Qodex

Qodex란 무엇인가요?

Qodex는 코드베이스를 시작으로 조직의 API에 대한 기록 시스템을 생성하며, API 가시성, 동작 및 보안 상태를 지속적으로 보장하는 “API Assurance Layer”입니다.

목표는 팀이 API 발견, 스캐닝, 카탈로깅을 위해 별도의 도구에 의존할 때 발생하는 일반적인 격차를 메우는 것입니다. Qodex는 기존 도구가 볼 수 없는 부분—내부, 쉐도우, 호출 가능하지만 죽은 엔드포인트—에 초점을 맞추며, API가 시간에 따라 변동될 때 문서와 테스트 커버리지를 업데이트합니다.

주요 기능

• 코드에서 API 발견: 리포지토리를 연결해 게이트웨이나 기존 카탈로그에서 누락될 수 있는 내부, 쉐도우, “죽었지만 호출 가능” 경로를 포함한 엔드포인트 맵을 생성합니다.
• 일반 영어로 테스트 생성: 일반 영어로 테스트 의도를 설명하면 Qodex가 다단계 테스트 시나리오를 생성하고 테스트 코드를 출력합니다.
• 버전 관리 코드로서의 테스트: 생성된 테스트는 투명하고 편집 가능하며 Git에 커밋되어 Qodex, CI/CD 또는 사용자의 인프라에서 실행할 수 있습니다.
• 지속적인 상태 가시성: 단일 제어 플레인에서 소유권, 테스트 최근성, 커버리지 격차, 보안 상태를 현재 상태로 추적합니다.
• CI에서 OWASP 준수 보안 검사: 표준 CI 파이프라인에서 기능 테스트와 함께 “Top 10” 보안 검증을 실행해 프로덕션 전에 보안 문제를 포착합니다.
• 리포지토리 및 CI/CD 통합: GitHub, GitLab, Bitbucket 및 CI/CD 파이프라인 워크플로와 통합하며 기존 도구를 대체하지 않습니다.

Qodex 사용 방법

1. 코드 리포지토리 연결하여 Qodex가 API 소스에서 엔드포인트를 발견할 수 있게 합니다.
2. 발견된 API 표면 검토하여 Qodex가 포착한 엔드포인트 커버리지, 소유권, 데이터 민감도를 이해합니다.
3. 테스트 생성 및 유지 일반 영어로 원하는 검사를 설명하면 Qodex가 테스트 코드를 생성해 Git 리포지토리에 커밋합니다.
4. 워크플로에서 테스트 실행 Qodex, CI/CD 또는 자체 인프라에서 테스트를 실행합니다.
5. 지속 보고 및 알림 사용 테스트 결과와 보안 검증을 모니터링하고 API 동작이나 보안 상태 변화 시 확인합니다.

사용 사례

• 최신 API 인벤토리 구축: 코드베이스에서 내부 및 쉐도우 경로를 포함한 엔드포인트를 직접 발견해 “우리는 몇 개의 API를 가지고 있나요?”에 답합니다.
• 릴리스 후 커버리지 드리프트 탐지: 변경된 API를 식별하고 테스트 및 문서가 따라잡았는지 확인해 “안전한” 스키마나 동작 변경이 다운스트림 클라이언트를 망가뜨리는 위험을 줄입니다.
• 데이터 기반 보안 대응 생성: 오래된 위키나 수동 조사 대신 PII를 처리하거나 보안 요구사항에 맞는 엔드포인트를 빠르게 파악합니다.
• 대규모 회귀 및 보안 테스트 자동화: OWASP 카테고리에 맞춘 보안 검사를 프로덕션 워크로드 전반에 지속적으로 검증합니다.
• 수동 스크립팅에서 repo 내 테스트로 전환: CI/CD에서 실행 가능한 편집 가능 버전 관리 테스트를 생성해 수동 테스트 스크립트를 제거합니다.

자주 묻는 질문

• Qodex는 무엇을 발견하나요? Qodex는 코드베이스에서 API 엔드포인트를 발견하며, 게이트웨이나 기존 카탈로그에 나타나지 않을 수 있는 내부, 쉐도우, 죽었지만 호출 가능한 경로를 포함합니다.

• 테스트는 어떻게 생성되나요? Qodex는 일반 영어 설명에서 테스트를 생성하며, Git에 커밋할 수 있는 테스트 코드를 출력합니다.

• 생성된 테스트는 어디서 실행되나요? 테스트는 Qodex, CI/CD 또는 사용자의 인프라에서 실행할 수 있습니다.

• Qodex에 보안 테스트가 포함되나요? 네. Qodex는 CI 파이프라인에서 기능 테스트와 함께 OWASP 준수 보안 검사를 실행하며, 빌드당 “Top 10 보안 검증”으로 설명됩니다.

• 어떤 통합이 지원되나요? Qodex는 GitHub, GitLab, Bitbucket 및 CI/CD 파이프라인 워크플로와 통합됩니다.

대안

• API 스캐너 및 취약점 관리 도구: 이러한 도구는 런타임 발견 사항이나 알려진 취약점 카테고리에 초점을 맞출 수 있지만, Qodex에서 설명한 동일한 통합 워크플로에서 코드로부터 버전 관리되는 기능/보안 테스트를 생성하지 않습니다.
• API 게이트웨이 및 API 카탈로그: 게이트웨이와 카탈로그는 캡처한 경로에 대한 가시성을 제공할 수 있지만, Qodex는 이러한 시스템이 놓칠 수 있는 엔드포인트(예: 내부/섀도/죽었지만 호출 가능한 경로)를 명시적으로 대상으로 합니다.
• 수동 검토가 포함된 API 문서화 도구: 문서화 도구는 팀이 엔드포인트를 매핑하는 데 도움을 줄 수 있지만, Qodex는 정적 문서 업데이트가 아닌 코드 및 테스트 최신성과 연계된 지속적인 보증을 강조합니다.
• 범용 테스트 자동화 프레임워크(수동 작성): 이 카테고리의 도구는 자동화된 테스트 실행을 돕지만, 일반적으로 팀이 테스트 케이스를 직접 작성하고 유지보수해야 하며, Qodex에서 설명한 대로 일반 영어에서 테스트를 생성하고 Git에 커밋하지 않습니다.