웹 애플리케이션 보안 테스트 자동화

웹 보안 테스트 자동화 도구:

1. OWASP ZAP (무료):

# Docker로 간편 실행
docker run -t owasp/zap2docker-stable zap-baseline.py \
  -t https://your-site.com -r report.html

# GitHub Actions 통합
- name: ZAP Scan
  uses: zaproxy/action-baseline@v0.7.0
  with:
    target: "https://your-site.com"

2. 의존성 취약점 검사:

# npm
npm audit

# Python
pip-audit
safety check

# Docker 이미지
trivy image myapp:latest

3. SAST (정적 분석):

• SonarQube — 코드 품질 + 보안
• Semgrep — 패턴 기반 보안 검사
• Bandit — Python 전용

CI 파이프라인에 npm audit + trivy + ZAP baseline 세 가지를 넣으면 기본적인 보안 자동화가 됩니다.