워크스페이스 보안 센터

모든 프로젝트의 보안 발견 사항, 스캔 커버리지, 시크릿, 의존성 리스크를 모니터링하는 중앙 집중식 워크스페이스 보안 대시보드입니다.

Security center는 팀이 리스크를 식별하고, 수정 우선순위를 정하고, 프로젝트 전반의 보안 커버리지를 대규모로 추적할 수 있도록 도와줍니다.

• 사용 가능 플랜: Business 및 Enterprise 플랜
• 접근 권한: 워크스페이스 admin 및 owner
• 위치: Settings → Workspace → Security center

Security center에서 보여주는 것

Security center는 워크스페이스 보안의 각기 다른 측면에 초점을 맞춘 네 가지 주요 섹션으로 구성됩니다. 코드 분석, 공급망 보안, 시크릿 관리, 인증 정책을 하나의 워크스페이스 수준 뷰로 결합합니다.

내보내기를 지원하는 각 탭은 오른쪽 상단에 Export 드롭다운을 표시합니다. 드롭다운은 모든 항목을 내보내거나 현재 필터링된 뷰만 내보내는 옵션을 제공합니다. 모든 내보내기는 CSV 파일로 다운로드됩니다.

Code analysis

워크스페이스의 모든 프로젝트에 대한 자동화된 보안 스캐닝 보안 발견 사항을 검토합니다. 요약 카드를 통해 전체 프로젝트 수, 발견 사항이 있는 프로젝트 수, 스캔 커버리지를 한눈에 파악할 수 있습니다.

각 프로젝트에 대해 다음 정보를 확인할 수 있습니다:

• Publish status: 프로젝트의 게시 상태 — 미게시, 워크스페이스 내부 게시, 외부 공개 게시
• Auth providers: 프로젝트에 구성된 인증 providers (Email, Phone, Google, Apple, SAML SSO)
• Errors: 즉각적인 조치가 필요한 심각한 보안 이슈
• Warnings: 검토가 필요한 중요한 보안 우려 사항
• Info: 추가 맥락을 제공하는 참고 정보
• Scan status: 프로젝트의 마지막 스캔 시점 (라이브 스캐닝 표시 포함)
• Last edited: 프로젝트의 마지막 편집 시점
• CSV export: 프로젝트 테이블을 CSV 파일로 내보내기. 내보내기에는 프로젝트 이름, 프로젝트 ID, 게시 상태, 오류/경고/정보 카운트, 마지막 스캔 날짜, 마지막 편집 날짜가 포함됩니다.
• Scan trigger: 개별 프로젝트를 열지 않고도 보안 스캔 시작
• View: 프로젝트의 Security view 열기

보안 상태, 게시 상태, 인증 providers, 스캔 상태, 이름별로 프로젝트를 검색, 필터링, 정렬하여 가장 중요한 사항에 빠르게 집중할 수 있습니다.

Supply chain security

전체 워크스페이스의 의존성 취약점을 모니터링합니다. 요약 카드를 통해 심각도별 취약점 수와 전체 스캔 커버리지를 강조합니다.

• Two views: by project 또는 by vulnerability로 취약점 검토
• Vulnerabilities by severity: critical, high, medium으로 분류
• Affected projects: 취약한 의존성을 사용하는 프로젝트
• Vulnerable packages: 패키지 이름, 영향받는 버전, 수정된 버전(가능한 경우)
• CSV export: Export 드롭다운은 활성 뷰에 따라 여러 옵션을 제공합니다:
  • Export full dependency list: 모든 프로젝트의 모든 패키지 전체 목록 다운로드(서버 측에서 생성)
  • Export all projects 또는 Export all vulnerabilities: 전체 프로젝트 또는 취약점 테이블 다운로드
  • Export current filter: 필터가 활성화된 경우 필터링된 결과만 다운로드

심각도, 게시 상태, CVE, 패키지 이름 또는 취약점 제목으로 취약점을 필터링하고 검색할 수 있습니다.

Secrets overview

워크스페이스의 모든 프로젝트에 걸친 시크릿을 단일 테이블에서 확인할 수 있습니다. Secrets overview는 admin에게 어떤 시크릿이 존재하고 어떤 프로젝트에 속하는지에 대한 가시성을 제공합니다. 시크릿을 by project 또는 by secret 기준으로 그룹화할 수도 있습니다.

각 시크릿에 대해 다음 정보를 확인할 수 있습니다:

• Secret name: 시크릿의 이름(예: OpenAI API Key). 시크릿 값은 절대 표시되지 않습니다.
• Associated project: 시크릿이 속한 프로젝트
• Type: 시크릿의 유형 — 사용자 생성 또는 Lovable 자동 생성
• Publish status: 연결된 프로젝트의 게시 상태 — 미게시, 워크스페이스 내부 게시, 외부 공개 게시
• Creation date: 시크릿이 추가된 시점
• Security findings: 프로젝트 수준의 보안 발견 사항 및 심각도
• View: 프로젝트의 시크릿 페이지를 열어 개별 시크릿을 업데이트하거나 제거
• CSV export: Export 드롭다운은 여러 옵션을 제공합니다:
  • Export everything: 모든 프로젝트에 걸친 전체 시크릿 테이블 다운로드
  • Export current filter: 필터가 활성화된 경우 필터링된 결과만 다운로드 내보내기에는 프로젝트 이름, 프로젝트 ID, 게시 상태, 시크릿 이름, 시크릿 유형, 통합, 생성 날짜, 프로젝트 수준 보안 발견 사항이 포함됩니다. 시크릿 값은 절대 포함되지 않습니다.

