Project Security Center

​

결과가 분류되는 방식

• Critical(심각): 즉각적인 위험을 초래하며 게시 전에 반드시 해결해야 하는 취약점입니다. 원격 코드 실행, 노출된 엔드포인트의 SQL 인젝션, 유출된 자격 증명 등이 있습니다.
• High(높음): 특정 조건에서 악용될 수 있는 심각한 문제로, 크로스 사이트 스크립팅(XSS), 안전하지 않은 인증 흐름, 알려진 익스플로잇이 있는 패치되지 않은 종속성 등이 있습니다.
• Medium(중간): 잠재적 위험을 나타내지만 악용 가능성이 낮은 문제로, 보안 헤더 누락이나 지나치게 허용적인 CORS 구성 등이 있습니다.
• Low / Informational(낮음/정보성): 사소한 문제나 모범 사례 권장 사항으로, 지원 종료된 API 사용이나 프로덕션 환경의 지나치게 상세한 오류 메시지 등이 있습니다.

​

Project Security Center란 무엇인가요?

1. 자동 종속성 스캔: 프로젝트 패키지를 공개 취약점 데이터베이스와 비교해 확인하는 무료의 경량 스캔
2. Agent 보안 스캔: 모델 기반 분석과 정적 코드 분석 도구를 결합해 전체 코드베이스를 감사하는 AI 지원 검토

​

자동 종속성 스캔

​

Auto-Protect

1. 영향을 받는 프로젝트의 Security 패널로 바로 이동하는 링크가 포함된 요약 이메일을 보냅니다.
2. Replit Agent에게 취약점을 해결하는 패치를 준비하고 테스트하도록 요청합니다.
3. 검토를 기다리는 상태로 패치를 Security 패널에 남겨둡니다.

​

Auto-Protect 활성화하기

​

Agent 보안 스캔

​

Security Agent가 하는 일

1. 아키텍처 매핑 — 경로, API, 데이터 흐름, 진입점을 식별합니다.
2. 위협 모델 구축 — 애플리케이션에 맞춘 커스터마이즈 가능한 위협 모델링 계획을 생성합니다.
3. 정적 분석 실행 — Semgrep과 HoundDog.ai를 사용해 코드 수준의 취약점과 개인정보 문제를 스캔합니다.
4. AI로 발견 사항 분석 — 표시된 문제가 애플리케이션 맥락에서 실제로 악용 가능한지 평가해 오탐(false positive)을 크게 줄입니다.
5. 발견 사항 보고서 생성 — 검토를 위해 식별된 위험을 제시합니다.

• 정적 분석(SAST) 문제: SQL 인젝션, 크로스 사이트 스크립팅(XSS), 크로스 사이트 요청 위조(CSRF)와 같은 안전하지 않은 코드 패턴
• 개인정보 문제: 로그, 파일, 서드파티 API와 같은 위험한 목적지로 흘러가는 민감한 데이터
• 아키텍처 취약점: 경로, API, 데이터 흐름이 구성된 방식의 보안 공백

const query = `SELECT * FROM users WHERE username = '${userInput}'`;

logger.info("New signup", {
  email: user.email,
  phoneNumber: user.phoneNumber,
  address: user.address,
});

​

Agent 보안 스캔 시작하기

1

프로젝트의 Security 패널을 열어 Project Security Center를 실행합니다.

2

Run scan with Agent를 선택합니다.

3

필요하다면 위협 모델링 프롬프트를 커스터마이즈해 애플리케이션의 특정 영역에 초점을 맞출 수 있습니다.

4

검토가 완료될 때까지 기다립니다. 일반적으로 몇 분 정도 걸리지만, 대규모 프로젝트의 경우 최대 15분까지 걸릴 수 있습니다.

​

제한 사항 및 모범 사례

• 개인정보 및 데이터 처리: 모든 스캔은 Replit 인프라에서 실행됩니다. 여러분의 코드와 데이터는 Semgrep, HoundDog.ai, 또는 다른 서드파티로 전송되지 않습니다. 스캔 구성과 결과는 여러분의 Replit App에 계속 연결되어 있습니다.
• 언어 지원:
  • 종속성 스캔은 Node.js/npm, Python, Go, Rust, PHP, Ruby를 포함한 다양한 인기 생태계를 지원합니다.
  • 자동 종속성 수정은 현재 Node.js/npm에 초점을 맞추고 있습니다.
• 완전한 보안 검토는 아닙니다: 스캔은 코드 리뷰, 테스트, 종속성 검토, 실제 앱 점검과 함께 사용하세요.
• 변경 후 다시 실행하세요: 다음의 경우 스캔을 다시 실행하세요.
  • 종속성을 추가하거나 업데이트한 후
  • 주요 코드를 변경한 후
  • 새 버전을 게시하기 전

​

게시 검사

• On — 문제가 해결되거나 무시되기 전까지 게시가 차단됩니다.
• Off — 게시가 진행되며 발견 사항이 검토용으로 표시됩니다.

​

다음 단계

• 게시에 대해 자세히 알아보고 스캔이 정상이면 Replit App을 게시하세요.
• Replit Agent를 살펴보고 Project Editor에서 직접 보안 및 개인정보 문제를 수정하세요.
• Replit의 보안 접근 방식에 대해 더 알아보려면 Replit이 AI 생성 코드를 보호하는 방법을 읽어보세요.
• 코드 품질, 성능, 신뢰성을 개선하는 더 많은 도구는 에디터 기능을 확인하세요.