Gecko Security

Gecko는 취약한 AST 파싱이나 호출 그래프에 의존하는 대신 코드베이스의 컴파일러 수준 정밀 그래프를 만든다. 덕분에 코드의 의미를 이해하고, 동적 타입 언어를 분석하며, 애플리케이션 전반에서 다단계 취약점을 따라간다. 플랫폼의 AI SAST를 떠받치는 엔진이다.

대부분의 스캐너는 이미 인식하는 패턴을 찾는다. Gecko는 코드 취약점 스캐너로 동작하며 환경 전반의 전체 공격 경로, 로직 결함, 서비스 간 위험을 그려낸다. 비즈니스 로직 버그는 바로 침해가 일어나는 지점이고, 패턴 매칭 도구가 규칙을 아무리 많이 써도 보지 못하는 유형의 취약점이다.

보안 정책을 동료에게 설명하듯 쓴다. 예를 들어 "이 서비스는 서드파티 API에 데이터를 쓰면 안 된다" 같은 식이다. Gecko는 그 규칙을 코드, 의존성, 연결된 환경에 적용한다. 배울 DSL도, 유지할 정규식도 없다.

플랫폼이 파이프라인에 들어가 개발자가 워크플로를 떠나지 않고 문제를 고친다. pull request를 검토하고 문제를 표시하며, 누군가 변경을 푸시하면 발견 사항을 수정됨으로 표시할 수 있다. 보안은 스프린트 끝의 요금소가 아니게 된다.

Gecko는 여러 저장소와 마이크로서비스를 스캔해 신뢰 경계 사이에서만 드러나는 문제를 찾고, Jira, Terraform, 클라우드 설정 같은 연동을 끌어와 코드를 둘러싼 전체 환경을 이해한다. 정확한 결과는 그 통합된 맥락에서 시작한다.

Gecko는 피드백에서 배워 시간이 지날수록 정확도를 높이므로 발견 사항이 더 날카로워진다. 마케팅 수치는 참 양성이 8배, 거짓 양성이 90% 적다는 것이다. 회사는 고객 배포에서 평균 수정 시간이 약 한 시간이라고도 밝힌다. 이 수치는 공급업체 주장으로 받아들이고 독립적 결과로 보지 않는 편이 낫다.

모든 발견 사항이 당신의 아침을 쓸 가치가 있지는 않다. Gecko는 원격 악용 가능성에 따라 문제를 정렬하므로 가장 위험한 것이 먼저 떠오른다. 팀의 제한된 주의는 공격자가 실제로 닿을 수 있는 취약점으로 향한다.