[GitHub Actions] GitHub Actions 실습

GitHubGitHub - taehyung-99/secops-actions-lab

GitHub - taehyung-99/secops-actions-lab

Contribute to taehyung-99/secops-actions-lab development by creating an account on GitHub.

GitHub

목표

🛠️ 도구 및 용어 정리

1. Ruff

2. mypy

""" 잘못된 인자 타입 예시 """
def greet(name: str) -> None:
	print(f"Hello, {name}")

# str 타입이 필요한데, int 타입을 전달
greet(123)

""" 반환 타입 불일치 """
def add_numbers(a: int, b: int) -> int:
	# int 타입을 반환해야 하는데, 결과가 str 타입
	return f"{a+b}"

3. pytest

4. pip-audit

5. Semgrep

6. SARIF

7. gitleaks

8. reviewdog

9. Dependabot

10. Rulesets

🧪 도구 사용기

Ruff

 

def build_label(name: str, count: int) -> str:
    unit = 'items' if count != 1 else 'item'
    return f'{name}: {count} {unit}'

 

def build_label(name: str, count: int) -> str:
    unit = "items" if count != 1 else "item"
    return f"{name}: {count} {unit}"

mypy

def apply_discount(price: int, rate: float) -> int: # int 를 반환
    return price * rate # int * float 의 결과는 float 타입이지만 int 타입을 반환하라고 선언


result = apply_discount("100", 0.1) # price는 int 타입이지만, 인자 값으로 str 타입을 입력

 

pytest

# tests/test_price_logic.py 코드

from app.price_logic import order_total

def test_bulk_discount_applies_at_exactly_ten():
    assert order_total(10) == 9000

def order_total(quantity: int, unit_price: int = 1000) -> int:
    """수량에 따른 주문 총액을 계산합니다.

    사양: 수량이 10개 '이상'이면 대량 구매로 보고
          개당 100원을 깎아 줍니다. 미만이면 기본
          단가(unit_price)를 그대로 씁니다.
    """
    if quantity > 10: # 10개일 경우, 100원 할인 적용이 안됨(경계값 오류)
        unit_price = unit_price - 100
    return quantity * unit_price

 

Semgrep

rules:
  - id: lab-taint-sql-concat
    mode: taint
    languages: [python]
    severity: ERROR
    message: >
      사용자 입력이 문자열 조립을 거쳐 SQL 실행 지점까지 흘러갑니다.
      문자열 조립 SQL(Ruff S608)은 이 패턴을 놓칩니다.
      까닭은 README의 "패턴 매칭과 taint 분석의 검출 범위 차이"에 있습니다.
    pattern-sources:
      - pattern: flask.request.args.get(...)
      - pattern: flask.request.args[...]
      - pattern: flask.request.form.get(...)
    pattern-sinks:
      - pattern: $CURSOR.execute($QUERY, ...)
        focus-metavariable: $QUERY

def search(cur):
	q = request.args.get("q")
	prefix = "SELECT * FROM users WHERE name LIKE '%" # 순수 문자열
	query = prefix + q +"%'" # 표면적으로 SELECT과 같은 SQL 키워드가 없음
	cur.execute(query) # SQL 실행 함수에 전달

gitleaks

🕹️ CI 파이프라인 조립하기

• name - GitHub Actions 의 작업 목록에서의 워크플로 이름을 지정한다.

• on - 워크플로를 자동으로 트리거하기 위해 실행 이벤트를 정의한다.

# on 사용 예시
on:
  pull_request: # PR이 생성되면 실행
  push:
    branches:
      - main # main 브랜치로 push될 때 실행
  workflow_dispatch: # Actions 화면에서 수동실행
  workflow_call: # 다른 워크플로가 호출하면 실행

• permissions - GitHub 토큰에 부여된 기본 사용 권한을 수정하여 액세스의 범위를 정한다.

# permissions 사용 예시
permissions:
  contents: read # 저장소 내용을 읽을 수 있음
  pull-requests: write # PR에 리뷰 코멘트를 작성할 수 있음

• env - 작업 단계에서 사용할 수 있는 환경변수를 정의한다.

# env 사용 예시
env:
  PYTHON_VERSION: "3.12" # 모든 job과 step에서 사용하는 변수 정의

• jobs - 실제로 실행할 작업들을 정의한다.

