Implementando Varreduras de Segurança DevSecOps

Quando Usar

• Configurando varreduras de segurança automatizadas em um pipeline CI/CD novo ou existente
• "Deslocando a segurança para a esquerda" (shift-left security), detectando vulnerabilidades antes que o código chegue à produção
• Atendendo a requisitos de conformidade (SOC 2, PCI-DSS, ISO 27001) que exigem testes de segurança automatizados
• Integrando SAST, DAST e SCA para obter cobertura abrangente de segurança de aplicações
• Estabelecendo "portões de segurança" que bloqueiam implantações contendo vulnerabilidades críticas ou de alta severidade

Não use como substituto para testes de penetração manuais. Varreduras automatizadas detectam padrões comuns de vulnerabilidade, mas não podem substituir avaliações de segurança realizadas por humanos para falhas de lógica de negócios e cadeias de ataque complexas.

Pré-requisitos

• Plataforma CI/CD: GitHub Actions, GitLab CI, Jenkins ou Azure DevOps
• Runtime de contêiner (Docker) para executar ferramentas de varredura
• Uma URL de ambiente de staging para varredura DAST (DAST não pode testar código estático)
• Acesso ao repositório com permissões para modificar arquivos de fluxo de trabalho CI/CD
• Requisitos específicos da ferramenta:
  • Semgrep: gratuito para conjuntos de regras de código aberto (p/security-audit, p/owasp-top-ten)
  • Trivy: gratuito, não requer conta
  • OWASP ZAP: gratuito, imagem Docker disponível
  • Gitleaks: gratuito, não requer conta

Fluxo de Trabalho

Etapa 1: Adicionar Detecção de Segredos com Gitleaks

A detecção de segredos é executada primeiro, pois credenciais vazadas são o achado de maior prioridade. Adicione ao .github/workflows/security.yml:

name: DevSecOps Security Pipeline
on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]

jobs:
  secrets-scan:
    name: Secrets Detection (Gitleaks)
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0  # Full history for scanning all commits

      - name: Run Gitleaks
        uses: gitleaks/gitleaks-action@v2
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

Configure .gitleaks.toml na raiz do repositório para regras personalizadas e listas de permissão:

[extend]
useDefault = true

[allowlist]
description = "Global allowlist"
paths = [
  '''\.gitleaks\.toml''',
  '''test/fixtures/.*''',
  '''docs/examples/.*'''
]

[[rules]]
id = "custom-internal-api-key"
description = "Internal API key pattern"
regex = '''INTERNAL_KEY_[A-Za-z0-9]{32}'''
tags = ["internal", "api-key"]

Etapa 2: Adicionar Varredura SAST com Semgrep

Semgrep realiza análise estática de código para encontrar vulnerabilidades de segurança, bugs e padrões de código:

  sast-scan:
    name: SAST (Semgrep)
    runs-on: ubuntu-latest
    container:
      image: semgrep/semgrep
    steps:
      - uses: actions/checkout@v4

      - name: Run Semgrep SAST scan
        run: |
          semgrep scan \
            --config p/security-audit \
            --config p/owasp-top-ten \
            --config p/secrets \
            --severity ERROR \
            --error \
            --json \
            --output semgrep-results.json \
            .

      - name: Upload SAST results
        if: always()
        uses: actions/upload-artifact@v4
        with:
          name: semgrep-results
          path: semgrep-results.json

Para regras personalizadas, crie .semgrep/custom-rules.yml:

rules:
  - id: no-exec-user-input
    patterns:
      - pattern: exec($INPUT)
      - pattern-not: exec("...")
    message: >
      User input passed to exec(). This is a command injection vulnerability.
    severity: ERROR
    languages: [python]
    metadata:
      cwe: "CWE-78: OS Command Injection"
      owasp: "A03:2021 - Injection"

  - id: no-raw-sql-queries
    patterns:
      - pattern: cursor.execute(f"...")
      - pattern: cursor.execute("..." + ...)
    message: >
      SQL query built with string concatenation or f-strings. Use parameterized queries.
    severity: ERROR
    languages: [python]
    metadata:
      cwe: "CWE-89: SQL Injection"
      owasp: "A03:2021 - Injection"

Etapa 3: Adicionar Varredura SCA com Trivy

Trivy varre dependências, imagens de contêiner, arquivos IaC e gera SBOM:

  sca-scan:
    name: SCA & Container Scan (Trivy)
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Run Trivy filesystem scan (dependencies)
        uses: aquasecurity/trivy-action@0.28.0
        with:
          scan-type: 'fs'
          scan-ref: '.'
          severity: 'CRITICAL,HIGH'
          exit-code: '1'
          format: 'json'
          output: 'trivy-fs-results.json'


…