초보자를 위한 GitHub 가이드: GitHub 보안 기능 시작하기

코드나 사용하는 라이브러리의 취약점은 공격자가 악용할 수 있는 위험 요소다. 대부분의 소프트웨어가 제3자 패키지에 의존하기 때문에, 규모가 작은 신규 프로젝트라도 라이브러리를 통해 보안 위험을 그대로 물려받을 수 있다.

**GitHub Advanced Security (GHAS)**는 코드 품질을 개선하고 보안 문제를 해결하는 데 도움을 주는 제품군이다. 공개 저장소에서는 Dependabot, code scanning, secret scanning, Copilot Autofix 기능을 사용할 수 있다.

보안 기능을 활성화하려면 저장소의 Settings > Advanced Security 메뉴에서 다음 항목을 설정해야 한다.

• Dependabot: 종속성 알림 및 보안 업데이트 활성화
• CodeQL analysis: 코드 스캐닝 설정
• Secret Protection: 비밀 정보 보호 활성화

주요 도구의 상세 기능은 다음과 같다.

• Secret scanning: API 키나 토큰이 실수로 커밋되면 이를 감지한다. 감지된 비밀 정보는 사용자가 직접 해당 플랫폼(Azure, Stripe 등)에서 무효화(Revoke)해야 한다.
• Dependabot: 라이브러리의 취약점을 감지하여 알림을 제공하며, 안전한 버전으로 업데이트할 수 있도록 Pull Request를 생성한다.