IBM Bob을 DevSecOps용 보안 스캔 기능으로 확장하여 IDE를 벗어나지 않고 취약점, 잘못된 구성, 노출된 시크릿, 공급망 위험을 탐지합니다.

IBM Bob Premium Package for DevSecOps는 지속적인 보안 스캔, AI 기반 취약점 분석, 자동화된 수정을 개발 워크플로에 추가합니다. 작업하는 동안 탐지 결과가 IDE에 직접 표시됩니다.

포함된 기능

취약점, 잘못된 구성 및 시크릿 스캔

코드 & IaC

Trivy, Bob 규칙이 적용된 Opengrep, KICS를 사용하여 코드 및 infrastructure as code 파일의 취약점과 잘못된 구성을 탐지합니다.

시크릿

버전 관리에 도달하기 전에 노출된 시크릿, 토큰, 자격 증명을 식별합니다.

공급망 위험 분석 및 수정

위험 분석

파일을 열거나 저장할 때마다 의존성 매니페스트에서 알려진 CVE, 패키지 인기도 신호, 릴리스 경과 기간을 스캔합니다. 에이전트 태스크 중 설치 시점에도 위험한 패키지를 차단합니다.

수정 워크플로

각 단계에서 자동화된 테스트 스위트 검증을 수행하며 프로젝트 전체의 의존성 취약점을 수정합니다.

SafeWrite

AI 에이전트의 파일 쓰기를 메모리에서 가로채 취약한 의존성 선언이 코드베이스에 도달하기 전에 자동으로 패치합니다.

AI 기반 보안 스캔

고정된 규칙 대신 AI 추론을 사용하여 취약점을 찾는 공격 표면 스캔 또는 파일 스윕 스캔을 실행합니다.

IaC 자동화 스킬

Ansible 및 Terraform에 걸쳐 깊이 있는 안내형 infrastructure as code 전문성을 제공하는 익스텐션이 등록하는 Bob 네이티브 스킬입니다.

Fix with Bob

결과에서 직접 에이전트 태스크를 시작하여 같은 IDE 창에서 Bob이 문제를 분석하고 해결하도록 합니다.

보안 대시보드

프로젝트와 브랜치별로 정리된 과거 스캔 결과를 확인하고, 추세를 추적하며, 이전 실행의 결과를 무시할 수 있습니다.

작동 방식

규칙 기반 스캔은 코드를 작성하고 편집하는 동안 지속적으로 실행됩니다. 결과는 감지되는 즉시 Bob Findings 패널에 나타나며 심각도, 파일, 줄, 규칙 ID, 그리고 가능한 경우 수정 지침이 표시됩니다. 현재 컨텍스트를 벗어나지 않고 결과를 선택하여 에이전트 수정을 시작할 수 있습니다.

더 심층적인 분석을 위해 패키지에는 규칙 기반 스캐너가 놓치는 취약점을 찾기 위해 프로젝트의 아키텍처와 데이터 흐름을 추론하는 AI 기반 스캔 워크플로가 포함되어 있습니다.