보안 자동화 — SAST, DAST, SCA를 CI/CD에 통합

보안 도구 종류

• SAST: 소스 코드 정적 분석 (Semgrep, SonarQube)
• DAST: 실행 중인 앱 동적 분석 (OWASP ZAP)
• SCA: 의존성 취약점 검사 (Snyk, Dependabot)

GitHub Actions 통합

name: Security Scan
on: [pull_request]
jobs:
  sast:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: returntocorp/semgrep-action@v1
        with:
          config: "p/typescript p/owasp-top-ten"
  sca:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - run: npx audit-ci --high