8.4. 의존성 보안 스캔

8.4.1. OWASP Dependency-Check

알려진 보안 취약점(CVE)이 있는 의존성을 검출하기 위해 OWASP Dependency-Check를 사용합니다.

<plugin>
  <groupId>org.owasp</groupId>
  <artifactId>dependency-check-maven</artifactId>
  <version>11.1.1</version>
  <configuration>
    <failBuildOnCVSS>7</failBuildOnCVSS>
    <formats>
      <format>HTML</format>
      <format>JSON</format>
    </formats>
  </configuration>
</plugin>

• failBuildOnCVSS: CVSS 점수 7 이상의 취약점이 발견되면 빌드를 실패시킵니다.
• CI 파이프라인에서 주기적으로 실행합니다.

mvn dependency-check:check