웹 애플리케이션 보안: 정찰, 공격, 방어 세 단계로 배우는 웹 애플리케이션 보안의 모든 것

266

3

부

방어

일반적으로 코드 보안 리뷰는 병합 요청(풀 요청이라고 부르는 경우가 많지만 이는 정확한 용

어가 아닐 때가 많다 )이 있을 때 수행하는 것이 합리적이다. 코드를 병합한다는 것은 완전한

기능 집합을 개발했고 연결이 필요한 전체 시스템이 통합되어야 함을 의미하므로 이때 코드 보

안 리뷰를 하는 것이 적절하다. 코드 전체 스코프를 한자리에서 검토할 수 있는 기회로 삼을 수

있다.

커밋별 리뷰라든지 페어 프로그래밍 접근을 통해 개발 과정에 대해 더욱 세부적으로 코드 보안

리뷰를 하는 것이 가능할 수 있다. 한 차례의 코드 리뷰만으로는 전체 코드를 검토할 수 없으므

로 일관되고 지속적인 작업이 필요하다. 하지만 미션 크리티컬한 보안 기능에 대해서는 이것이

현명한 접근이 될 것이다. 기능과 보안을 모두 추구하여 병합 요청 시 리뷰를 수행하면 보안성

이 매우 높은 기능을 작성할 수 있게 될 것이다.

보안상의 미비점을 찾는 리뷰를 수행하는 시점을 언제로 할 것인지는 조직에 따라 다르며 조직

의 기존 프로세스와도 부합해야 한다. 그렇지만 지금까지 설명한 내용이 보안 코드 리뷰를 개

발 과정에 통합하는 가장 실용적이고 효과적인 방법일 것이다.

19.1

코드 리뷰 방법

코드 보안 리뷰는 코드 기능 리뷰와 매우 비슷하게 이뤄진다. 기능 리뷰는 거의 모든 개발 조직

에서 표준적으로 행하므로 코드 보안 리뷰를 익히는 것도 그리 어렵지 않다.

보안을 위한 코드 리뷰의 첫 단계는 브랜치를 로컬 개발 머신으로 복사하는 것이다. 웹 기반 편

집기에서 리뷰하는 ...