Configuração de SAST

Configuração e personalização de ferramentas de Análise de Segurança de Aplicações Estáticas (SAST), incluindo a criação de regras personalizadas para varreduras de segurança abrangentes em várias linguagens de programação.

Visão Geral

Esta habilidade oferece orientação completa para configurar e ajustar ferramentas de SAST, como Semgrep, SonarQube e CodeQL. Use esta habilidade quando precisar:

• Configurar varreduras de SAST em pipelines de CI/CD
• Criar regras de segurança personalizadas para sua base de código
• Configurar portões de qualidade e políticas de conformidade
• Otimizar o desempenho das varreduras e reduzir falsos positivos
• Integrar múltiplas ferramentas de SAST para defesa em profundidade

Capacidades Principais

1. Configuração do Semgrep

• Criação de regras personalizadas com correspondência de padrões
• Regras de segurança específicas para linguagens (Python, JavaScript, Go, Java, etc.)
• Integração com CI/CD (GitHub Actions, GitLab CI, Jenkins)
• Ajuste de falsos positivos e otimização de regras
• Aplicação de políticas organizacionais

2. Configuração do SonarQube

• Configuração de portões de qualidade
• Análise de hotspots de segurança
• Rastreamento de cobertura de código e débito técnico
• Perfis de qualidade personalizados para linguagens
• Integração empresarial com LDAP/SAML

3. Análise do CodeQL

• Integração com GitHub Advanced Security
• Desenvolvimento de consultas personalizadas
• Análise de variantes de vulnerabilidades
• Fluxos de trabalho de pesquisa de segurança
• Processamento de resultados SARIF

Início Rápido

Avaliação Inicial

1. Identifique as linguagens de programação primárias em sua base de código
2. Determine os requisitos de conformidade (PCI-DSS, SOC 2, etc.)
3. Escolha a ferramenta de SAST com base no suporte à linguagem e nas necessidades de integração
4. Revise a varredura de linha de base para entender a postura de segurança atual

Configuração Básica

# Semgrep quick start
pip install semgrep
semgrep --config=auto --error

# SonarQube with Docker
docker run -d --name sonarqube -p 9000:9000 sonarqube:10.8-community

# CodeQL CLI setup
gh extension install github/gh-codeql
codeql database create mydb --language=python

Padrões de Integração

Integração de Pipeline CI/CD

# GitHub Actions example
- name: Run Semgrep
  uses: returntocorp/semgrep-action@v1
  with:
    config: >-
      p/security-audit
      p/owasp-top-ten

Hook de Pré-commit

# .pre-commit-config.yaml
- repo: https://github.com/returntocorp/semgrep
  rev: v1.45.0
  hooks:
    - id: semgrep
      args: ['--config=auto', '--error']

Melhores Práticas

1. Comece com a Linha de Base

   • Execute a varredura inicial para estabelecer a linha de base de segurança
   • Priorize descobertas críticas e de alta severidade
   • Crie um roteiro de remediação

2. Adoção Incremental

   • Comece com regras focadas em segurança
   • Adicione gradualmente regras de qualidade de código
   • Implemente bloqueios apenas para problemas críticos

3. Gerenciamento de Falsos Positivos

   • Documente supressões legítimas
   • Crie listas de permissão para padrões conhecidos como seguros
   • Revise regularmente as descobertas suprimidas

4. Otimização de Desempenho

   • Exclua arquivos de teste e código gerado
   • Use varredura incremental para bases de código grandes
   • Armazene em cache os resultados da varredura em CI/CD

5. Capacitação da Equipe

   • Forneça treinamento de segurança para desenvolvedores
   • Crie documentação interna para padrões comuns
   • Estabeleça um programa de campeões de segurança

Casos de Uso Comuns

Configuração de Novo Projeto

./scripts/run-sast.sh --setup --language python --tools semgrep,sonarqube

Desenvolvimento de Regras Personalizadas

# See references/semgrep-rules.md for detailed examples
rules:
  - id: hardcoded-jwt-secret
    pattern: jwt.encode($DATA, "...", ...)
    message: JWT secret should not be hardcoded
    severity: ERROR

Varredura de Conformidade

# PCI-DSS focused scan
semgrep --config p/pci-dss --json -o pci-scan-results.json

Solução de Problemas

Alta Taxa de Falsos Positivos

• Revise e ajuste a sensibilidade das regras
• Adicione filtros de caminho para excluir arquivos de teste
• Use metadados nostmt para padrões ruidosos
• Crie exceções de regras específicas da organização

Problemas de Desempenho

• Habilite a varredura incremental
• Paralelize as varreduras entre módulos
• Otimize os padrões de regras para eficiência
• Armazene em cache dependências e resultados de varredura

Falhas de Integração

• Verifique tokens de API e credenciais
• Verifique a conectividade de rede e as configurações de proxy
• Revise a compatibilidade do formato de saída SARIF
• Valide as permissões do runner de CI/CD

Habilidades Relacionadas

• Padrões de Análise STRIDE
• Mapeamento de Mitigação de Ameaças

Comparação de Ferramentas

| Ferramenta | Ideal Para | Suporte de Linguagem | Custo | Integração |

…