모든 프로젝트에서 시크릿 이름으로 검색하고, 게시 상태, 시크릿 유형, 보안 발견 사항별로 필터링할 수 있습니다. 필터를 적용하면 Export current filter 옵션이 나타나며 현재 페이지만이 아니라 전체 필터링된 결과 세트를 포함합니다.

Auth policy

워크스페이스 전체에서 사용 가능한 로그인 방법을 구성합니다. 비활성화된 방법은 모든 프로젝트에 대해 잠기며, 프로젝트 owner는 다시 활성화할 수 없고 변경 사항은 즉시 적용됩니다.

지원되는 로그인 방법:

• Email (매직 링크)
• Phone (SMS)
• Google
• Apple
• SAML (SSO)

각 방법 옆의 토글을 사용하여 활성화하거나 비활성화합니다.

Security center를 사용하는 이유

Security center는 프로젝트 전반의 리스크를 가시화하고, 비교 가능하며, 실행 가능하게 만들어 팀이 보안 이슈를 파악할 수 있도록 도와줍니다.

• 중앙 집중식 감독
  개별 프로젝트를 열지 않고도 전체 워크스페이스의 보안 발견 사항을 검토할 수 있습니다.
• 명확한 우선순위
  심각한 오류, 높은 심각도의 취약점 또는 오래된 스캔이 있는 프로젝트에 집중할 수 있습니다.
• 스캔 커버리지 가시성
  어떤 프로젝트가 최신 상태이고 어떤 프로젝트가 보안 검토가 필요한지 확인할 수 있습니다.
• 의존성 리스크 인식
  취약한 의존성이 여러 프로젝트에 어떻게 영향을 미치는지 파악하고 효율적으로 업데이트를 조율할 수 있습니다.
• 시크릿 가시성
  워크스페이스의 모든 시크릿을 한곳에서 확인하고, 오래된 자격 증명을 식별하고, 중앙 집중식 뷰에서 시크릿을 관리할 수 있습니다.

보안 스캔 실행

결과를 확인하는 것 외에도 개별 프로젝트를 열지 않고 Code analysis 탭에서 보안 스캔을 트리거할 수 있습니다.

• 중앙에서 스캔 실행: Code analysis 탭에서 모든 프로젝트에 대해 보안 스캔을 시작할 수 있습니다
• 마지막 스캔 타임스탬프: 각 프로젝트의 마지막 스캔 시점을 확인하여 오래된 결과를 한눈에 파악할 수 있습니다
• 위험 프로젝트 식별: 공개 상태이거나 최근 변경되었지만 오래되었거나 누락된 스캔 결과가 있는 프로젝트를 발견할 수 있습니다
• 미스캔 프로젝트 감지: 스캔 프로세스가 완전히 건너뛰어졌을 수 있는 공개 프로젝트를 플래그 처리합니다

이는 각 프로젝트를 개별적으로 방문하지 않고도 많은 수의 프로젝트에 걸쳐 일관된 스캔 커버리지를 유지하는 데 특히 유용합니다.

일반적인 사용 사례

Security center는 정기 검토와 시간에 민감한 보안 작업 모두를 지원합니다:

• 릴리스 준비 및 감사
  배포 또는 컴플라이언스 검토 전에 프로젝트가 보안 표준을 충족하는지 확인합니다.
• 프로젝트 온보딩 및 인수인계
  상속받거나 이관된 프로젝트가 스캔되었고 보안 리스크를 발생시키지 않는지 확인합니다.
• 심각한 취약점 대응
  새로운 의존성 이슈가 발표되면 영향받는 프로젝트를 신속하게 식별합니다.
• 시크릿 감사
  특정 API 키를 이름으로 검색하여 해당 키를 사용하는 모든 프로젝트를 확인하고, 사용량을 감사하거나 키 교체를 조율할 수 있습니다.
• 오래된 시크릿 정리
  시크릿을 생성 날짜별로 정렬하여 사용하지 않는 프로젝트에 연결된 오래된 자격 증명을 찾고, 불필요한 노출을 줄이기 위해 제거합니다.
• 보안 보고
  감사, 검토 또는 내부 추적을 위해 특정 시점의 스냅샷이 필요할 때 의존성 또는 시크릿 데이터를 CSV 파일로 내보냅니다.
• 지속적인 모니터링
  주간 또는 월간 주기로 발견 사항을 정기적으로 검토하고 새로운 이슈를 해결합니다.

Security center 사용 모범 사례

Security center는 고정된 워크플로우가 아닌 지속적인 검토를 위해 설계되었습니다. 다음은 팀이 일반적으로 사용하는 모범 사례입니다.

• 워크스페이스 개요부터 시작
  전체 보안 상태를 검토하여 오류, 경고 또는 오래된 스캔이 있는 프로젝트 수를 파악합니다.
• 주의가 필요한 프로젝트 우선순위 지정
  필터를 사용하여 심각한 오류, 높은 심각도의 취약점 또는 최근 경고가 있는 프로젝트에 집중합니다.
• 스캔 최신 여부 확인
  최근에 스캔되지 않은 프로젝트를 식별하고 보안 검토 업데이트가 필요할 수 있는지 확인합니다.
• 의존성 취약점 검토
  심각도별로 취약한 패키지를 검사하여 여러 프로젝트에 영향을 미치는 이슈를 파악하고 조율된 업데이트가 필요한지 확인합니다.
• 개별 프로젝트에서 조치 수행
  프로젝트의 View 액션을 사용하여 보안 세부 정보를 열고, 새 스캔을 실행하고, 의존성을 업데이트하고, 프로젝트 보안 뷰에서 발견 사항을 해결합니다.

FAQ