보안 테스트 도구 실전

학습 목표

이 모듈 한 줄 요약 — "돌린 다음이 진짜 일이다". 보안 도구는 돌리면 수백 건을 쏟아 낸다. 그중 상당수는 실제 문제가 아니다. 무엇이 진짜이고 무엇을 먼저 고칠지 가려내는 일이 도구 사용법보다 훨씬 오래 걸리고, 그 일이 QA 의 몫이다.

이 모듈을 마치면 모듈 16에서 배운 OWASP ZAP·Burp Suite·SQLmap 외에, 코드 자체를 분석하는 SonarQube를 직접 다뤄보고, 엔터프라이즈 통합 보안 솔루션 Fortify가 어떤 위치에 있는지 이해한다. 그리고 도구를 돌린 다음 을 다룬다 — 수십·수백 건짜리 스캔 리포트를 허가 확인부터 오탐 분류·심각도 재평가를 거쳐 개발팀이 실제로 수정하는 티켓으로 바꾸는 과정이다.

완료 후 할 수 있는 것

• SonarQube로 코드 품질·보안 취약점을 정적으로 분석하고 결과를 읽을 수 있다
• SonarQube의 Quality Gate 개념을 CI 파이프라인의 품질 게이트와 연결해 설명할 수 있다
• Fortify 같은 엔터프라이즈 통합 보안 솔루션이 오픈소스 도구 조합과 무엇이 다른지 설명할 수 있다
• 스캔 전 허가 조건을 확인하고, 리포트를 4단계로 트리아지해 오탐을 걸러내고 심각도를 우리 맥락으로 재평가할 수 있다
• AI 기반 스캐너의 오탐이 왜 더 걸러내기 어려운지 알고, 재현 기준으로 판정할 수 있다

채용시장에서의 위치

SonarQube는 오픈소스 진영에서 사실상 표준으로 자리 잡은 정적 분석 도구라 채용공고에 자주 등장한다. Fortify 같은 유료 통합 솔루션은 주로 금융·공공기관처럼 규제가 엄격한 대규모 조직에서 요구되며, 채용공고에 등장하면 그 조직의 보안 요구 수준을 가늠하는 신호가 된다.

다만 도구 이름보다 오래 가는 것은 리포트를 다루는 능력 이다. 스캐너를 도입한 조직은 늘고 있는데 리포트를 다룰 사람이 없어 방치되는 경우가 그만큼 많다. 재현하고 분류하고 우선순위를 매기는 일은 QA가 원래 하던 일이고, "스캔 리포트 123건을 15건으로 정리해 개발팀이 실제로 수정하게 만든 경험" 은 도구 사용 경험보다 훨씬 드물고 구체적이다.