# jobs 사용 예시
jobs:
  <job_id>: 
    runs-on: ubuntu-latest # jobs을 실행할 가상 머신 - GitHub
    steps:
      - uses: actions/checkout@v7
				     # 소유자 / 저장소 / Git 참조(버전 태그)
      - run: uv run ... 

name: Terraform Plan
on:
  pull_request:
    branches:
      - main
    paths:
      - "**/*.tf"
      - ".terraform.lock.hcl"
permissions:
  contents: read
jobs:
  plan:
    runs-on: ubuntu-latest
    steps:
      - name: 저장소 코드 가져오기
        uses: actions/checkout@v7
      - name: 테라폼 설치
        uses: hashicorp/setup-terraform@v4
        with:
          terraform_version: "1.15.8"
      - name: Terraform Fmt
        run: terraform fmt -check -recursive
        
      - name: Terraform Init
	      run: terraform init -input=false
	      
	    - name: Terraform Validate
	      run: terraform validate -no-color
	      
	    - name: Terraform Plan 
	      run: terraform plan -input=false -no-color

01-ruff.yml

1. reviewdog 실행 조건 채우기, PR 이벤트일 때, 돌도록 수정

- name: Ruff lint -> reviewdog (PR 인라인 리뷰)
	if: github.event_name == 'pull_request' # GitHub 컨텍스트 예시 참고, 

2. Ruff의 포맷터 검사와, 린트 + 보안 검사 자동화 만들기

- name: Ruff format
	run: uv run ruff format --check . # 고치지는 않음
- name: Ruff lint and security
	run: uv run ruff check app/

02-mypy.yml

- name: mypy
	run: uv run mypy app/

03-pytest.yml

1. pytest로 테스트를 실행하고 커버리지 리포트를 만드는 스텝 완성하기

- name: pytest
  run: uv run pytest --cov=app --junitxml=pytest.xml --cov-report=xml:coverage.xml
  # pytest 결과를 pytest.xml 파일로 저장하고, 커버리지 결과를 coverage.xml 파일에 저장

2. 앞 스텝이 실패해도, PR 이면 다음 동작을 수행하도록 만들기

- name: 커버리지 스티키 코멘트
  if: ${{ always() }} && github.event_name == 'pull_request'
  # always - 앞 단계가 취소되도 단계가 항상 실행되고 true가 반환되도록 해줌

04-pip-audit.yml

- name: lock 파일에서 의존성 추출
  run: uv export --format requirements-txt --no-emit-project -o requirements.txt

- name: pip-audit
  run: uvx pip-audit -r requirements.txt --no-deps
  # --no-deps - 의존성 관계를 다시 계산하지 않고 파일에 적힌 버전을 그대로 검사

05-semgrep.yml

1. Semgrep을 레지스트리 팩과 커스텀 룰로 실행하고, SARIF 파일을 만드는 스텝 완성하기

- name: Semgrep
  run: |
    semgrep scan \
    --config p/python \
    --config .semgrep/rules.yml \
    --sarif --output semgrep.sarif \
    --error
    
# p/python 레지스트리 팩, rules.yml 커스텀 룰

2. 앞 스텝이 실패해도 결과가 올라가도록 수정

- name: SARIF 업로드 (코드 스캐닝)
  if: ${{ always() }} # 앞 단계의 성공유무와 상관없이 항상 실행되고, true를 반환하는 상태 검사 함수

06-gitleaks.yml

- name: gitleaks
  uses: gitleaks/gitleaks-action@v2
  env:
    GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }} # github.token도 가능

07-ci-summary.yml

1. 트리거 이해하기 - PR, main으로 push, schedule 트리거 발생 시 실행 되도록 on 채우기

on:
  pull_request: # PR 이벤트 발생 시 트리거
  push:
    branches:
      - main # main 브랜치로 push 이벤트 발생 시 트리거
  schedule:
    - cron: '30 20 * * 0' # 매주 일요일 20:30 스케줄링으로 트리거

2. concurrency 이해하기 - 동일한 동시성 그룹을 사용하는 작업 또는 워크플로가 한 번에 하나만 실행되도록 해준다.

on:
  pull_request:

concurrency:
  group: ${{ github.workflow }}-${{ github.ref }}
  cancel-in-progress: ${{ github.event_name == 'pull_request' }}

# 트리거 조건이 정의된 직후에 concurrency 키워드를 사용해
# 특정 분기에 대한 전체 워크플로 실행의 동시성을 제한
# 즉, PR에 새 커밋이 연속으로 push되면 이전 워크플로 실행을 취소하고 최신 실행만 계속함

