Offcanvas

개발자 / 데브옵스 / 보안 / 애플리케이션

오토래빗, 세일즈포스 환경 위한 데브섹옵스 툴 발표 “보안 사일로 해소”

2022.09.16 Brian Cheon  |  CIO KR
데브섹옵스 기업 오토래빗(AutoRabit)이 세일즈포스 환경에서 정책 변경 및 잘못된 구성으로 인해 발생하는 보안 문제를 해결하도록 돕는 ‘코드스캔 실드’(CodeScan Shield)를 출시했다.

오토래빗의 정적 코드 분석 도구였던 코드스캔의 후속 확장 버전에 해당하는 이번 툴은 ‘OrgScan’이라는 새 모듈이 추가된 것이 특징이다. 이 모듈은 세일즈포스 환경에 필요한 보안 및 컴플라이언스 규칙을 적용해 조직 정책을 관리한다. 

오토래빗은 OrgScan으로 스캔하면 우려해야 할 영역을 식별할 수 있도록 돕는 대시보드가 생성되고 이를 통해 조직은 시간과 비용을 절약할 수 있다고 전했다. 

회사의 에릭 피어슨 북미 및 남미 기업 계정 담당 부사장은 “일반적으로 기업에는 조직 전체의 보안 유지에 관여하는 그룹이 3개 이상이다. 개발 조직, 그들이 구축한 애플리케이션을 빌드하고 출시하는 릴리스 관리 조직이 있다. 이에 더해 사용자 액세스, 세션 관리 및 세일즈 보안의 기타 측면에서 모든 것을 책임지는 세일즈포스 시스템 관리자도 있다. 기업 전체의 데이터, 개인 정보 보호 등을 관장하는 인포섹(InfoSec) 조직도 있다”라고 말했다.

그에 따르면 이렇듯 서로 다른 조직들은 사일로화되어 있는 경우가 잦다. 피터슨은 “코드스캔 실드의 목표는 이러한 다양한 그룹을 하나로 통합하고 관리자 권한, 세션 관리, 사용자 액세스 등 모든 것을 정책 관리 시스템에서 자동화하는 것이다. 이러한 유형의 규칙이 개발 및 릴리스 관리 주기에 더 빨리 통합되어 보안이 모든 데브섹옵스 솔루션이 초점이 되도록 돕고자 했다”라고 말했다. 

또 OrgScan은 노코드 인터페이스를 지원해 전문적인 코딩 지식 없이도 사용할 수 있다고 그는 덧붙였다.

한편 오토래빗의 주력 상품은 여전히 정적 코드 분석 도구인 코드스캔이다. 코드스캔 실드의 코드를 동적으로 추적한다는 점에서 후속작이면서도 다소 다른 성격을 지닌다. 다양한 개발 단계에서 발생할 수 있는 보안 문제를 능동적으로 처리함으로써 실수로 도입된 취약점을 확인할 수 있는 것이다. 

피어슨은 “코드스캔 실드가 코드 자체의 작동 여부를 확인하지 않는다. 실수로 코드에 취약점을 도입했는지, 백도어 및 데이터 누출 경로가 있는지, 사용자 경험을 백도어 및 해킹할 수 있는 방법이 있는지 등을 확인한다.”라고 말했다. 

그에 따르면 코드스캔 실드는 세일즈포스가 보안 계층을 통해 부여하는 제어 영역의 한계를 극복하는 데에도 도움이 된다. 세일즈포스 제어 영역에 있는 프로필 기능은 권한 집합에 대한 액세스 권한이 있는 위치를 제한하는데 도움이 된다. 그러나 세일즈포스 환경의 여러 사용자 정의 프로필은 필요 이상의 추가 제어 권한을 부여하기도 한다는 설명이다. 

피어슨은 “예를 들어 정책에 따라 암호는 매월 만료되어야 하지만 수정된 데이터는 만료되지 않도록 설정할 수 있으며, 이는 코드를 취약하게 만들 수 있다. OrgScan은 정책이 어떻게 만들어졌는지, 얼마나 많은 사용자 정의 프로필이 데이터를 수정해야 하는지, 또는 많은 프로필이 있는 경우 해당 암호가 어떻게 만료되지 않도록 설정해야 하고 그 값은 얼마여야 하는지를 지시하도록 돕는다”라고 말했다. 

그는 이어 “이러한 특징은 개발 팀이 InfoSec 및 시스템 관리에서 규정한 지침과 명령을 따르고 있는지 쉽게 확인할 수 있도록 해준다”라고 전했다. ciokr@idg.co.kr
 
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.