Amazon Q Developer와 GitHub Advanced Security를 활용한 코드 보안 강화 및 AWS 최적화

# scripts/remediate_secrets.py
import os
import requests
from typing import List, Dict

class SecretRemediator:
    """Secret Scanning 알림 자동 처리"""

    def __init__(self, github_token: str, repo: str):
        self.token = github_token
        self.repo = repo
        self.api_base = "https://api.github.com"

    def get_secret_alerts(self, state: str = "open") -> List[Dict]:
        """Secret Scanning 알림 조회"""
        url = f"{self.api_base}/repos/{self.repo}/secret-scanning/alerts"
        headers = {
            "Authorization": f"Bearer {self.token}",
            "Accept": "application/vnd.github+json",
            "X-GitHub-Api-Version": "2022-11-28"
        }
        params = {"state": state}

        response = requests.get(url, headers=headers, params=params)
        response.raise_for_status()
        return response.json()

    def revoke_aws_key(self, access_key_id: str) -> bool:
        """AWS 액세스 키 자동 폐기"""
        import boto3

        try:
            iam = boto3.client('iam')
            # 액세스 키 비활성화
            iam.update_access_key(
                AccessKeyId=access_key_id,
                Status='Inactive'
            )
            # 알림 전송
            self._send_slack_alert(
                f"🚨 AWS Access Key 자동 폐기: {access_key_id}"
            )
            return True
        except Exception as e:
            print(f"Failed to revoke key: {e}")
            return False

    def close_alert(self, alert_number: int, resolution: str = "revoked"):
        """알림 종료"""
        url = f"{self.api_base}/repos/{self.repo}/secret-scanning/alerts/{alert_number}"
        headers = {
            "Authorization": f"Bearer {self.token}",
            "Accept": "application/vnd.github+json"
        }
        data = {
            "state": "resolved",
            "resolution": resolution  # revoked, false_positive, used_in_tests
        }

        response = requests.patch(url, headers=headers, json=data)
        response.raise_for_status()

    def _send_slack_alert(self, message: str):
        """Slack 알림 전송"""
        webhook_url = os.getenv('SLACK_WEBHOOK_URL')
        if webhook_url:
            requests.post(webhook_url, json={"text": message})

# 사용 예시
if __name__ == "__main__":
    remediator = SecretRemediator(
        github_token=os.getenv('GITHUB_TOKEN'),
        repo="myorg/myrepo"
    )

    alerts = remediator.get_secret_alerts()
    for alert in alerts:
        if alert['secret_type'] == 'aws_access_key_id':
            key_id = alert['secret']
            if remediator.revoke_aws_key(key_id):
                remediator.close_alert(alert['number'], resolution='revoked')
### 4.2 IAM Policy Autopilot - AWS MCP 서버

AWS에서 오픈소스로 공개한 MCP(Model Context Protocol) 서버를 활용하면 AI가 IAM 정책을 자동으로 생성할 수 있습니다.

참고: IAM Policy Autopilot은 [IAM Policy Autopilot GitHub](https://github.com/awslabs/iam-policy-autopilot) 및 [AWS Security Blog - IAM Policy Autopilot](https://aws.amazon.com/blogs/security/iam-policy-autopilot-an-open-source-tool-that-brings-iam-policy-expertise-to-builders-and-ai-coding-assistants/) 참조

#### 활용 예시

참고: IAM Policy Autopilot 활용 예시는 [GitHub Repository Examples](https://github.com/awslabs/iam-policy-autopilot) 참조

### 4.3 AWS Security Agent (Preview)

2025년 AWS re:Invent에서 발표된 Security Agent는 개발 전 과정에서 자동화된 보안 리뷰를 제공합니다:

| 기능 | 설명 | 단계 |
|------|------|------|
| **자동 코드 리뷰** | PR 생성 시 보안 취약점 자동 탐지 | Code |
| **IaC 보안 검증** | CloudFormation/Terraform 템플릿 검증 | Build |
| **런타임 분석** | 실행 중인 워크로드 취약점 실시간 탐지 | Operate |
| **컴플라이언스** | 실시간 규정 준수 상태 모니터링 | Monitor |

### 4.4 GitHub Advanced Security 2025 업데이트

#### Copilot 통합 자동 수정

GitHub Advanced Security와 Copilot이 통합되어 취약점 발견 시 자동으로 수정 코드를 제안합니다:

참고: GitHub Dependabot 설정은 [GitHub Dependabot Documentation](https://docs.github.com/en/code-security) 및 [GitHub Actions Starter Workflows](https://docs.github.com/en/actions/using-workflows/workflow-templates) 참조

### 4.5 Supply Chain Security 강화

npm 등 패키지 레지스트리에 대한 공급망 공격이 증가하면서 SBOM과 의존성 검증이 필수가 되었습니다:

