Claude Security는 Claude.ai(새 탭에서 열림)에 내장된 기능으로, 코드베이스에 보안 취약점이 있는지 지속적으로 감시하고, 각 결과를 수정될 때까지 추적하며, 검토할 수 있도록 타겟팅된 소프트웨어 패치를 제안함으로써, 사용자와 팀이 기존 방법으로는 종종 놓치는 보안 문제를 찾아 수정할 수 있도록 돕습니다. 이는 Claude Enterprise 계정에서 사용할 수 있는 베타 기능입니다.
대부분의 엔지니어링 팀은 모든 변경 사항에 걸쳐 정교한 취약점을 식별할 만큼의 검토 시간과 역량을 갖추고 있지 않으며, 보안 중심의 사고방식 없이는 많은 문제를 놓치기 쉽습니다. Claude Security는 이러한 격차를 해소하는 데 도움을 줍니다: 코드베이스를 스캔하고, 실제로 중요한 문제를 드러내며, 사용자나 팀이 검토하고 적용할 수 있는 패치를 제안합니다. Claude Security는 Claude Mythos를 포함한 당사의 전체 모델 제품군으로 구동되며, Cyber Verification Program 접근 권한이 필요하지 않습니다.
이 가이드는 Claude Security를 설정하고, 첫 Project를 만들고, 결과를 검토하고, 지속적인 사용을 위한 팁을 확인하는 데 필요한 모든 내용을 다룹니다.
전제 조건
Claude Security를 사용하기 전에 다음 요구 사항이 충족되어야 합니다:
- 적격 플랜: 조직에 활성화된 Claude Enterprise 계정이 있어야 합니다.
- 저장소 접근 권한:
- GitHub에 있는 저장소의 경우, 관리자가 Claude GitHub 앱(새 탭에서 열림)을 설치하고 스캔하려는 저장소에 대한 접근 권한을 부여해야 하며, 저장소를 추가하는 각 사용자는 자신의 GitHub 계정을 Claude에 연결해야 합니다. 이는 Claude Code in the cloud에서 사용되는 것과 동일한 Claude GitHub 앱입니다.
- GitHub Enterprise Server의 경우, 해당 앱이 GHES 인스턴스에 설치되어 있어야 하며, 그 인스턴스가 이미 Claude Code in the cloud에 연결되어 있어야 합니다.
- 다른 Git 제공업체(예: GitLab, BitBucket 등)에서 호스팅되는 저장소의 경우, 저장소 주소와 인증 토큰이 필요합니다.
- Project 생성 권한: 관리자는 어떤 RBAC 역할이 Claude Security Project를 생성할 수 있는지 결정할 수 있습니다.
- 사용자 시트: Claude Security를 사용하는 각 사용자에게는 Claude Code가 포함된 시트가 필요합니다(어떤 시트에 포함되는지 확인(새 탭에서 열림)).
- Claude Code in the cloud(선택 사항): 사용자가 Claude Code in the cloud(새 탭에서 열림)로 제안된 수정 사항을 실행할 수 있게 합니다. 이 기능이 없으면, 사용자는 프롬프트를 복사해 자신의 Claude Code에 넣습니다.
설정
조직에서 이미 Claude Code in the cloud를 사용하고 있다면, 대부분의 설정이 이미 완료된 상태입니다. 다음 사항을 확인하세요:
- 청구를 확인합니다. 스캔에는 직접 토큰 비용이 청구되며, 추가 플랫폼 수수료는 없습니다. 플랜에 Standard 시트와 Premium 시트가 있는 경우, 먼저 사용 크레딧을 켜세요(방법(새 탭에서 열림)). 그 외의 Enterprise Plan에서는 Enterprise Plan 요금은 어떻게 청구되나요?(새 탭에서 열림)를 참조하세요. 비용은 저장소의 규모와 변경 빈도에 따라 달라지므로, 예상 사용량에 맞는 지출 한도를 설정하세요. Claude Security가 활성화된 후에는 이 기능에 대해 별도의 지출 한도를 설정할 수도 있습니다.
- Claude에 GitHub 저장소 접근 권한을 부여합니다. 스캔하려는 저장소에 Claude GitHub 앱(새 탭에서 열림)을 설치하고(GitHub 조직의 경우, 해당 조직의 소유자가 승인해야 할 수 있습니다), Organization settings > Connectors에서 GitHub connector를 켜세요. GitHub Enterprise Server의 경우, GitHub Enterprise Server 가이드(새 탭에서 열림)를 따르세요. 다른 Git 서버에서 호스팅되는 저장소의 경우, 추가하려는 저장소에 대한 인증 토큰을 생성하세요.
