[P-Reinforce] Global knowledge consolidation, massive deduplication (5,249 files), and high-density wikification (45 nodes)

2026-05-05 15:28:22 +09:00
parent a7d1e60ccf
commit dd01e01bea
3430 changed files with 42739 additions and 52263 deletions
@@ -0,0 +1,35 @@
+---
+id: P-REINFORCE-AUTO-WIKI-SEC-002
+category: "10_Wiki/💡 Topics/Security & Reliability"
+confidence_score: 0.95
+tags: [security, sast, static-analysis, shift-left, code-review, p-reinforce]
+last_reinforced: 2026-05-01
+---
+
+# [[SAST (Static Application Security Testing)]]
+
+## 📌 한 줄 통찰 (The Karpathy Summary)
+> "애플리케이션을 실행하지 않고 소스 코드 자체를 분석하여 결함을 찾아내는 첫 번째 방어선으로, 보안 결함 수정 비용을 최소화하는 '시프트 레프트(Shift-Left)' 전략의 핵심 엔진."
+
+## 📖 구조화된 지식 (Synthesized Content)
+SAST는 개발 초기 단계에서 보안 무결성을 확보하기 위한 정적 도구입니다.
+
+1.  **정적 분석 메커니즘**:
+    *   소스 코드의 구문(AST)과 논리 구조를 스캔하여 취약한 패턴(예: OWASP Top 10)을 식별합니다.
+    *   취약점의 정확한 라인 번호를 제공하여 개발자가 즉각적으로 대응할 수 있게 합니다.
+2.  **리뷰어의 인지 에너지 보존**:
+    *   인젝션 결함이나 기초적인 보안 실수를 기계가 선별함으로써, 인간 리뷰어는 아키텍처 의도와 비즈니스 로직 검토에 집중할 수 있습니다.
+3.  **조기 발견 (Shift-Left)**:
+    *   코드 작성 및 PR 단계에서 즉시 위협을 감지하여, 프로덕션 배포 후 발생하는 막대한 수정 비용을 예방합니다.
+
+## ⚠️ 모순 및 업데이트 (Contradictions & RL Update)
+- **오탐(False Positives) 관리**: 패턴 매칭에 의존하므로 실제 위협이 아닌 코드도 위험으로 분류하는 노이즈가 발생할 수 있습니다. 이는 리뷰 팀의 주관적 검증(Validation) 정책으로 보완해야 합니다.
+- **맥락 인지의 한계**: 비즈니스 로직이나 런타임 환경 설정(네트워크 등)에 의한 동적 취약점은 탐지할 수 없으므로 DAST/IAST와의 병행이 필수입니다.
+
+## 🔗 지식 연결 (Graph)
+- [[DAST (Dynamic Application Security Testing)]]: 동적 분석과의 보완적 관계.
+- [[Shift-Left Security]]: 보안의 조기 도입 철학.
+- [[CI/CD Pipeline Integration]]: 품질 게이트(Quality Gate)로서의 구현.
+- [[Automated Code Analysis]]: 린팅 및 정적 분석 도구군.
+- [[SCA (Software Composition Analysis)]]: 외부 라이브러리 보안 검증으로의 확장.
+---
@@ -0,0 +1,36 @@
+---
+id: P-REINFORCE-AUTO-WIKI-SEC-004
+category: "10_Wiki/💡 Topics/Security & Reliability"
+confidence_score: 0.95
+tags: [security, sca, open-source, dependency-management, license-compliance, p-reinforce]
+last_reinforced: 2026-05-01
+---
+
+# [[Software Composition Analysis (SCA)]]
+
+## 📌 한 줄 통찰 (The Karpathy Summary)
+> "애플리케이션을 구성하는 외부 오픈소스 컴포넌트와 서드파티 의존성을 스캔하여, 알려진 보안 취약점(CVE)과 법적 라이선스 리스크를 사전에 차단하는 '공급망 보안(Supply Chain Security)'의 핵심 엔진."
+
+## 📖 구조화된 지식 (Synthesized Content)
+SCA는 프로젝트의 외부 의존성을 관리하고 보안 무결성을 검증합니다.
+
+1.  **의존성 및 취약점 스캔**:
+    *   NPM, Maven, PyPI 등 프로젝트에 포함된 오픈소스 라이브러리를 스캔하여 CVE(알려진 취약점) 데이터베이스와 대조합니다.
+    *   취약한 버전의 라이브러리가 사용될 경우 경고를 보내고 안전한 버전으로의 업데이트를 제안합니다.
+2.  **라이선스 및 지적 재산권 보호**:
+    *   오픈소스 라이선스(예: AGPL vs MIT) 충돌을 감지하여 법적 리스크를 방어합니다.
+    *   특히 AI 생성 코드가 라이선스 보호 코드를 무단 복제하여 병합하는 상황을 식별하는 데 유용합니다.
+3.  **CI/CD 품질 게이트**:
+    *   코드 리뷰 이전 단계에서 취약한 패키지를 자동으로 차단하여, 인간 리뷰어의 검토 부담을 대폭 낮춥니다.
+
+## ⚠️ 모순 및 업데이트 (Contradictions & RL Update)
+- **내부 로직 검증의 부재**: SCA는 '알려진 위협'을 찾는 도구입니다. 개발자가 직접 작성한 소스 코드 내부의 고유한 로직 오류나 제로데이 취약점은 탐지할 수 없으므로 SAST와의 병행이 필수적입니다.
+- **도달 가능성(Reachability)의 문제**: 방대한 취약점 목록 중 실제 비즈니스 로직에서 호출되어 타격을 줄 수 있는 취약점을 우선순위화하는 정책이 운영 효율성을 결정짓는 핵심 업데이트가 될 것입니다.
+
+## 🔗 지식 연결 (Graph)
+- [[SAST (Static Application Security Testing)]]: 내부 소스 분석과의 상호 보완.
+- [[CVE (Common Vulnerabilities and Exposures)]]: 취약점 표준 데이터베이스와의 연결.
+- [[Shift-Left Security]]: 보안 관리의 조기 도입.
+- [[Dependabot]]: 자동화된 패키지 업데이트 워크플로우.
+- [[AI-Generated Code Security]]: AI 생성 코드의 보안 및 저작권 검증.
+---