Configuração de SAST

Configuração e personalização de ferramentas de Static Application Security Testing (SAST) para varreduras de segurança abrangentes em diversas linguagens de programação.

Use esta habilidade quando

• Configurar varreduras SAST em pipelines de CI/CD
• Criar regras de segurança personalizadas para sua base de código
• Configurar portões de qualidade e políticas de conformidade
• Otimizar o desempenho da varredura e reduzir falsos positivos
• Integrar múltiplas ferramentas SAST para defesa em profundidade

Não use esta habilidade quando

• Você precisa apenas de orientação para DAST ou testes de penetração manuais
• Você não tem acesso ao código-fonte ou a pipelines de CI/CD
• Você precisa de decisões de política organizacional em vez de configuração de ferramentas

Instruções

1. Identifique linguagens, repositórios e requisitos de conformidade.
2. Escolha as ferramentas e defina uma política base.
3. Integre as varreduras em CI/CD com limites de bloqueio.
4. Ajuste regras e supressões com base em falsos positivos.
5. Acompanhe a remediação e verifique as correções.

Segurança

• Evite escanear repositórios sensíveis com serviços de terceiros sem aprovação.
• Prevenha vazamentos de segredos em artefatos e logs de varredura.

Visão Geral

Esta habilidade fornece orientação abrangente para configurar e personalizar ferramentas SAST, incluindo Semgrep, SonarQube e CodeQL.

Capacidades Principais

1. Configuração do Semgrep

• Criação de regras personalizadas com correspondência de padrões
• Regras de segurança específicas para linguagens (Python, JavaScript, Go, Java, etc.)
• Integração CI/CD (GitHub Actions, GitLab CI, Jenkins)
• Ajuste de falsos positivos e otimização de regras
• Aplicação de políticas organizacionais

2. Configuração do SonarQube

• Configuração de portões de qualidade
• Análise de hotspots de segurança
• Cobertura de código e rastreamento de débito técnico
• Perfis de qualidade personalizados para linguagens
• Integração empresarial com LDAP/SAML

3. Análise do CodeQL

• Integração com GitHub Advanced Security
• Desenvolvimento de consultas personalizadas
• Análise de variantes de vulnerabilidade
• Fluxos de trabalho de pesquisa de segurança
• Processamento de resultados SARIF

Início Rápido

Avaliação Inicial

1. Identifique as linguagens de programação primárias em sua base de código
2. Determine os requisitos de conformidade (PCI-DSS, SOC 2, etc.)
3. Escolha a ferramenta SAST com base no suporte de linguagem e nas necessidades de integração
4. Revise a varredura base para entender a postura de segurança atual

Configuração Básica

# Semgrep quick start
pip install semgrep
semgrep --config=auto --error

# SonarQube with Docker
docker run -d --name sonarqube -p 9000:9000 sonarqube:latest

# CodeQL CLI setup
gh extension install github/gh-codeql
codeql database create mydb --language=python

Documentação de Referência

• Criação de Regras Semgrep - Desenvolvimento de regras de segurança baseadas em padrões
• Configuração do SonarQube - Portões de qualidade e perfis
• Guia de Configuração do CodeQL - Desenvolvimento de consultas e fluxos de trabalho

Modelos e Ativos

• semgrep-config.yml - Configuração Semgrep pronta para produção
• sonarqube-settings.xml - Modelo de perfil de qualidade SonarQube
• run-sast.sh - Script de execução SAST automatizado

Padrões de Integração

Integração de Pipeline CI/CD

# GitHub Actions example
- name: Run Semgrep
  uses: returntocorp/semgrep-action@v1
  with:
    config: >-
      p/security-audit
      p/owasp-top-ten

Hook de Pré-commit

# .pre-commit-config.yaml
- repo: https://github.com/returntocorp/semgrep
  rev: v1.45.0
  hooks:
    - id: semgrep
      args: ['--config=auto', '--error']

Melhores Práticas

1. Comece com a Base

   • Execute a varredura inicial para estabelecer a base de segurança
   • Priorize descobertas críticas e de alta severidade
   • Crie um roteiro de remediação

2. Adoção Incremental

   • Comece com regras focadas em segurança
   • Adicione gradualmente regras de qualidade de código
   • Implemente bloqueio apenas para problemas críticos

3. Gerenciamento de Falsos Positivos

   • Documente supressões legítimas
   • Crie listas de permissão para padrões conhecidos e seguros
   • Revise regularmente as descobertas suprimidas

4. Otimização de Desempenho

   • Exclua arquivos de teste e código gerado
   • Use varredura incremental para bases de código grandes
   • Armazene em cache os resultados da varredura em CI/CD

5. Capacitação da Equipe

   • Forneça treinamento de segurança para desenvolvedores
   • Crie documentação interna para padrões comuns
   • Estabeleça um programa de campeões de segurança

Casos de Uso Comuns

Configuração de Novo Projeto

./scripts/run-sast.sh --setup --language python --tools semgrep,sonarqube

Desenvolvimento de Regras Personalizadas

# Veja references/semgrep-rules.md para exemplos detalhados
rules:
  - id: hardcoded-jwt-secret
    pattern: jwt.encode($DATA, "...", ...)
    message: O segredo JWT não deve ser codificado diretamente no código

…