---
id: P-REINFORCE-WIKI-57E80EF7
title: "동적-정적 코드 분석 (Static-Dynamic Code Analysis)"
category: Unified
status: draft
canonical_id: ""
aliases: []
duplicate_of: ""
source_trust_level: A
confidence_score: 0.95
tags: ['Static-Dynamic Code Analysis']
raw_sources: ["Datacollector_MAC/out_wiki/동적-정적 코드 분석 (Static-Dynamic Code Analysis).md"]
last_reinforced: 2026-05-02
github_commit: ""
---

# [[동적-정적 코드 분석 (Static-Dynamic Code Analysis)]]

## 📌 Brief Summary
동적/정적 코드 분석은 소프트웨어 시스템의 소스 코드를 스캔하거나 실행하여 오류, 보안 취약점, 품질 문제를 배포 이전에 식별하는 자동화된 기법이다 [1, 2]. 정적 분석(SAST)은 애플리케이션을 실행하지 않고 코드의 구조와 구문을 검사하여 코딩 오류나 보안 결함을 찾으며 [1, 3], 동적 분석(DAST)은 애플리케이션을 직접 구동하여 런타임 오류나 메모리 누수 등을 탐지한다 [1, 3]. 이 두 접근법을 통합적으로 활용하면 거대한 코드베이스를 안전하고 효율적으로 파악하고 기술적 부채를 관리할 수 있다 [4, 5].

## 📖 Core Content

*   **정적 코드 분석 (Static Code Analysis, SAST):**
    *   애플리케이션을 실행하지 않고 유휴 상태(at rest)의 소스 코드나 바이너리를 분석하는 방식이다 [1, 3].
    *   주로 추상 구문 트리(AST) 분석을 통해 정의되지 않은 변수, 비효율적인 코딩 패턴, SQL 인젝션과 같은 보안 취약점을 찾아낸다 [3, 6].
    *   이 기법은 개발 파이프라인(CI/CD)이나 IDE에 직접 통합되어, 개발 초기 단계에서 코드 리뷰를 자동화하고 버그를 식별 및 수정할 수 있도록 돕는다 [7-9].
    *   또한, 코드 유지보수성을 판단하기 위한 복잡도(Complexity) 분석 기능과 MISRA, CERT 등 산업 규정 준수(Compliance Verification) 확인 기능도 제공한다 [3].

*   **동적 코드 분석 (Dynamic Code Analysis, DAST):**
    *   실제로 애플리케이션을 실행하는 과정에서 코드의 런타임 동작을 모니터링하고 테스트하는 방식이다 [1, 3].
    *   정적 분석으로는 파악하기 어려운 런타임 오류, 메모리 누수, 입력 검증 실패, 비동기 작업의 흐름 등을 탐지하는 데 특화되어 있다 [1, 3, 10].
    *   디버거의 중단점(Breakpoints)을 활용한 변수 값과 호출 스택 추적, 런타임 프로파일링(Profiling), 의도적인 잘못된 입력 주입을 통한 스택 트레이스(Stack Trace) 분석 기법 등이 동적 분석의 연장선으로 활용된다 [10-12].

*   **최신 동향 및 하이브리드 접근법:**
    *   현대의 코드 분석 도구들은 정적 방식과 동적 방식을 결합(Hybrid)하거나, 인공지능(AI)을 결합하여 분석의 컨텍스트를 이해하는 방향으로 진화하고 있다 [1, 13].
    *   동적 기호 실행(Dynamic symbolic execution)을 병합해 사람이 놓치기 쉬운 코드의 특정 경로를 심층 추적하는 기능을 제공하기도 한다 [14].
    *   또한, 단순한 코드 구문 분석을 넘어 개발 팀의 버전 관리 이력 및 협업 패턴을 모니터링하여 기술적 부채의 핫스팟(Hotspot)을 예측하는 행동 기반 코드 분석(Behavioral Code Analysis) 도구(예: CodeScene)도 활발히 사용되고 있다 [15, 16].

