GitHub Code Security는 개발 속도가 느려질 걱정 없이 개발자들이 코드를 안전하게 보호할 수 있도록 지원합니다. 기본 제공되는 정적 분석, AI 기반 문제 해결, 고급 의존성 검사 및 사전 예방적 취약성 관리를 통해 팀은 기존 GitHub 워크플로 내에서 보안 문제를 자동으로 감지, 우선순위를 지정, 해결할 수 있으므로 신속하게 안전한 소프트웨어를 제공할 수 있습니다.

Copilot Autofix는 AI 기반 코드 제안을 활용하여 CodeQL에서 확인된 보안 취약성을 자동으로 해결합니다. 보안 취약성이 탐지되면 Copilot Autofix에서 코드 맥락을 분석하고 보안 이슈를 파악한 후 정확하고 상황에 맞는 해결책을 생성합니다. 이 기능은 취약점 탐지와 해결 간의 단절을 해소해, 개발자가 기존 워크플로에서 AI가 제안한 수정사항을 바로 검토하고 적용할 수 있게 합니다.

Security Campaign은 여러 리포지토리와 팀에서 보안 수정을 계획, 추적 및 구현할 수 있는 구조화된 프레임워크를 제공하여 보안 부채를 체계적으로 해소할 수 있습니다. Security Campaign을 통해 보안 팀은 통합 대시보드에서 관련 취약성 그룹화, 해결 작업의 우선순위 지정, 소유권 할당, 진행 상태 파악을 모두 수행할 수 있습니다. Security Campaign은 취약성 유형, 보안 이니셔티브, 규정 준수 요구 사항 또는 기타 논리적인 그룹으로 구성하여 대규모로 보안 개선을 조정할 수 있습니다.

의존성 검토는 취약한 의존성이 코드베이스에 포함되기 전에 pull request를 스캔하여 확인합니다. 의존성 변경 시 미치는 보안 영향을 평가하여 취약한 패키지와 그 심각도 수준을 식별하여 보안 문제가 코드에 병합되는 것을 방지합니다. 이 도구는 기준 브랜치와 헤드 브랜치를 비교해 의존성의 변경 사항을 상세히 보여주며, 추가·제거·업데이트된 항목과 그에 따른 알려진 취약점을 강조합니다.

이제 Dependabot 경고에 글로벌 FIRST(Forum of Incident Response and Security Teams)의 EPSS(Exploit Prediction Scoring System)가 포함되어 취약성 위험을 더 잘 평가할 수 있습니다. EPSS는 향후 30일 이내에 취약성이 악용될 가능성을 예측하여 조직이 취약성 해결의 우선순위를 정할 수 있도록 도와줍니다. 이 시스템은 0에서 1 사이의 점수(0~100%)를 비롯하여 다른 취약점들과의 비교를 통한 백분위 순위를 제공합니다.

The Code Security Risk Assessment is a free evaluation that analyzes repositories to identify potential code-level vulnerabilities and highlight areas where GitHub Code Security can help improve security posture.