- 관리자 콘솔에서 Claude Security 기능을 활성화합니다: http://claude.ai/admin-settings/claude-security(새 탭에서 열림)
- 접근 권한과 기능을 구성합니다. 관리자는 커스텀 역할의 기능(capabilities)을 구성하여 어떤 RBAC 역할이 Project를 생성할 수 있는지, 그리고 누가 모든 Project를 보거나, 분류하거나, 관리할 수 있는지 결정할 수 있습니다.
- Claude Code in the cloud를 활성화합니다(선택 사항). 이를 통해 사용자가 클라우드에서 수정을 실행할 수 있습니다. 그 외의 경우에는 선택 사항입니다.
Claude Security를 사용하는 각 사용자는 자신의 GitHub 계정도 Claude에 연결합니다(확인 방법(새 탭에서 열림)).
Project 만들기
Claude Security가 활성화되면, Project를 만드는 것은 간단합니다:
- Claude.ai를 통해 Claude Security로 이동합니다. claude.ai(새 탭에서 열림)로 이동하여 왼쪽 사이드바의 Security 아이콘을 클릭하거나, claude.ai/security(새 탭에서 열림)로 이동하세요.
- "New project"를 클릭하고 이름을 지정합니다. Project는 접근 제어와 청구의 단위입니다.
- 저장소를 추가합니다. GitHub 또는 다른 Git 제공업체의 저장소를 최대 8개까지 연결하세요. 각 저장소에 대해 선택적으로 브랜치, 폴더 범위, 제외할 폴더를 설정할 수 있습니다.
- 코드만으로는 알 수 없는 정보를 추가합니다(선택 사항). 코드가 어떻게 배포되는지, 누가 접근할 수 있는지, 어떤 위험을 수용했는지를 메모로, 또는 아키텍처 문서 같은 문서로 Claude에게 알려 주세요. 이 내용은 나중에 수정할 수 있습니다.
- Project를 생성합니다. "Create project"를 클릭하세요. Claude가 코드를 읽고, 위협 모델을 작성하고, 심층 기준 스캔을 실행합니다. 저장소 크기에 따라 기준 스캔은 몇 분에서 몇 시간까지 걸릴 수 있으며, 스캔이 실행되는 동안 페이지를 떠나도 됩니다.
- 결과를 검토합니다. Claude가 결과를 보고하는 대로, 취약점 유형, 심각도, 영향을 받는 파일 및 라인, 문제에 대한 설명 등의 세부 정보와 함께 Project의 Findings 탭에 결과가 표시됩니다.
이후 Claude는 새 커밋을 확인하고 지속적으로 취약점을 스캔합니다.
결과 검토 및 조치하기
Project의 Findings 탭에는 해당 Project의 미해결 결과가 나열됩니다. 각 결과에 대해 여러 옵션을 사용할 수 있습니다:
- 세부 정보 검토. 각 결과에는 취약점에 대한 설명, 영향을 받는 코드 위치, 그 근거가 된 증거와 추론, 제안된 수정 사항이 포함됩니다. Project의 채팅에서 결과에 대해 Claude에게 질문할 수도 있습니다.
- 수정 시작하기. 결과에서 "Fix"를 클릭하여 Claude Code를 열고 해당 특정 취약점을 수정하세요.
- 결과 분류하기. 결과를 수정됨으로 표시하거나, 오탐(false positive), 수용된 위험, 중복 또는 기타 사유로 무시하세요.
- 수정 추적하기. Claude는 미해결 결과를 변경된 코드와 대조하여 확인하고, 수정이 반영되면 해당 결과를 수정됨으로 표시합니다. 수정됨으로 표시된 결과는 이후 Claude가 문제를 다시 발견하면 자동으로 다시 열립니다.
- 결과 내보내기. 결과를 자체 추적 및 알림 시스템으로 내보내려면 Claude Security API, Claude Security 커넥터 또는 웹훅을 사용하세요.
결과는 수정 작업의 우선순위를 정하는 데 도움이 되도록 심각도별로 분류됩니다. 가장 심각도가 높은 항목부터 시작하여 목록을 차례로 처리하는 것을 권장합니다.
