시그마 프라임, 실제 감사 취약점 활용 보안 도구 공개

본문

시그마 프라임이 실제 보안 감사에서 확인된 취약점을 활용하는 코드 보안 도구 섹스턴트를 공개했다. 다만 정식 출시 전 개발 단계로, 세부 기능과 가격·출시 일정은 공개되지 않았다. 시그마 프라임(Sigma Prime)이 실제 보안 감사에서 확인된 취약점을 활용하는 코드 보안 도구 섹스턴트(Secstant)를 공개했다. 다만 정식 출시 제품은 아니며 현재 개발 단계로, 공식 웹사이트에서 조기 이용자를 모집하고 있다. Foresight News는 21일 섹스턴트가 감사 담당자들이 실제 감사 취약점을 바탕으로 작성한 '패턴 카드'를 활용한다고 전했다. 도구는 코드베이스를 매핑하고 위험 경로를 검토한 뒤 코드 의미 그래프를 확인해 분석 결과를 중복 제거하는 방식으로 개발되고 있다. 패턴 카드는 코드에서 반복적으로 나타나는 취약점 유형이나 위험한 구현 방식을 검토 기준으로 정리한 자료다.

섹스턴트는 단순한 문자열 검색보다 코드 요소가 어떻게 연결되는지와 위험이 어느 경로에서 발생하는지를 파악하는 데 초점을 둔다.

시그마 프라임은 섹스턴트를 개발 중인 보안 검토 도구로 소개했다. 공식 설명에는 코드베이스 탐색, 검토 맥락 정리, 정적 분석 결과 분류, 실제 감사에서 도출한 패턴 반영 등이 개발 방향으로 제시돼 있다. 다만 시그마 프라임은 자동화 도구가 보안 검토 인력을 대체한다고 설명하지 않았으며, 분석 결과를 엔지니어가 분류하고 최종 취약점 판단은 검토자가 맡는다고 밝혔다. 시그마 프라임의 감사 방법론도 자동화 결과의 선별과 엔지니어 판단을 별도 과정으로 둔다.