용할 수 있도록 지원한다. 코파일럿 오토픽스는 한 번에 최대 1000건에 달하는 코드 스캐닝 경고에 대한 코드 수정 제안을 자동으로 생성한다. 이를 통해 보안 담당자는 분류 및 우선순위를 정하고, 개발자는 기존의 개발 흐름을 유지하면서 빠르게 보안 문제를 해결할 수 있도록 지원한다.

보안 캠페인 기능은 지난 해 깃허브 유니버스에서 프리뷰 형태로 대중에 처음 공개된 이후, 기업 규모나 보안 수준에 상관 없이 다양한 조직에서 활용됐다. 특히 전사적인 보안 부채 해결이나 핵심 저장소 경고 관리 등 다양한 방식으로 사용되며, 개발자와 보안 전문팀 모두에게 실질적인 가치를 제공했다.

실제 초기 사용자 데이터를 분석한 결과, 보안 캠페인에 보고되지 않은 외부 보안 부채는 약 10%만 해결된 반면, 보안 캠페인에 보고된 보안 경고 중 55%가 해결되면서 5.5배 높은 효과를 보였다. 이는 보안 담당자가 우선순위를 선별해 주면, 개발자들은 보안 부채 해결에 더 집중할 수 있다는 점을 반영한다. 실제로 깃허브에 따르면, 보안 캠페인에 보고된 경고는 보고되지 않은 경고보다 개발자 참여율이 약 2배 더 높은 것으로 나타났다.

코드베이스에 존재하는 보안 문제를 분류하고 우선순위를 정하는 작업은 소프트웨어 개발 과정에서 반드시 필요한 절차다. 하지만 제품 담당자는 빠른 코드 작성 일정에 쫓기면서 수많은 보안 경고를 일일이 검토하고 어떤 항목부터 처리할지 결정할 여유가 부족한 것이 현실이다. 다행히 대부분의 조직에는 이러한 리스크를 전문적으로 다루는 보안 전문팀이 존재하며, 보안 캠페인 기능은 개발자와 보안 담당자가 각자의 강점을 살려 보안 부채를 함께 해결할 수 있도록 돕는 새로운 협업 방식이다.

보안 전문팀은 보안 캠페인을 통해 조직 내 여러 저장소에 걸쳐 우선적으로 해결해야 할 보안 리스크를 선별한다. 캠페인 구성 시 마이터(MITRE) 상위 10대 공개된 취약점과 같은 사전 정의된 템플릿을 활용해 범위를 손쉽게 설정할 수 있다. 또한, 깃허브의 보안 개요 기능을 통해 조직 전체의 보안 리스크 현황을 통계와 지표로 확인할 수 있다.

보안 캠페인에 포함할 경고가 확정되고 타임라인이 설정되면, 해당 캠페인의 영향을 받는 개발자들에게 자동으로 전달된다. 보안 캠페인에 정의된 수정 작업은 개발자들이 실제로 일하는 공간인 깃허브에서 제공되며, 다른 기능 개발 업무처럼 계획하고 관리할 수 있다.

코파일럿 오토픽스는 캠페인에 포함된 모든 경고에 대해 자동 수정 제안과 함께 문제 원인을 설명하는 맞춤형 도움말을 제공한다. 이를 통해 이슈를 해결하는 것이 단순히 변경 사항을 검토하고 풀 리퀘스트를 생성하는 것만큼 쉬워졌다.

깃허브는 이번에 출시한 보안 캠페인이 단순한 보안 경고에 그치지 않는다고 강조한다. 캠페인에는 각 경고의 책임 개발자를 명확히 전달하기 위한 알림 기능이 제공되며, 캠페인 매니저가 지정돼 전체 진행 상황을 관리하고 개발자들의 작업을 지원한다. 또한, 보안 관리자는 깃허브 내에서 조직 단위의 캠페인 현황을 실시간으로 추적하고, 필요 시 개발자와 긴밀히 협업할 수 있다.

깃허브는 보안 캠페인 기능을 보완할 신규 기능도 발표했다.

보안 캠페인 초안(Draft Security Campaigns) 기능을 통해 보안 관리자는 보안 캠페인 기능의 적용 범위를 사전에 설정하고, 개발자에게 공유하기 전에 초안으로 저장하고 검토할 수 있다. 이를 통해 실제 시작 전에 우선순위가 높은 경고를 충분히 반영했는지 확인할 수 있다. 깃허브 이슈 자동 보고(Automated GitHub Issues) 기능을 이용하면, 보안 캠페인에 포함된 경고가 있는 저장소에는 깃허브 이슈를 자동으로 생성할 수 있고 캠페인 진행에 따라 이슈가 자동으로 업데이트된다. 이를 통해 각 팀은 관련 작업을 추적하고 관리하며 논의하는 데 활용할 수 있다.

조직 단위 보안 캠페인 통계(Organization-level Security Campaign Statistics) 기능은  보안 관리자는 현재 진행 중이거나 완료된 모든 캠페인의 데이터를 종합적으로 확인할 수 있게 한다. 이를 통해 조직 전체의 보안 개선 현황을 효과적으로 파악할 수 있다.

제임스 플레처 깃허브 시니어 프로덕트 매니저는 “보안 부채는 고객이 해결하지 못한 가장 큰 리스크 중 하나로, 자체 분석 결과에 따르면 지금까지 병합된 코드 내 보안 부채 중 단 10%만이 해결돼 전체의 90%가 미해결 상태로 남아 있었다”며 “하지만 보안 캠페인 기능 도입 이후, 보안 부채 해결 비율이 55%까지 크게 향상됐다”고 설명했다.

글. 바이라인네트워크
<김우용 기자>yong2@byline.network