3. needs 이해하기 - 현재 작업의 직접적인 종속성으로 정의된 모든 작업으로부터의 출력을 포함한다. 즉, 동작을 실행하기 위해 선행되어야 하는 작업을 작성하는 것이다. 쉽게 생각하면, A needs: B 는 “A를 실행하려면 B가 먼저 필요하다”라고 보면 된다. 실습 파일에서는 앞의 도구들의 워크플로를 호출하여 현재 실행 안에서 실행하고, 완료된 결과를 needs로 수집하고 있다. 각 도구 워크플로를 호출하는 조건을 완성시키자

# 코드가 바뀌었고, 예약 실행이 아닐 때 ruff 호출
ruff:
  needs: changes
  if: needs.changes.outputs.code == 'true' && github.event_name != 'schedule'

# 코드가 바뀌었고, 예약 실행이 아닐 때 mypy 호출
mypy:
  needs: changes
  if: needs.changes.outputs.code == 'true' && github.event_name != 'schedule'

# 코드가 바뀌었고, 예약 실행이 아닐 때 pytest 호출
pytest:
  needs: changes
  if: needs.changes.outputs.code == 'true' && github.event_name != 'schedule'

# 코드가 바뀌었을 때 pip-audit 호출, 예약 실행에서도 돈다
pip-audit:
  needs: changes
  if: needs.changes.outputs.code == 'true'

# 코드가 바뀌었을 때 semgrep 호출, 예약 실행에서도 돈다
semgrep:
  needs: changes
  if: needs.changes.outputs.code == 'true'

# 코드가 바뀌었고, 예약 실행이 아닐 때 gitleaks 호출
gitleaks:
  needs: changes
  if: needs.changes.outputs.code == 'true' && github.event_name != 'schedule'

성공 기준

01-ruff.yml

# 01-ruff.yml의 린트와 보안 규칙 작업에 상태 검사 함수를 조건으로 추가
- name: Ruff lint and security
	run: uv run ruff check app/
	if: ${{ always() }} # 이전 작업이 실패해도 true 반환

02-mypy.yml

03-pytest.yml

04-pip-audit.yml

05-semgrep.yml

06-gitleaks.yml

🚥 브랜치 보호하기

🧑🏻‍🔧 수리하기

pytest 검사가 탐지하는 파일 → price_logic.py

# price_logic.py
def order_total(quantity: int, unit_price: int = 1000) -> int:
- if quantity > 10:
+ # 11개부터 할인되는 경계값 버그를 10개부터 할인되도록 수정
+ if quantity >= 10:
		unit_price = unit_price - 100
	return quantity * unit_price

mypy 검사가 탐지하는 파일 → type_confusion.py

# type_confusion.py
- def apply_discount(price: int, rate: float) -> int:
+ # int * float 는 float 타입이므로 return-value 버그 수정
+ def apply_discount(price: int, rate: float) -> float:
  return price * rate

- result = apply_discount("100", 0.1)
+ price 인자가 int 타입이므로 str -> int 로 arg-type 버그 수정
+ result = apply_discount(100, 0.1)

ruff lint + ruff 규칙 검사가 탐지하는 파일

Ruff는 ruff check --fix명령으로 일부 자동 수정이 가능하다. ruff check --diff명령으로 수정하지 않고, --fix가 수정하는 내용을 미리 확인하자!

1. insecure_hash.py (S324)

# insecure_hash.py

def fingerprint(data):
- return hashlib.md5(data).hexdigest()
+ # 안전하지 않은 MD5 해시 함수를 사용하고 있어 lint 보안 규칙에 탐지(S324) -> sha256 해시 함수로 수정
+ return hashlib.sha256(data).hexdigest()

2. lint_playground.py (총 7건)

• UP035, I001, F401, UP006

# lint_playground.py

- from typing import List
+ # 구식 타입 별칭 import가 폐기 예정 방식이어서 lint 규칙에 탐지(UP035) -> import 제거
- import os
+ # import 미정렬(I001) 및 미사용 import(F401) 제거

- def clamp_values(numbers: List[int]) -> List[int]:
+ # 구식 타입 표기를 사용하고 있어 lint 규칙에 탐지(UP006) -> List를 list로 수정
+ def clamp_values(numbers: list[int]) -> list[int]:

- result: List[int] = []
+ result: list[int] = []

• SIM102

# lint_playground.py

- if value > 0:
-   if value < 100:
+ # 접이식 if를 사용하고 있어 lint 규칙에 탐지(SIM102) -> if ... and ... : 사용
+ if value > 0 and value < 100:

• B006

# lint_playground.py

- def find_missing(value, items=[]):
+ # 함수 인자 기본값으로 가변 객체가 사용되면 함수의 모든 호출에 공유되기 때문에 lint 규칙에 탐지(B006)
+ # 불변 데이터 구조를 사용하거나 None을 기본값으로 설정
+ def find_missing(value, items=None):
+     if items is None:
+         items = []

• E711

# lint_playground.py

- if value == None:
+ # None으로 not-is-test를 하고 있어 lint 규칙에 탐지(E711) -> is or is not을 사용
+ if value is None:

3. shell_injection.py (S602)

# shell_injection.py

- def run_command(cmd):
- subprocess.run("sh -c " + cmd,shell=True)
+ # subprocess에 shell=True를 사용하게되면,
+ # 공격자가 임의의 Shell 명령을 실행할 수 있어 lint 보안 규칙에 탐지(S602)
+ # split()로 나누어 리스트 인자를 활용하고, shell=True 제거
+ # 수정하면, S603 린트가 탐지될 수 있는데 입력값 검증으로 해결할 수 있음
+ # 여기서는 #noqa: S603으로 ignore -> 입력 검증을 사람이 확인하고 경고를 예외처리
+ import shlex
+ def run_command(cmd: str) -> None:
+     subprocess.run(shlex.split(cmd), check=True) # noqa: S603

4. sqli_fstring.py (S608)

# sqli_fstring.py

def find_user(cur, name):
-   cur.execute(f"SELECT * FROM users WHERE name = '{name}'")
+ # 하드코딩된 SQL 표현식을 사용하고 있어 lint 보안 규칙에 탐지(S608)
+ # 사용자 입력을 f-string과 같은 문자열 조립 방식으로 SQL 문장에 삽입할 수 있으니,
+ # 사용자 입력값과 SQL 구문을 분리하여야 함
+   cur.execute("SELECT * FROM users WHERE name = %s", (name,))

# SQL placeholder는 DB에 따라 다르니 환경에 맞춰 사용해야 한다.
# SQLite: ? / PostgreSQL・MySQL: %s

5. unsafe_pickle.py (S301)

# unsafe_pickle.py

- import pickle
+ import json

def deserialize(blob):
- return pickle.loads(blob)
+ # 신뢰할 수 없는 피클을 역직렬화하고 있어 lint 보안 규칙에 탐지(S301)
+ # 피클에 임의의 객체를 생성할 수 있어 보안에 취약 -> json 형식을 활용
+ return json.loads(blob)

ruff format이 탐지하는 파일 → messy_format.py

# messy_format.py

- unit = 'items' if count != 1 else 'item'
- return f'{name}: {count} {unit}'
+ # 싱글 쿼터(') -> 더블 쿼터(")
+ unit = "items" if count != 1 else "item"
+ return f"{name}: {count} {unit}"

Semgrep taint 검사가 탐지하는 파일 → sqli_taint_only.py

# sqli_taint_only.py

def search(cur):
- q = request.args.get("q")
- prefix = "SELECT * FROM users WHERE name LIKE '%"
- query = prefix + q + "%'"
- cur.execute(query)
+ # 파라미터 바인딩을 통해 사용자 입력을 SQL 문장과 분리
+ # rules.yml 커스텀 룰은 안전한 두 번째 파라미터 바인딩도 sink로 판단하여 탐지
+ # nosemgrep: lab-taint-sql-concat으로 탐지 우회하여 처리 - 안전하다고 판단
+ q = request.args.get("q", "")
+ cur.execute( # nosemgrep: lab-taint-sql-concat
+     "SELECT * FROM users WHERE name LIKE %s",
+     (f"%{q}%",),
+ )

gitleaks 검사가 탐지하는 파일

pip-audit 검사가 탐지하는 파일 → requirements.txt

 

# pyproject.toml(의존성 조건이 정의된 파일)

dependencies = [
- "flask==2.2.5",
+ "flask>=3.1.3",
- "jinja2==3.1.2",
+ "jinja2>=3.1.3",
- "requests==2.31.0",
+ "requests>=2.32.0",
]

dev = [
- "pytest==8.3.5",
+ "pytest>=9.0.3",
]

[tool.uv]
- constraint-dependencies = ["werkzeug==2.2.3"]
+ constraint-dependencies = ["werkzeug>=2.3.8"]

마무리