Integrando SAST ao Pipeline do GitHub Actions

Quando Usar

• Quando equipes de desenvolvimento precisam de detecção automatizada de vulnerabilidades em nível de código em cada pull request.
• Quando equipes de segurança exigem aplicação consistente de SAST em todos os repositórios de uma organização.
• Ao migrar de revisões de segurança manuais ou periódicas para testes de segurança contínuos.
• Quando frameworks de conformidade (SOC 2, PCI DSS, NIST SSDF) exigem evidências de análise de código automatizada.
• Quando vários idiomas coexistem em um monorepo e precisam de varredura unificada sob um único workflow.

Não use para detecção de vulnerabilidades em tempo de execução (use DAST em vez disso), para escanear dependências de terceiros (use ferramentas SCA como Snyk) ou para escanear infraestrutura como código (use Checkov ou tfsec).

Pré-requisitos

• Repositório GitHub com GitHub Actions ativado.
• Licença GitHub Advanced Security (necessária para CodeQL em repositórios privados; gratuita para repositórios públicos).
• Conta Semgrep para regras gerenciadas e painel Semgrep App (nível gratuito disponível).
• Código do repositório em um idioma suportado: Python, JavaScript/TypeScript, Java, C/C++, C#, Go, Ruby, Swift, Kotlin.

Workflow

Passo 1: Configurar Workflow de Análise CodeQL

Crie um workflow do CodeQL que rode em pull requests e em uma programação semanal para capturar vulnerabilidades em código existente.

# .github/workflows/codeql-analysis.yml
name: "CodeQL Analysis"

on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]
  schedule:
    - cron: '30 2 * * 1'  # Weekly Monday 2:30 AM

jobs:
  analyze:
    name: Analyze (${{ matrix.language }})
    runs-on: ubuntu-latest
    permissions:
      actions: read
      contents: read
      security-events: write

    strategy:
      fail-fast: false
      matrix:
        language: ['javascript', 'python']

    steps:
      - name: Checkout repository
        uses: actions/checkout@v4

      - name: Initialize CodeQL
        uses: github/codeql-action/init@v3
        with:
          languages: ${{ matrix.language }}
          queries: security-extended,security-and-quality

      - name: Autobuild
        uses: github/codeql-action/autobuild@v3

      - name: Perform CodeQL Analysis
        uses: github/codeql-action/analyze@v3
        with:
          category: "/language:${{ matrix.language }}"

Passo 2: Adicionar Varredura Semgrep para Regras Personalizadas

Semgrep complementa o CodeQL com varreduras mais rápidas e suporte para regras personalizadas baseadas em padrões. Configure-o para enviar resultados SARIF para a mesma aba de Segurança do GitHub.

# .github/workflows/semgrep.yml
name: "Semgrep SAST Scan"

on:
  pull_request:
    branches: [main, develop]
  push:
    branches: [main]

jobs:
  semgrep:
    name: Semgrep Scan
    runs-on: ubuntu-latest
    permissions:
      security-events: write
      contents: read

    container:
      image: semgrep/semgrep:latest

    steps:
      - name: Checkout
        uses: actions/checkout@v4

      - name: Run Semgrep
        run: |
          semgrep ci \
            --config auto \
            --config p/owasp-top-ten \
            --config p/cwe-top-25 \
            --sarif --output semgrep-results.sarif \
            --severity ERROR \
            --error
        env:
          SEMGREP_APP_TOKEN: ${{ secrets.SEMGREP_APP_TOKEN }}

      - name: Upload SARIF
        if: always()
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: semgrep-results.sarif
          category: semgrep

Passo 3: Criar Regras Semgrep Personalizadas para Padrões da Organização

Escreva regras específicas da organização para capturar padrões exclusivos da sua base de código, como APIs internas depreciadas ou padrões de configuração inseguros.

# .semgrep/custom-rules.yml
rules:
  - id: hardcoded-database-url
    patterns:
      - pattern: |
          $DB_URL = "...$PROTO://...:...$PASS@..."
    message: |
      String de conexão de banco de dados codificada com credenciais detectada.
      Use variáveis de ambiente ou um gerenciador de segredos em vez disso.
    languages: [python, javascript, typescript]
    severity: ERROR
    metadata:
      cwe: "CWE-798: Use of Hard-coded Credentials"
      owasp: "A07:2021 - Identification and Authentication Failures"

  - id: unsafe-deserialization
    patterns:
      - pattern-either:
          - pattern: pickle.loads(...)
          - pattern: yaml.load(..., Loader=yaml.Loader)
          - pattern: yaml.load(..., Loader=yaml.FullLoader)
    message: |
      Desserialização insegura detectada. Use alternativas seguras para prevenir

…