Claude Code는 이제 자동화된 보안 검토 기능을 포함하여 코드의 취약점을 식별하고 수정하는 데 도움을 줍니다. 이 가이드는 /security-review 명령어와 GitHub Actions를 사용하여 코드 보안을 개선하는 방법을 설명합니다.
참고: 자동화된 보안 검토는 많은 일반적인 취약점을 식별하는 데 도움이 되지만, 기존 보안 관행 및 수동 코드 검토를 대체하지 않고 보완해야 합니다.
개요
Claude Code의 자동화된 보안 검토는 개발자가 취약점이 프로덕션에 도달하기 전에 발견하도록 도와줍니다. 이 기능은 SQL 주입 위험, 크로스사이트 스크립팅(XSS) 취약점, 인증 결함, 안전하지 않은 데이터 처리 및 종속성 취약점을 포함한 일반적인 보안 문제를 확인합니다.
보안 검토는 두 가지 방법으로 사용할 수 있습니다: Claude Code 세션에서 온디맨드 검사를 위한 /security-review 명령어 또는 풀 요청의 자동 검토를 위한 GitHub Actions를 통해 사용할 수 있습니다.
가용성
이 기능은 다음을 포함한 모든 Claude Code 사용자가 사용할 수 있습니다:
개별 유료 요금제(Pro 또는 Max) 사용자.
종량제 API Console 계정이 있는 개별 사용자 또는 엔터프라이즈.
/security-review 명령어 사용
/security-review 명령어를 사용하면 코드를 커밋하기 전에 Claude Code에서 직접 보안 분석을 실행할 수 있습니다.
보안 검토 실행
코드의 취약점을 확인하려면:
프로젝트에서 Claude Code 세션을 열거나(Claude Desktop의 "Code" 탭에서 또는 터미널의 프로젝트 디렉토리에서
claude를 실행하여)./security-review를 실행합니다.Claude는 코드베이스를 분석하고 잠재적인 보안 문제를 식별합니다.
발견된 각 문제에 대해 제공된 자세한 설명을 검토합니다.
수정 구현
Claude가 취약점을 식별한 후 직접 수정을 구현하도록 요청할 수 있습니다. 이렇게 하면 보안 검토가 개발 워크플로우에 통합되어 문제를 해결하기 가장 쉬울 때 해결할 수 있습니다.
명령어 사용자 정의
특정 요구 사항에 맞게 /security-review 명령어를 사용자 정의할 수 있습니다. 구성 옵션은 보안 검토 설명서를 참조하세요.
자동화된 PR 검토를 위한 GitHub Actions 설정
GitHub 작업을 설치하고 구성한 후 풀 요청이 열릴 때마다 자동으로 보안 취약점을 검토합니다.
설치
리포지토리에 대한 자동화된 보안 검토를 설정하려면:
리포지토리의 GitHub Actions 설정으로 이동합니다.
설명서의 단계별 설치 가이드를 따릅니다.
팀의 보안 요구 사항에 따라 작업을 구성합니다.
작동 방식
구성되면 GitHub 작업은:
새 풀 요청이 열릴 때 자동으로 트리거됩니다.
보안 취약점에 대한 코드 변경 사항을 검토합니다.
거짓 양성을 줄이기 위해 사용자 정의 가능한 필터링 규칙을 적용합니다.
식별된 문제 및 권장 수정 사항과 함께 PR에 인라인 댓글을 게시합니다.
이렇게 하면 전체 팀에서 일관된 보안 검토 프로세스가 생성되어 병합 전에 코드의 취약점을 확인할 수 있습니다.
사용자 정의 옵션
GitHub 작업을 사용자 정의하여 팀의 보안 정책과 일치하도록 할 수 있습니다. 여기에는 코드베이스에 대한 특정 규칙 설정 및 다양한 취약점 유형에 대한 민감도 수준 조정이 포함됩니다.
어떤 보안 문제를 감지할 수 있습니까?
/security-review 명령어와 GitHub 작업 모두 일반적인 취약점 패턴을 확인합니다:
SQL 주입 위험: 잠재적인 데이터베이스 쿼리 취약점을 식별합니다.
크로스사이트 스크립팅(XSS): 클라이언트 측 스크립트 주입 취약점을 감지합니다.
인증 및 권한 부여 결함: 접근 제어 문제를 찾습니다.
안전하지 않은 데이터 처리: 데이터 검증 및 살균 문제를 식별합니다.
종속성 취약점: 타사 패키지의 알려진 문제를 확인합니다.
시작하기
자동화된 보안 검토를 사용하기 시작하려면:
/security-review명령어의 경우: Claude Code를 최신 버전으로 업데이트한 후(실행) 프로젝트 디렉토리에서/security-review를 실행합니다.Claude Code는 최신 기능 및 보안 수정 사항을 보유하도록 자동으로 자신을 업데이트하지만
claude update를 실행하여 수동으로 업데이트할 수도 있습니다.
GitHub 작업의 경우: 설치 및 구성 지침은 설명서를 참조하세요.
모범 사례
최적의 결과를 위해 중요한 변경 사항을 커밋하기 전에 /security-review를 실행하고 프로덕션 코드가 포함된 모든 리포지토리에 대해 GitHub 작업을 구성하는 것이 좋습니다. 팀의 특정 보안 요구 사항 및 코드베이스 특성에 따라 필터링 규칙을 조정하는 것을 고려하세요.