취약점 목록에
고칠 순서를 붙여 드립니다
Git 저장소와 lock 파일, 컨테이너 이미지, Terraform 코드, 외부에 열린 도메인과 IP를 읽어 들입니다. 찾은 CVE는 CVSS 점수에 EPSS 확률, CISA KEV 등재 여부, 취약 함수가 실제로 호출되는지를 더해 순서를 정합니다. 결과는 SARIF와 SBOM으로 내보낼 수 있고, 수정은 PR 초안까지만 만듭니다. 분석은 외부 송신을 막아 둔 전용 노드에서만 돌아갑니다.
2027 정식 출시 목표Genox 플랫폼으로 운영하는 서비스입니다. 지금은 PoC와 얼리 액세스 상담을 받고 있습니다. 얼리 액세스 안내
커밋과 이미지 푸시마다
바뀐 부분만 다시 봅니다
커밋, 빌드, 레지스트리 푸시, 클라우드 설정 변경 이벤트가 들어오면 스캔이 시작됩니다. 지난 결과와 비교해 바뀐 파일과 레이어만 다시 보니까 파이프라인 단계가 크게 길어지지 않습니다. 첫 스캔은 저장소 크기에 따라 꽤 걸릴 수 있습니다.
- GitHub Actions, GitLab CI, Jenkins에는 스텝 하나로 추가
- Harbor·ECR 이미지는 푸시 시점에 점검
- 도메인과 IP 대역은 정해 둔 주기로 다시 탐색
fast-xml-utils 4.2.12분 전
src/config/payment.ts2분 전
ingress/api-gw1시간 전
node:22-alpine1시간 전
악용될 가능성이 높은 것부터
위로 올립니다
CVSS가 똑같이 9.8이어도 순서는 달라집니다. 취약 함수가 코드에서 호출되는지, 그 서비스가 인터넷에서 닿는지, EPSS 확률과 KEV 등재 여부, 공개된 익스플로잇이 있는지를 함께 봅니다. 결제나 인증처럼 고객이 중요하다고 표시한 자산에는 가중치가 붙습니다.
- 호출 경로가 없는 의존성 취약점은 낮은 순위로
- EPSS·KEV가 갱신되면 점수 재계산 (폐쇄망은 오프라인 반입)
- 자산 중요도는 고객이 직접 지정
몇 번째 줄을
누가 고칠지 알려 드립니다
취약점마다 파일 경로와 줄 번호, 그 코드를 관리하는 팀을 붙여 드립니다. 의존성 버전을 올리거나 하드코딩된 키를 환경변수로 빼는 것처럼 고치는 방법이 정해진 건은 PR 초안을 만들어 둡니다. 로직을 바꿔야 하는 취약점은 설명과 참고 코드만 드리고 수정은 개발자가 판단합니다.
- 담당자는 CODEOWNERS와 커밋 이력으로 지정
- PR 초안은 자동 병합하지 않음
- 수정이 반영되면 재스캔 후 Jira 티켓 종결
- "fast-xml-utils": "^4.2.1" + "fast-xml-utils": "4.2.0" - const KEY = "sk_live_9a…"; + const KEY = process.env.PAYMENT_KEY;
핵심 기능
SAST · SCA
직접 짠 코드와 가져다 쓴 라이브러리를 한 목록에서 봅니다
컨테이너 · 이미지
레이어별 OS 패키지 취약점, root 실행 같은 설정
외부 공격 표면
잊힌 서브도메인, 열려 있는 관리 포트, 공개로 설정된 버킷
SBOM · AI-BOM
CycloneDX·SPDX 형식 SBOM과 사내 AI 모델 목록
IaC · 클라우드 설정
Terraform과 K8s 매니페스트에서 0.0.0.0/0 허용 같은 실수
격리 실행
분석 노드는 외부 송신이 막혀 있습니다
동작 방식
연동
Git·CI·레지스트리·클라우드 계정에 읽기 전용 권한으로 연결
수집
지난 스캔 이후 바뀐 코드와 이미지 레이어
분석
규칙 매칭, taint 분석, 의존성 트리 해석
우선순위
EPSS·KEV와 도달 가능성, 자산 중요도로 점수 계산
조치·검증
PR 초안이나 티켓 발행, 반영 후 재스캔
연동할 수 있는 도구 (API · Syslog)
배포 옵션
| 방식 | 설명 | 추천 |
|---|---|---|
| 온프레미스 · 폐쇄망 | 고객 데이터센터에 설치합니다. 탐지 규칙과 모델 업데이트도 오프라인 패키지로 반입해서 외부 연결 없이 돌아갑니다. | 금융 · 공공 · 국방 |
| 전용 클라우드 | 국내 리전에 고객 한 곳만 쓰는 환경을 따로 만듭니다. 다른 고객과 노드를 같이 쓰지 않습니다. | 엔터프라이즈 · 의료 |
| 매니지드 | 설치와 운영은 Genox 관제센터가 맡고, 고객은 판정 확인과 조치 승인만 하시면 됩니다 (MDR). | 중견 · 중소기업 |
| MSSP 파트너 | 보안관제 기업이 고객사마다 테넌트를 나눠 직접 운영합니다. | 보안 전문기업 |
자주 묻는 질문
소스코드가 외부로 나가나요?
나가지 않습니다. 온프레미스로 설치하면 분석이 전부 고객 망 안에서 끝납니다. 전용 클라우드를 쓰시는 경우에도 고객별로 분리된 노드에서만 처리합니다.
지금 쓰는 SAST 도구와 같이 쓸 수 있나요?
네. SARIF로 결과를 내보내는 도구라면 그 파일을 가져와 중복을 정리하고, 같은 기준으로 순서를 다시 매깁니다. 기존 도구의 탐지 규칙은 건드리지 않습니다.
