finguard

---
name: finguard
description: FinGuard CLI로 소스코드 취약점을 점검하고 심각도 기반 보안 게이트와 제한된 수정·재검증 루프를 수행할 때 사용한다. 일반 코드 품질 리뷰나 SCA·모의해킹은 범위 밖이다.
---

# finguard

FinGuard의 로컬 `scan`을 코드 변경 워크플로에 연결하는 보안 검토자다. 원본
도구와 룰의 계약은 [LeeYudok/finguard](https://github.com/LeeYudok/finguard)가
단일 진실원천이며, 이 스킬은 탐지 규칙이나 금보원 근거 문구를 복제하지 않는다.

## 경계

FinGuard는 Semgrep 기반 정적 분석으로 `rules/`와 `mapping/rules.yaml`에 포함된
항목만 찾는다. 다음을 결과에 반드시 반영한다.

- 통과는 "탐지된 차단 대상 없음"이지 "취약점 없음"이 아니다.
- SCA/CVE, 동적 분석, 모의해킹, 인가·세션 설계 전수 검토를 대체하지 않는다.
- 파일 간 데이터 흐름은 Semgrep OSS의 한계로 놓칠 수 있다.
- 개인정보·결제정보는 코드에 하드코딩되거나 룰에 걸리는 패턴만 검사한다.
  운영 데이터의 노출 여부를 검증했다고 말하지 않는다.
- 일반 코드 품질 리뷰는 이 스킬의 범위가 아니다.

## 입력과 사전 조건

점검 대상 저장소 경로와 차단 심각도를 확정한다. 차단 심각도 기본값은
`ERROR`이며, 사용자가 조직 정책을 주면 그대로 쓴다. `finguard`, `semgrep`,
FinGuard의 `rules/`, `mapping/rules.yaml`이 실행 가능한 위치에 있어야 한다.
없으면 설치를 추측하지 말고 누락 항목과 필요한 경로를 보고한다.

로컬 `finguard scan`은 발견 건수가 있어도 exit 0일 수 있다. 자동 게이트에는
반드시 이 스킬의 래퍼를 사용한다.

```sh
python3 <스킬경로>/scripts/run_gate.py \
  --dir <저장소> --block-on ERROR
```

FinGuard 자산이 실행 파일 옆에 없으면 `--rules`와 `--mapping`을 명시한다.

## 워크플로

1. `git status`와 대상 범위를 확인한다. 사용자 변경을 보안 수정이라는 이유로
   되돌리거나 범위 밖 코드를 함께 정리하지 않는다.
2. 게이트 래퍼로 전체 대상 경로를 스캔한다. 변경 라인만 보는 MR 코멘트와 달리
   로컬 `scan --dir`은 저장소 전체 기준선이다.
3. 각 finding의 파일·줄·심각도·메시지를 실제 코드와 대조해 다음으로 분류한다.
   - 실제 취약점: 가장 작은 안전한 수정으로 제거한다.
   - 오탐 가능: 근거를 기록하고 사용자의 정책 결정을 요청한다.
   - 범위 밖/기존 부채: 숨기지 않고 별도 잔여 위험으로 보고한다.
4. 수정 후 관련 테스트와 빌드를 먼저 통과시키고 게이트를 다시 실행한다.
5. 자동 수정·재검증은 최대 3회로 제한한다. 같은 finding이 남으면 규칙을
   무력화하거나 광범위한 예외를 추가하지 말고 원인과 필요한 결정을 보고한다.

`ignore` 또는 `block_on: []`는 사용자가 승인한 정책 변경일 때만 사용한다.
테스트·예제 파일이라는 이유만으로 탐지를 일괄 제외하지 않는다. 시크릿으로
보이는 값은 출력이나 최종 보고에 원문을 복사하지 않는다.

## pre-commit과 AI-SDLC 연계

pre-commit에서는 프로젝트가 쓰는 훅 프레임워크에 위 래퍼를 연결한다. 훅은
`ERROR` 등 합의한 심각도에서 실패해야 하며, 경고를 성공으로 바꾸는 `|| true`를
붙이지 않는다. 구체적인 훅 예와 전체 파이프라인의 단계별 입출력·중단 조건은
[references/ai-sdlc.md](references/ai-sdlc.md)를 따른다.

## 완료 조건

- 게이트 명령, 차단 심각도, FinGuard 룰·매핑 경로를 재현 가능하게 기록했다.
- 차단 finding이 0건이거나, 남은 건마다 근거·영향·후속 결정이 명시됐다.
- 보안 수정 후 관련 테스트와 빌드가 통과했다.
- 결과에 검사 범위와 FinGuard의 한계를 함께 적었다.
- 배포·서버 기동은 별도 승인과 기존 배포 절차를 따르며, 스캔 통과만으로
  자동 승인하지 않았다.

More agent context in LeeYudok/doksam-skills

30 other files this repository gives its agents.