BestDefense.io

BestDefense.io는 대부분의 팀이 잘 아는 격차를 겨냥한다. 코드는 보안 테스트보다 훨씬 빠르게 출시된다. 자사 사이트는 테스트하는 횟수의 66배로 출시한다고 주장한다. Vortex는 분기별 일정 대신 매핑, 모의 해킹, 수정, 검증, 증명이라는 전체 루프를 자동으로 돌려 그 격차를 좁히려 한다.

핵심 발상은 실행되기 전에는 발견이 발견이 아니라는 것이다. 취약할 수 있는 패턴에 표시를 남기는 대신, 이 플랫폼은 실제 익스플로잇 체인을 실행하려 한다. SQL 인젝션, 인증 우회, SSRF, 권한 상승, 비즈니스 로직 결함이 대상이다. 실행되지 않는 것은 팀에 도달하지 않는다. 왜 중요할까. 소음이 줄어들기 때문이며, 이것이 보안 경고가 무시되는 주된 이유다.

한계는 이것이 커밋 전 단계에서 개발자 컴퓨터에서 도는 도구라는 점이다. 자신의 컴퓨터에서 실행되고 Docker가 필요하다. 운영 중인 URL을 지정하는 클라우드 대시보드가 아니므로, CI나 컨테이너 워크플로가 없는 소규모 팀은 먼저 설정 작업이 필요하다.

시작하기

1. 저장소를 연결한다. BestDefense.io는 GitHub, GitLab, Bitbucket과 연동되며 Jira, Jenkins, SonarQube, Snyk, Slack, AWS, Azure, GCP와도 연결된다.
2. Vortex가 실행될 컴퓨터에 Docker를 설치한다. 모의 해킹이 커밋 전에 로컬에서 실행되기 때문이다.
3. Vortex가 코드베이스를 매핑하게 한다. 출시 시점에 엔드포인트, API, 인증 흐름, 의존성의 그래프를 만든다.
4. 확인된 익스플로잇과 생성된 풀 리퀘스트를 검토한다. CI 게이트는 각 항목이 해결될 때까지 취약한 빌드를 막는다.
5. 컴플라이언스 목표를 설정해, 닫힌 루프가 SOC 2, ISO 27001, PCI DSS, NIST, CMMC 같은 프레임워크에 매핑된 타임스탬프 증거를 만들어 내게 한다.