## ⚖️ Trade-offs & Caveats

*   **오탐지(False Positives) 및 경고 피로:** 정적 분석 도구는 실행 문맥을 완벽하게 파악하지 못하므로, 실제로는 안전한 코드를 취약점이나 오류로 잘못 식별하는 오탐지(False Positives) 비율이 존재한다 [17, 18]. 지나치게 많은 경고는 개발자에게 피로감(alert fatigue)을 주어 진짜 중요한 이슈를 놓치게 할 수 있기 때문에, 팀의 환경에 맞춘 스캔 규칙 튜닝이나 AI를 통한 위험도 필터링이 필요하다 [19-21].
*   **성능 및 실행 시간 제약 (Performance Impact):** 동적 분석이나 아키텍처 범위의 딥 스캔(Deep scan)은 실행 시간이 오래 걸려 CI/CD 파이프라인의 배포 속도를 저하시킬 수 있다 [22, 23]. 깊이 있는 컨텍스트 분석을 위해 큰 규모의 코드베이스 전체를 스캔하면 리소스 소모가 크다 [24].
*   **언어 및 프레임워크 지원 한계:** 분석 도구들은 특정 프로그래밍 언어나 최신 프레임워크 버전에 대한 지원 여부에 크게 좌우된다. 조직이 사용하는 다중 언어(Polyglot) 스택을 도구가 완벽히 지원하지 못하면, 특정 계층이 분석의 사각지대에 놓일 수 있다 [25, 26].
*   **AI 기반 분석의 환각(Hallucination):** 최근 코드 분석에 AI 모델을 결합하는 추세이나, AI가 컨텍스트를 오인하여 존재하지 않는 버그나 허위 구조를 지적하는 환각 현상이 일어날 수 있다. 따라서 AI 기반 분석 결과는 정적 분석 스캐너나 실제 코드로 교차 검증해야 한다 [13, 27].

## 🔗 Knowledge Connections

### Related Concepts

#### [분석 대상 및 방법론]
*   [[추상 구문 트리 (AST)]]
    *   연결 이유: 정적 코드 분석 도구들이 소스 코드의 논리와 문법 구조를 평가하기 위해 기반으로 삼는 핵심 데이터 모델이다 [6, 9].
    *   이 개념을 통해 더 깊게 이해할 수 있는 부분: 정적 분석기가 코드를 직접 실행하지 않고도 취약점이나 구조적 결함을 논리적으로 식별해 내는 내부 원리를 파악할 수 있다.
*   [[런타임 프로파일링 (Runtime Profiling)]]
    *   연결 이유: 동적 코드 분석 및 런타임 탐색 시, 코드의 실행 속도, 메모리 점유, 객체의 생명 주기를 실시간으로 관찰하기 위해 사용된다 [10, 12].
    *   이 개념을 통해 더 깊게 이해할 수 있는 부분: 애플리케이션의 실제 실행 환경에서만 드러나는 병목 지점이나 자원 관리의 효율성을 진단하는 동적 접근법의 기술적 배경을 알 수 있다.

#### [보안 및 품질 검증]
*   [[정적 애플리케이션 보안 테스트 (SAST)]]
    *   연결 이유: 정적 분석 기술을 코드 내재 보안 취약점(인젝션, 버퍼 오버플로우 등)을 식별하는 데 집중적으로 활용하는 보안 방법론이다 [3, 28, 29].
    *   이 개념을 통해 더 깊게 이해할 수 있는 부분: 코드베이스에 숨겨진 보안 리스크를 개발 초기(Shift-Left)에 발견하고 자동화하는 DevSecOps 실무 구성을 배울 수 있다 [1, 17].

#### [개발 파이프라인]
*   [[CI/CD (Continuous Integration/Continuous Deployment)]]
    *   연결 이유: 현대의 정적 및 동적 분석 도구는 CI/CD 파이프라인에 통합되어 커밋과 풀 리퀘스트(PR) 발생 시마다 코드를 자동으로 검사한다 [7, 30, 31].
    *   이 개념을 통해 더 깊게 이해할 수 있는 부분: 자동화된 파이프라인 내에서 배포 지연을 막으면서도 코드 분석 품질 게이트(Quality Gates)를 어떻게 적절히 설정하는지에 대한 아키텍처 전략을 알 수 있다.

