정적 코드 분석이란 무엇인가요?

소스 코드 분석이라고도 하는 정적 코드 분석은 애플리케이션이 실행되기 전에 논리적 오류와 메모리 누수를 식별하여 디버깅 시간을 단축합니다. 사람이 놓칠 수 있는 구문 오류와 숨겨진 보안 취약점을 자동으로 스캔합니다. 또한 코딩 표준을 시행하고 대규모 팀에서 규정 준수를 보장하며 전반적으로 개발 속도를 높이는 데 도움이 됩니다.

정적 코드 분석은 동적 코드 분석과 달리 코드가 실행되기 전에 수행됩니다. 동적 분석에는 애플리케이션 실행 및 동작 관찰이 포함됩니다. 반면 정적 분석은 소스 코드를 구조적 데이터 세트로 취급하여 애플리케이션을 컴파일, 패키징 또는 배포하기 전에 스캔하여 문제를 식별합니다. 이 접근 방식은 프로그램이 구조에 따라 어떻게 작동하는지 모델링합니다. 두 기술 모두 DevOps 또는 DevSecOps 프레임워크 내에서 전반적인 품질 보증 활동에 중요합니다.

정적 코드 분석에는 세 가지 주요 단계가 있습니다.

분석기는 소스 코드를 읽고 토큰으로 분류합니다. 이러한 구문은 특정 프로그래밍 언어의 문법 규칙에 따라 평가하고 계층적 추상 구문 트리(AST)로 재구성하는 파서에 입력됩니다. AST는 소프트웨어의 구조를 머신이 읽을 수 있는 형식으로 매핑합니다.

분석기는 실행 경로를 매핑하기 위한 제어 흐름 그래프(CFG)를 구성하고, 데이터 흐름 분석과 결합하여 초기화에서 사용까지 변수가 값을 어떻게 변경하는지 추적합니다. 이 단계에서 분석기는 데드 코드(절대 실행할 수 없는 코드)와 같은 오류를 발견할 수 있습니다.

이 도구는 AST 및 흐름 모델을 사용하여 코딩 지침 및 휴리스틱에 따라 코드를 검사합니다. 이러한 보안 검사는 간단한 명명 규칙부터 SQL 인젝션으로 이어질 수 있는 오염된 사용자 입력을 추적하는 오염 분석과 같은 보다 정교한 보안 검사에 이르기까지 다양합니다.

초창기 컴퓨팅 시절에는 코드 실행이 비용이 많이 들었고, 개발자는 컴퓨팅 디버깅을 낭비할 여유가 없었습니다. 검증은 전적으로 인간의 지능에 의해 주도되었으며 느리고 수동적인 코드 검토가 이루어졌습니다.

1978년 Bell Labs의 Stephen C. Johnson이 Lint를 개발한 것은 현대 정적 코드 분석의 시작을 알리는 사건입니다. Lint는 Unix 운영 체제용으로 개발되었으며 컴파일하기 전에 소스 코드를 스캔하고 의심스러운 구성에 플래그를 지정하도록 설계되었습니다.

Lint는 프로그램의 논리를 변경하지 않고 문제가 있는 코드를 제거하여 귀중한 컴퓨팅을 절약했습니다. Johnson은 의류 건조기 트랩에 걸린 보풀의 이름을 따서 Lint라는 이름을 지었는데, 이는 그의 도구가 논리(의류의 구조)를 변경하지 않고 원치 않는 문제가 있는 코드(보풀)를 제거했기 때문입니다.

1990년대와 2000년대에 인터넷이 성장함에 따라 보안 결함을 완화해야 할 필요성도 커졌습니다. 이러한 요구를 충족하기 위한 새로운 도구가 등장했으며, 코드를 수학적 모델로 컴파일하여 변수가 어떻게 이동하는지 추적하는 보다 복잡한 형태의 분석도 등장했습니다. 이러한 위협에 대응하기 위해 정적 애플리케이션 보안 테스트(SAST)와 같은 새로운 프레임워크가 등장했으며, 동적 애플리케이션 보안 테스트(DAST)와 같은 방법은 런타임 평가를 가능하게 했습니다.

이러한 기법들은 수학적으로는 정확하지만, 문맥을 이해하는 능력이 제한적이기 때문에 오탐률이 높다는 문제점을 안고 있었습니다. 2020년대에 머신 러닝과 대규모 언어 모델(LLM)이 등장하면서 수십억 줄의 코드로 모델을 학습시킬 수 있는 새로운 코드 분석 시대가 열렸습니다. 이러한 학습을 통해 개발자의 의도와 시맨틱 컨텍스트를 추론할 수 있었습니다.

전통적으로 정적 코드 분석은 릴리스 이전에 실행되었던 게이트키퍼 프로세스였지만, 오늘날에는 소프트웨어 개발 라이프사이클(SDLC) 전반에 걸쳐 이러한 분석이 수행됩니다. 이러한 '시프트 레프트(Shift Left)' 철학은 테스트를 코드 작성 시점에 더 가깝게 '왼쪽'으로 이동시키는 것을 의미합니다.

오늘날 SonarQube, ESLint 및 GitHub Advanced Security와 같은 코드 분석 도구는 개발자의 워크플로에 필수적인 워크플로입니다. 이 도구들은 통합 개발 환경(IDE) 내에서 실행되어 개발자가 입력하는 동안 실시간으로 오류를 표시합니다. 또한 이러한 도구들은 지속적 통합 및 지속적 배포(CI/CD) 파이프라인 내에서 자동화된 체크포인트 역할을 합니다.

머신 러닝으로 구동되는 최신 코딩 어시스턴트는 빠르고 눈에 띄지 않는 분산형 코드 분석을 가능하게 하여 개발자가 오류를 조기에 발견하고 실시간으로 코드 품질을 개선할 수 있도록 지원합니다. 예를 들어 IBM Bob에는 별도의 패널에서 실행되는 '검토' 기능이 있는데, 이 기능은 코드 스멜(code smell)을 자동으로 찾아 코딩 표준 위반 사항을 표시합니다. 사용자는 이를 무시하거나 Bob이 자동으로 해결하도록 할 수 있습니다.

분석은 전략적인 프롬프트 작성을 통해 선제적으로 수행할 수도 있습니다. 예를 들어, 코딩 어시스턴트에게 '버그를 찾아줘'라고 요청하는 대신 개발자는 특정 목표를 염두에 두고 리포지토리를 검토하도록 요청할 수 있습니다. 아키텍처 검토의 경우 디렉터리 구성, 진입점, 구성 요소 관계, 전체 기술 스택을 검토하도록 요청할 수 있으며, 이 모든 작업은 자세한 문서를 생성합니다. 데이터베이스 설계를 분석하는 프롬프트는 현대화 목표를 파악하는 데 도움이 될 수 있습니다. 전문화된 프롬프트는 데이터베이스 설계, 마이그레이션 분석을 검토하고 기술 부채에 대한 포괄적인 검토를 수행할 수 있으며, 문제를 가장 전략적으로 해결하는 방법에 대한 권장 사항을 제공할 수 있습니다.