데브옵스(DevOps) 전체 라이프사이클을 단일 애플리케이션으로 구현한 깃랩(GitLab)은 프로토콜 퍼즈 테스팅(Fuzz Testing) 및 DAST(Dynamic Application Security Testing) API 테스팅 분야의 보안 소프트웨어 전문기업인 피치테크(Peach Tech)와 커버리지 가이드(Coverage-Guided) 테스팅을 제공하는 연속 퍼즈 테스팅 솔루션 업체인 퍼지트(Fuzzit)의 통합을 완료했다고 밝혔다.
올해 6월 인수된 피치테크와 퍼지트가 깃랩에 완전히 통합됨에 따라 사용자는 깃랩에서 연속 퍼징 및 커버리지 가이드 퍼즈 테스팅, 웹 API 퍼즈 테스팅과 같은 기능을 사용할 수 있게 되었으며, 개발자가 코드를 계속 반복하는 동안에도 직접 결과를 제공할 수 있다. 전통적으로 퍼징은 결과를 얻기가 어렵고 힘들다. 피치테크와 퍼지트를 깃랩에 도입함으로써 개발자와 보안 팀 모두 퍼즈 테스팅을 작업 플로우에 쉽게 통합하여 유용한 실행방식으로 상당한 혜택을 얻을 수 있다.
퍼즈 테스팅은 새로운 것은 아니다. 깃랩이 최근 보고서에서 실시한 설문조사에 따르면, 응답자의 81%가 퍼즈 테스팅이 중요하다고 생각하고 있는 것으로 나타났다. 그러나 퍼즈 테스팅을 설정하고, CI 시스템에 통합할 때 발생하는 많은 어려움 때문에 실제로는 36%만이 퍼징을 사용하고 있다고 응답했다. 위협 벡터와 취약성이 증가하면서 기업들의 보안에 대한 관심은 점차 높아지고 있다. 깃랩은 기존의 작업 플로우에 퍼즈 테스팅을 도입하여 포괄적인 데브섹옵스 기능으로 이러한 기업들을 지원함으로써 애플리케이션 또는 서비스 비즈니스 로직에서 보안 문제와 결함을 확인할 수 있도록 해준다.
깃랩은 기존의 작업 플로우에 퍼즈 테스팅을 도입하여 포괄적인 데브섹옵스 기능으로 기업들을 지원함으로써 애플리케이션 또는 서비스 비즈니스 로직에서 보안 문제와 결함을 확인할 수 있도록 해준다. 또한 퍼징은 SAST(Static Application Security Testing) 및 DAST와 같은 다른 형태의 애플리케이션 보안 테스트를 보완할 수 있다. SAST 및 DAST는 알려진 취약점을 찾는 반면, 퍼즈 테스팅은 알려진 CVE(Common Vulnerability Exposure)로 식별되지 않는 애플리케이션 고유의 취약점을 찾는다.
깃랩의 보안 및 보호단계 제품 디렉터인 데이비트 디센토(David DeSanto)는 “보안은 더 이상 데브옵스 프로세스 외부의 별도 단계로 볼 수 없다. 깃랩은 이러한 퍼징 기술을 완벽하게 통합함으로써 개발 및 보안 팀이 소프트웨어 개발 라이프사이클 초기에 커버리지 가이드 및 API 퍼즈 테스팅 기법을 모두 쉽게 병합할 수 있도록 해준다.”고 밝히고, “개발자는 최상의 데브섹옵스(DevSecOps) 실행방식을 쉽게 적용할 수 있을 뿐만 아니라 코드 커밋(Code Commit)에서 어떠한 보안 취약점이 생성되는지 파악할 수 있다. 이는 보안 담당자와 긴밀한 협업을 통해 기업 전반의 보안 위험을 줄일 수 있도록 해준다.”고 밝혔다.
안정적인 퍼즈 테스팅을 위한 깃랩의 향후 계획에 대한 자세한 정보는 깃랩의 카테고리 디렉션 페이지에서 확인할 수 있다.
