Static Application Security Testing(SAST)

소스 코드에서 알려진 취약점을 확인할 수 있으며, 모든 GitLab 계층에서 SAST 분석기를 실행할 수 있음. 또한 분석기가 JSON 형식의 보고서를 작업 아티팩트로 출력하여 파일로 다운로드가 가능함(컴파일 하기 전에 검사)

1. 조건(분석기 활성화)

- .gitlab-ci.yml 파일에 test stage를 추가할 것

- gitlab-runner를 docker 또는 kubernetes 환경에서 실행할 것

- 공유 러너를 사용할 것(이미지는 Linux/amd64 아키텍처용)

2. 기능

- 파이프라인 실행 시, 취약점이 식별되고, 소스 브랜치와 타겟 브랜치를 비교함. 취약점과 심각한 문제는 병합 요청에 나열되므로, 코드 변경을 커밋하기 전에 애플리케이션의 위험을 사전에 해결할 수 있음