지속적인 사용을 위한 팁
다음 팁은 지속적인 사용을 더 쉽게 만들어 줍니다.
Project 설정하기
- 관련 저장소를 하나의 Project로 묶습니다: 서비스별 또는 팀별로 Project를 하나씩 만들어, 결과의 책임 소재를 명확히 하고 검토자가 다른 사람에게 속한 결과를 헤매며 살펴볼 필요가 없도록 하세요. 백엔드와 그 클라이언트 앱처럼 함께 동작하는 저장소는 같은 Project에 넣어 Claude가 저장소 전반에 걸쳐 문제를 추적할 수 있도록 하세요. 하나의 Project에는 GitHub 또는 다른 Git 제공업체의 저장소를 최대 8개까지 담을 수 있습니다.
- 대규모 저장소의 범위를 제한합니다: 대규모 저장소와 모노레포의 경우, 각 저장소에 폴더 범위를 설정하고 스캔 대상에 포함할 필요가 없는 폴더는 제외하세요. 범위를 좁히면 결정성이 높아지고 Claude의 주의가 집중됩니다. Claude는 필요에 따라 제외된 폴더를 포함한 더 넓은 코드베이스 전반에서 여전히 로직을 추적하고 맥락을 가져올 수 있습니다.
- 코드만으로는 알 수 없는 정보를 추가합니다: 코드가 어떻게 배포되는지, 누가 접근할 수 있는지, 어떤 위험을 수용했는지 Claude에게 알려 주세요. Claude는 이 정보를 각 Project의 위협 모델에 보관하고, 이를 바탕으로 무엇을 문제로 지적하고 어떻게 등급을 매길지 결정합니다. 위협 모델을 읽고 편집하거나 아키텍처 문서 같은 문서를 추가하려면 Project의 Resources 탭을 여세요. Full 역할을 가진 사람은 이를 편집할 수 있습니다.
분류 및 협업하기
-
분류할 때 사유와 메모를 추가합니다: 결과를 분류할 때 사유를 선택하고 분류 메모를 추가하여 감사 기록을 남기고 향후 검토자에게 맥락을 제공하세요. Claude는 무시된 결과에 남긴 메모도 읽고, 이를 Project에 활용합니다. 또한 감사 및 규정 준수 목적을 위해 각 결과에는 누가 언제 변경했는지에 대한 History가 남습니다.
-
팀원과 Project를 공유합니다: Project에서 Share를 클릭하여 특정 구성원에게 역할을 부여하세요:
- Full: 결과, 설정, 접근할 수 있는 사람 관리
- Triage: 결과 보기, 상태 업데이트, 수정 시작
- View: 진행 상황만 계속 파악
Project를 조직 전체와 공유할 수도 있습니다.
도구 연결하기
- API로 결과를 사용 중인 시스템에 가져옵니다: Claude Security 설정에서 개인 액세스 토큰을 생성하세요. 그런 다음 Claude Security API를 사용해 결과를 티켓팅, 취약점 관리, 보고 도구로 가져오고 그곳에서 해결하면, 분류와 상태가 팀이 사용하는 다른 모든 것과 함께 관리됩니다.
- 커넥터로 한 세션에서 수정하고 해결합니다: Claude Security 커넥터를 사용하면 엔지니어가 Claude 또는 Claude Code에서 결과를 불러와 수정하고, 같은 세션에서 해결할 수 있습니다.
- 웹훅으로 팀에 알립니다: Claude Security 설정에서 웹훅을 생성하여 신규 결과 이벤트를 실시간으로 자체 시스템에 전달하세요. 웹훅을 Slack이나 Jira 같은 도구에 연결하여 누구도 대시보드를 확인할 필요 없이 분류 작업을 시작할 수 있도록 하세요.
비용 및 접근 관리하기
- 각 Project의 비용을 추적합니다: Project 설정에서 Usage를 열어 해당 Project의 이번 달 누적 비용과 일별 비용을 확인하세요.
- 커스텀 역할로 더 많은 팀에 확대 적용합니다: 관리자는 커스텀 역할(새 탭에서 열림)을 사용하여 어떤 RBAC 역할이 Project를 생성할 수 있는지, 그리고 누가 모든 Project를 보거나, 분류하거나, 관리할 수 있는지 결정할 수 있습니다.