SARIF(Static Analysis Results Interchange Format)

개요

SARIF는 소스코드 정적 분석 도구의 결과를 기계가 읽을 수 있는 JSON 포맷으로 통일하여 다양한 툴, IDE, CI 파이프라인에서 쉽게 분석 결과 공유, 시각화, 통합할 수 있도록 설계된 오픈 표준입니다. Microsoft가 제안하고 OASIS에서 표준화되어 GitHub, CodeQL, Semgrep 등 다양한 정적 분석 도구에서 지원됩니다.

---

1. 개념 및 정의

항목	설명	비고
정의	정적 분석 결과를 공유 및 재사용 가능하도록 표준화한 JSON 포맷	OASIS(Open Standards) 공식 표준
주요 목적	툴 간 분석 결과 통합 및 CI/CD 연동 용이성 제공	IDE, DevSecOps 플랫폼 통합 가능
주요 대상	정적 분석기(SAST), 보안 분석 도구, 코드 품질 도구	GitHub Code Scanning, Semgrep 등 적용

---

2. 특징

항목	설명	비고
JSON 기반 포맷	구조화된 계층형 JSON 문서로 상호 운용성 확보	JSON Schema 제공
툴 중립성	다양한 언어, 도구, 플랫폼에서 생성 가능	Java, Python, JS 등 범용
분석 결과 재사용 가능	동일 SARIF 파일로 다양한 환경에서 재분석	분석 시점, 위치 등 명시적 기록
코드 위치 정밀 표기	파일 경로, 줄번호, 열번호까지 지원	IDE 하이라이팅 연동 용이

→ 정적 분석 결과의 구조화, 이식성, 자동화 활용을 위한 최적 포맷

---

3. 구성 요소

구성 요소	설명	예시 필드
runs	실행된 분석 도구의 세션 묶음	각 분석기별로 분리 가능
tool	분석 도구 이름, 버전, 정보	CodeQL, Semgrep 등
results	실제 탐지된 이슈 목록	경고 레벨, 메시지, 위치 등 포함
locations	이슈 발생 위치(파일, 줄, 열 등)	physicalLocation + region
rules	탐지 규칙 설명	ruleId, severity, helpUri 등
artifacts	분석 대상 파일 정보	소스 경로, 해시 등 포함 가능

→ 모든 분석 실행 → 탐지 결과 → 위치 → 설명 → 원본까지 연결 가능

---

4. 기술 요소

기술 요소	설명	활용 사례
JSON Schema 기반	구조 검증 및 자동 생성 툴과 연동	LSP(Language Server Protocol) 연계 가능
Result Batching	다수의 분석 결과를 한번에 표현 가능	대형 코드베이스에서도 성능 저하 최소화
Rule Metadata	각 규칙의 출처, 문서 링크, 설명 포함 가능	SAST 결과 설명 자동화
GitHub Code Scanning 통합	SARIF 업로드 → PR 주석 자동 삽입	upload-sarif GitHub Action 활용

---

5. 장점 및 이점

항목	설명	기대 효과
분석 결과 표준화	도구 간 결과 호환성 확보	조직 내 도구 다양성 대응
DevSecOps 자동화	SARIF 기반 스캐닝 리포트 자동 배포	코드 품질 관리 자동화
IDE 연동성 우수	Visual Studio, VSCode 등에서 바로 시각화	개발자 UX 향상
감사 및 보고 가능	시점, 위치, 설명, 규칙 ID 등 추적성 확보	보안/품질 감사 대응 용이

→ 분석 → 추적 → 시각화 → 통합까지 전 주기 DevSecOps 대응에 적합

---

6. 주요 활용 사례 및 고려사항

사례	설명	고려사항
CI 내 코드 보안 스캔	분석 결과 SARIF로 저장 후 업로드	GitHub upload-sarif 필수
이슈 시각화 자동화	SARIF 결과 → GitHub PR 코멘트 자동 생성	경고 레벨 설정 조정 필요
멀티 도구 결과 통합	CodeQL + Semgrep + ESLint 결과 병합	중복 이슈 관리 전략 필요
정책 기반 품질 검증	SARIF 규칙 기반 허용/차단 설정	규칙셋 관리 정책 정립 필요

→ 자동화 도입 시 SARIF version, 필드 정합성, 경로 정규화 확인 필요

---

7. 결론

SARIF는 정적 분석 도구 결과를 통합하고 DevSecOps 파이프라인에 효과적으로 연동할 수 있도록 설계된 JSON 기반 표준 포맷입니다. 표준화된 구조, 분석 정보의 풍부한 표현력, 자동화 도구와의 통합성 등을 갖춰, 코드 보안과 품질 관리를 자동화하고 강화하는 데 핵심 역할을 수행합니다.