보안 구성
Tier: Free, Premium, Ultimate
Offering: GitLab.com, Self-managed, GitLab Dedicated
보안 구성 페이지가 GitLab 14.2에서 재설계되었습니다.
보안 구성 페이지는 보안 테스트 및 규정 준수 도구에 대한 다음 정보를 나열합니다.
- 이름, 설명 및 문서 링크.
- 사용 가능 여부.
- 구성 버튼 또는 구성 가이드 링크.
각 보안 제어의 상태를 결정하기 위해 GitLab은 기본 브랜치의 가장 최근 커밋에서 CI/CD 파이프라인을 확인합니다.
만약 GitLab이 CI/CD 파이프라인을 찾는다면, .gitlab-ci.yml
파일의 각 작업을 검사합니다.
- 작업이 보안 스캐너에 대한
artifacts:reports
키워드를 정의하는 경우, GitLab은 보안 스캐너를 활성화되었다고 보고 활성화됨 상태를 표시합니다. - 어떤 작업도 보안 스캐너에 대한
artifacts:reports
키워드를 정의하지 않는 경우, GitLab은 보안 스캐너를 비활성화되었다고 보고 비활성화됨 상태를 표시합니다.
만약 GitLab이 CI/CD 파이프라인을 찾지 못하는 경우, GitLab은 모든 보안 스캐너를 비활성화되었다고 보고 비활성화됨 상태를 표시합니다.
실패한 파이프라인과 작업은 이 과정에 포함됩니다. 만약 스캐너가 구성되지만 작업이 실패하는 경우에도 해당 스캐너는 여전히 활성화되었다고 간주됩니다. 이 과정은 또한 API를 통해 반환되는 스캐너 및 상태를 결정합니다.
가장 최근의 파이프라인이 Auto DevOps를 사용하는 경우, 모든 보안 기능이 기본적으로 구성됩니다.
프로젝트의 보안 구성을 보려면:
- 왼쪽 사이드바에서 검색 또는 이동을 선택하고 프로젝트를 찾습니다.
- 보안 > 보안 구성을 선택합니다.
.gitlab-ci.yml
파일의 이력을 보려면 구성 기록을 선택합니다.
보안 테스트
다음 보안 제어를 구성할 수 있습니다:
-
정적 애플리케이션 보안 테스트 (SAST)
- SAST 활성화를 선택하여 현재 프로젝트에 SAST를 구성할 수 있습니다. 자세한 내용은 UI에서 SAST 구성을 참조하십시오.
-
동적 애플리케이션 보안 테스트 (DAST)
- DAST 활성화를 선택하여 현재 프로젝트에 DAST를 구성할 수 있습니다.
- 스캔 관리를 선택하여 저장된 DAST 스캔, 사이트 프로필 및 스캐너 프로필을 관리할 수 있습니다. 자세한 내용은 DAST 온디맨드 스캔을 참조하십시오.
-
의존성 스캐닝
- 합병 요청으로 구성을 선택하여 의존성 스캐닝을 활성화하는 데 필요한 변경 사항이 포함된 합병 요청을 만들 수 있습니다. 자세한 내용은 사전 구성된 합병 요청 사용을 참조하십시오.
-
컨테이너 스캐닝
- 합병 요청으로 구성을 선택하여 컨테이너 스캐닝을 활성화하는 데 필요한 변경 사항이 포함된 합병 요청을 만들 수 있습니다. 자세한 내용은 자동 합병 요청을 통한 컨테이너 스캐닝 활성화을 참조하십시오.
-
운영용 컨테이너 스캐닝
- 에이전트 구성에 구성 블록을 추가하여 구성할 수 있습니다. 자세한 내용은 운영용 컨테이너 스캐닝을 참조하십시오.
-
시크릿 탐지
- 합병 요청으로 구성을 선택하여 시크릿 탐지를 활성화하는 데 필요한 변경 사항이 포함된 합병 요청을 만들 수 있습니다. 자세한 내용은 자동으로 구성된 합병 요청 사용을 참조하십시오.
-
API 퍼징
- API 퍼징 활성화를 선택하여 현재 프로젝트에 API 퍼징을 사용할 수 있습니다. 자세한 내용은 API 퍼징을 참조하십시오.
-
Coverage 퍼징
-
.gitlab-ci.yml
로 구성할 수 있습니다. 자세한 내용은 Coverage 퍼징을 참조하십시오.
-
규정 준수
Tier: Ultimate
Offering: GitLab.com, Self-managed, GitLab Dedicated
다음과 같은 보안 제어를 구성할 수 있습니다: