Codeql

coverage-analysis는 퍼징 중 어떤 코드가 실행됐는지 측정하고, magic value checks 같은 막힘 요인을 찾아내며, 하니스 변경 사항을 비교하는 데 도움을 줍니다. Security Audit 워크플로에서 coverage-analysis 사용법, 설치 안내, 반복 가능한 coverage-analysis 가이드 판단이 필요할 때 이 스킬을 사용하세요.

Semgrep 스킬로 코드베이스를 정적 분석할 수 있으며, 언어를 자동 감지하고 병렬 워커를 사용해 SARIF 결과를 병합하며, 계획 우선 승인 흐름을 따릅니다. Security Audit 워크플로용 semgrep에 맞춰 설계되었고, `run all`과 `important only` 모드를 지원하며, `--metrics=off`를 사용하고, 가능하면 Semgrep Pro도 활용할 수 있습니다.

sarif-parsing은 CodeQL, Semgrep 같은 도구의 SARIF 2.1.0 결과를 읽고, 필터링하고, 중복 제거하고, 요약하고, 변환하는 스캔 후용 skill입니다. 이미 스캔 결과가 있고 명확한 파싱, 집계, 또는 CI/CD에 바로 쓰기 좋은 변환이 필요할 때 사용하세요. 스캔 실행용은 아닙니다.

codeql 스킬은 보안 감사 중 CodeQL을 더 적은 사각지대로 실행할 수 있게 도와줍니다. 데이터베이스 품질, suite 선택, 데이터 확장, SARIF 검토에 초점을 맞춰 지원되는 언어 전반에서 codeql 사용을 더 안정적으로 활용할 수 있게 합니다. 실제 저장소를 분석할 때 반복 가능한 codeql 가이드 절차가 필요하다면 사용하세요.

variant-analysis는 하나의 취약점이나 버그가 확인된 뒤, 코드베이스 전반에서 비슷한 문제를 찾아내는 데 도움을 줍니다. CodeQL 또는 Semgrep 쿼리를 만들고, 원인 분석을 먼저 하는 워크플로를 따르며, Security Audit 작업에 맞춘 집중형 variant-analysis 가이드를 실행할 때 유용합니다. 초기의 광범위한 검토보다, 발견 이후의 추적 검색에 가장 적합합니다.