개발 중 · 얼리 액세스
신호에서 증거로.
Flow 조사의 흐름을 따라가 보세요. 무엇을 분석하고, 발견 사항을 어떻게 검증하며, 수정에 무엇을 요구하고, 결과를 기술 요구사항과 어떻게 연결하는지 살펴봅니다.
15개 도구, 4개 분석 영역.
OpenGrep
Joern
Gitleaks
OSV-Scanner
Syft
Grype
Checkov
KICS
Terraform
ZAP
Playwright
알림이 조사의 시작입니다.
검증은 재현된 악용, 영향을 받는 구성 요소, 선언된 구성을 구분합니다.
후보
독립적 검증
- 확인됨
- 반증됨
- 증거 불충분
원본 소스에서 후보를 조사하고 공통 원인을 묶습니다.
전문가에게 자문하고 실행 가능한 검증 방법을 준비합니다.
잠재적 취약점을 증거 및 정상 동작 대조 검사와 비교합니다.
확인됨, 반증됨, 증거 불충분 상태를 구분하며 영향받는 종속성을 입증된 악용과 동일시하지 않습니다.
패치에는 뒷받침할 증거가 필요합니다.
변경 전에 기준과 정상 사용 검사를 확정합니다. 전달 시 해결된 사례와 남은 작업을 모두 보존합니다.
-
기준과 기준선
-
격리된 변경
-
검증과 검토
-
검토용 풀 리퀘스트
GitHub
수정 대상이 식별되고 검증 가능한 정상 사용 기준선이 있는 확인된 발견 사항을 접수합니다.
패치 전에 수용 기준을 정의하고 격리된 수정 후보에서 보안 및 동작 검사를 반복합니다.
변경을 별도로 검토하고 수정의 적용 순서와 조합을 확인합니다.
증거, 남은 작업, merge 순서를 담은 GitHub pull request와 제공 이슈를 준비합니다. 통합 여부는 팀이 결정합니다.
기술적 증거를 프레임워크와 연결하세요.
Flow는 증거를 선별된 기술 요구사항에 연결합니다. 공백을 드러내고 관측된 상태와 수정 후 예상 상태를 구분합니다.
선별된 64개 요구사항
- 23부분 기술 평가
- 4문서 참조
부분 기술 평가를 제공하는 23개 프레임워크
- BIO2
- BSI C5
- CIS Controls
- Cyber Resilience Act (CRA)
- Cybersecurity Law (CSL)
- Cyber Essentials
- CyberFundamentals
- DORA
- Data Security Law (DSL)
- ENS
- FedRAMP
- GDPR
- HIPAA Security Rule
- Australian ISM
- ISMAP
- LGPD
- MLPS 2.0
- NIS2
- NIST CSF
- NIST SP 800-53
- OWASP ASVS
- PIPL
- SecNumCloud
문서 참조용 4개 프레임워크
- ISO/IEC 27001
- SOC 2
- PCI DSS
- MTCS
결과를 참조 프레임워크의 선택된 기술 요구사항에 연결합니다.
관측된 상태와 제공된 검증 완료 수정 이후의 예상 상태를 구분합니다.
기준, 추적 정보, 부족한 부분과 증거 날짜를 보관합니다.
미해결 사례와 한계를 표시합니다. 기술 증거가 인증을 의미하지는 않습니다.