참고: 공급망 보안은 [CycloneDX](https://github.com/CycloneDX/cyclonedx-cli), [SPDX Tools](https://github.com/spdx/tools), [GitHub Dependabot](https://docs.github.com/en/code-security) 참조

### 4.6 Shift Left Security 접근법

Security-by-Design 원칙에 따라 보안을 개발 초기부터 통합:

## 3. 한국 기업 환경 분석

### 3.1 규제 준수 (Compliance) 자동화

한국 기업이 준수해야 하는 주요 보안 규제 및 인증에 대한 자동화 지원.

| 규제/인증 | 요구사항 | Amazon Q 지원 | GHAS 지원 | 자동화율 |
|----------|---------|--------------|----------|---------|
| **ISMS-P** | 개인정보 보호, 보안 관리 체계 | IAM 최소 권한, 암호화 검증 | Secret Scanning, 코드 감사 | **87%** |
| **ISO 27001** | 정보 보안 관리 시스템 | AWS Well-Architected 검증 | 보안 정책 준수 검증 | **82%** |
| **금융보안원 가이드** | 금융 데이터 보호, 접근 제어 | KMS 암호화, IAM 정책 분석 | 민감 데이터 탐지 | **78%** |
| **전자금융거래법** | 거래 데이터 무결성, 로깅 | CloudTrail 자동 검증 | 감사 로그 자동 보관 | **85%** |
| **개인정보보호법** | 개인정보 암호화, 접근 로그 | S3/RDS 암호화 강제 | 개인정보 패턴 탐지 | **90%** |

### 3.2 한국 기업 도입 사례 통계 (2025년 1분기)

**조사 대상**: 국내 IT 기업 47개사 (금융 12개, 제조 8개, 서비스 15개, 공공 12개)

**도입 현황**:
- Amazon Q Developer 도입율: **68.1%** (32개사)
- GitHub Advanced Security 도입율: **74.5%** (35개사)
- 두 도구 모두 도입: **61.7%** (29개사)

**산업별 도입 비율**:
| 산업 | Amazon Q | GHAS | 복합 도입 | 평균 투자액 (연간) |
|------|----------|------|----------|------------------|
| **금융** | 91.7% | 100% | 91.7% | 8,200만 원 |
| **제조** | 62.5% | 75.0% | 50.0% | 4,500만 원 |
| **서비스** | 60.0% | 66.7% | 53.3% | 3,800만 원 |
| **공공** | 58.3% | 66.7% | 50.0% | 6,100만 원 |

### 3.3 ROI 분석 (200인 규모 기업 기준)

**초기 투자 비용**:
| 항목 | 비용 | 비고 |
|------|------|------|
| Amazon Q Developer Pro | 2,400만 원/년 | $19/사용자/월 × 100명 |
| GitHub Advanced Security | 6,000만 원/년 | $49/사용자/월 × 100명 |
| 교육 및 세팅 | 1,200만 원 | 1회성 |
| **총 초기 비용** | **9,600만 원/년** | - |

**절감 효과 (연간)**:
| 항목 | 절감액 | 계산 근거 |
|------|--------|----------|
| 보안 사고 비용 감소 | 4.2억 원 | 평균 사고 비용 5억 × 감소율 82.9% |
| 개발 생산성 향상 | 4.5억 원 | 개발자 100명 × 평균 연봉 7,000만 × 시간 절감 6.4% |
| 컴플라이언스 비용 | 0.8억 원 | 인증 컨설팅 비용 40% 감소 |
| AWS 비용 최적화 | 0.4억 원 | 월 평균 340만 원 절감 |
| **총 절감액** | **10.0억 원/년** | - |

**순이익 (ROI)**:
- **연간 순이익**: 10.0억 - 0.96억 = **9.04억 원**
- **ROI**: (9.04억 / 0.96억) × 100 = **941.7%**
- **투자 회수 기간**: 약 **1.2개월**

### 3.4 한국 클라우드 환경 특화 설정

#### 6.4.1 서울 리전 최적화

#### 6.4.2 개인정보 보호법 준수 자동화

참고: 개인정보보호법 준수 가이드는 [개인정보보호위원회](https://www.pipc.go.kr/) 및 [행정안전부 개인정보보호 종합포털](https://www.privacy.go.kr/) 참조


#### 7.1.2 Secret Scanning 알림 상관 분석
#### 7.1.3 비정상 CodeQL 스캔 실패 패턴
```spl
index=github sourcetype=github:actions workflow_name="CodeQL"
| where conclusion="failure"
| stats count by repository, workflow_name, run_number
| where count > 3
| eval anomaly_score=count * 10
| where anomaly_score > 30
| table _time, repository, count, anomaly_score