시작하기
IBM Bob Premium Package for DevSecOps에서 결과 보기, 문제 해결, SafeWrite 사용, 보안 대시보드 활용 방법을 알아봅니다.
시작하기 전에 환경이 모든 요구 사항을 충족하는지 확인합니다. 자세한 내용은 사전 요구 사항을 참조하세요.
DevSecOps 프리미엄 패키지는 작업하는 동안 지속적으로 스캔을 실행합니다. 결과가 감지되는 즉시 Bob Findings 패널에 나타납니다. 필요할 때 스캔을 직접 실행할 수도 있습니다. 명령 팔레트를 열고 IBM Premium Package for DevSecOps: Scan for issues 또는 IBM Premium Package for DevSecOps: Run Supply Chain Scan을 실행하세요. Scan for issues 명령은 코드 및 구성 스캔(SAST, IaC, 시크릿)과 공급망 스캔을 함께 실행합니다.
대규모 리포지토리를 더 작은 단위로 나누려면 아무 디렉터리나 마우스 오른쪽 버튼으로 클릭하고 IBM Bob Premium Package for DevSecOps > Scan을 선택하세요.
결과 보기
Bob Findings 패널은 워크스페이스의 모든 활성 스캔 결과를 한 곳에 통합합니다.
프로젝트가 로드된 상태로 IDE를 엽니다.
Bob 사이드 패널에서 Bob Findings 패널을 엽니다.
결과 목록을 검토합니다. 각 결과에는 다음이 표시됩니다:
- 심각도: Critical, High, Medium, Low 또는 Info.
- 파일 및 줄: 코드의 정확한 위치.
- 규칙 ID: 결과를 트리거한 스캐너 규칙.
- 설명: 문제에 대한 일반 언어 설명.
- CVSS 점수 (가능한 경우): CVE 데이터베이스의 심각도 점수.
- 권장 안전 버전 (공급망 결과): 취약점이 없는 가장 가까운 버전.
- 수정 지침 (가능한 경우): 문제 해결을 위한 권장 단계.
결과 해결
Fix with Bob 버튼은 결과를 컨텍스트 내에서 분석하고 수정을 적용하는 에이전트 태스크를 시작합니다.
Bob Findings 패널에서 해결하려는 결과를 선택합니다.
Fix with Bob을 클릭합니다.
Bob이 채팅 패널에서 새 태스크를 열고 문제 분석을 시작합니다. Bob의 제안된 변경 사항을 수락하기 전에 검토합니다.
변경 사항을 수락한 후 Bob Findings 패널에서 결과가 더 이상 표시되지 않는지 확인합니다.
SafeWrite
SafeWrite는 AI가 생성한 보안 취약점으로부터 코드베이스를 보호합니다. Bob이 파일을 쓰거나 편집하는 에이전트 태스크를 실행하면, SafeWrite는 제안된 변경 사항이 디스크에 쓰이기 전에 메모리에서 가로챕니다.
에이전트가 알려진 취약한 의존성을 선언하려고 하면, SafeWrite는 쓰기가 완료되기 전에 이를 가장 가까운 안전한 버전으로 자동 교체합니다. 에이전트가 npm install 또는 pip install 같은 CLI 명령으로 취약한 패키지를 설치하려고 하면, SafeWrite는 해당 명령을 차단하거나 패치합니다.
SafeWrite는 lockfile(package-lock.json, poetry.lock 및 유사한 파일)의 직접 변조도 방지하며, 선택적으로 제안된 코드 변경 사항이 쓰이기 전에 SAST 검사를 실행할 수 있습니다.
SafeWrite(실험적)는 기본적으로 비활성화되어 있습니다. 사용하려면 확장 설정에서 SafeWrite를 활성화하세요.
보안 대시보드
보안 대시보드는 프로젝트 전체의 스캔 결과를 실시간 및 과거 기준으로 보여줍니다. Bob 사이드 패널에서 열어 프로젝트와 브랜치별로 정리된 스캔 실행을 확인하고, 시간에 따른 추세를 추적하며, 이전 실행의 결과를 검토하거나 무시할 수 있습니다. 여러 결과를 선택하여 일괄 수정할 수 있으며, 결과를 독립형 HTML 보고서로 내보낼 수도 있습니다.
대시보드는 결과를 최대 90일 동안 저장합니다.
공급망 스캔
DevSecOps 패키지는 파일을 열거나 저장할 때 의존성 매니페스트에서 알려진 취약점을 스캔합니다. 공급망 결과는 다른 결과와 함께 Bob Findings 패널에 표시됩니다. 프로젝트 전체의 의존성 취약점을 한 번에 수정하려면 공급망 취약점 수정 워크플로를 사용하세요. 자세한 내용은 공급망 취약점 수정 워크플로를 참조하세요.
에이전트 설치 정책
Bob이 에이전트 태스크 중 패키지를 설치할 때, DevSecOps 패키지는 설치가 완료되기 전에 의존성을 확인합니다. 패키지가 위험한 것으로 플래그 표시되면:
- Bob이 패키지를 자동으로 설치하지 않습니다.
- Bob이 채팅에 위험 정보를 보고하고 대신 권장 버전을 설치합니다.