### Deeper Research Questions

*   정적 코드 분석 시 발생하는 오탐지(False Positive)를 효과적으로 줄이기 위해 AI의 컨텍스트 추론 기능이나 동적 기호 실행(Dynamic Symbolic Execution)을 어떻게 결합할 수 있는가?
*   대규모 마이크로서비스 환경에서 개별 서비스가 아닌 전체 시스템의 비동기적 흐름을 추적하고 검증하기 위한 동적 분석 전략은 무엇인가?
*   정적 애플리케이션 보안 테스트(SAST)와 소프트웨어 구성 분석(SCA)은 코드베이스 리뷰 과정에서 어떻게 상호 보완적으로 작용하여 공급망 보안을 완성하는가?
*   코드 분석 도구들이 계산해 내는 복잡도 메트릭이나 코드 상태 지표는 조직의 기술적 부채 우선순위 선정과 아키텍처 리팩토링 결정에 어떠한 정량적 기준을 제공하는가?
*   AI 기반 코드 분석 에이전트의 환각(Hallucination) 위험을 최소화하기 위해 전통적인 규칙 기반의 정적 분석 도구와 AI의 추론을 결합하는 파이프라인은 어떻게 설계해야 하는가?

### Practical Application Contexts

*   **Implementation:** 소스 코드를 새로 작성하거나 수정할 때, IDE에 통합된 플러그인(예: Qodana, Snyk Code 등)을 활용해 코딩과 동시에 정적 분석과 린트(Linting) 경고를 실시간으로 확인하고 수정한다 [8, 9].
*   **System Design:** 시스템 규모가 커질 때 코드 복잡도 분석 지표를 활용하여 모듈 간 강결합 여부를 모니터링하고, 아키텍처 리팩토링이나 레이어 분리의 기준점을 마련한다 [3, 5].
*   **Operation / Maintenance:** 방대한 레거시 시스템을 유지보수할 때 정적 분석 도구로 파일 및 의존성 지형을 파악하고, 디버거나 런타임 프로파일링 같은 동적 도구를 활용하여 코드가 런타임 상에서 동작하는 실질적인 로직 및 객체 수명 주기를 파악한다 [10, 32].
*   **Learning Path:** 낯선 대규모 코드베이스에 온보딩할 때, 소스 코드 구조를 파악하기 위한 정적 역추적과 직접 실행해 보며 중단점(Breakpoint)을 통한 동적 데이터 변화 흐름을 병행하여 멘탈 모델을 빠르게 구축한다 [11, 12].
*   **My Project Relevance:** 코드 리뷰 단계에서 분석 자동화 툴을 CI 파이프라인에 통합해, 리뷰어가 잡아내기 힘든 사소한 구문 오류나 보안 결함을 사전에 필터링함으로써 중요한 아키텍처 설계와 비즈니스 로직 리뷰에만 인력을 집중하게 할 수 있다 [31, 33].

### Adjacent Topics

*   [[소프트웨어 구성 분석 (SCA)]]
    *   확장 방향: 직접 작성한 코드를 분석하는 SAST/DAST의 범위를 넘어, 프로젝트가 의존하고 있는 외부 오픈소스 라이브러리와 서드파티 패키지의 취약점 및 라이선스 위험성을 검증하는 공급망 보안 관리 개념으로 확장한다 [21, 34].
*   [[행동 기반 코드 분석 (Behavioral Code Analysis)]]
    *   확장 방향: 코드의 정적 구문이나 동적 실행 상태를 넘어, 버전 관리 이력(Git)과 개발팀의 기여 협업 패턴을 분석함으로써 기술적 부채가 집중적으로 발생하는 핫스팟(Hotspot)을 식별하는 차세대 코드 품질 관리 기법으로 지식을 넓힌다 [15, 16].

---
*Last updated: 2026-05-02*
## 🧪 검증 상태 (Validation)
- **정보 상태:** draft
- **출처 신뢰도:** A
- **검토 이유:** Datacollector에서 자동 추출된 위키 데이터의 초기 통합.

## 🧬 중복 검사 (Duplicate Check)
- **기존 유사 문서:** None
- **처리 방식:** CREATE
- **처리 이유:** 신규 지식 체계 도입
