Statische Anwendungssicherheitstests (SAST)

Willkommen bei Static Application Security Testing (SAST)! SAST ist ein wichtiger Bestandteil, um Ihren Code frühzeitig im Entwicklungsprozess abzusichern.

Betrachten Sie SAST als eine „White-Box“-Testmethode. Dabei werden der Quellcode, der Bytecode oder der Binärcode Ihrer Anwendung untersucht, ohne die Anwendung tatsächlich auszuführen.

• Statisch: Analysiert Code im Ruhezustand.
• Anwendung: Konzentriert sich auf Ihre Software.
• Sicherheit: Zielt darauf ab, Schwachstellen zu finden.

SAST-Tools durchsuchen Ihren Code nach bekannten Mustern von Sicherheitslücken. Sie analysieren:

• Datenfluss: Wie sich Daten durch Ihre Anwendung bewegen.
• Kontrollfluss: Die Reihenfolge, in der Anweisungen ausgeführt werden.
• Strukturelle Fehler: Ungünstige Programmierpraktiken oder Fehlkonfigurationen.

Diese tiefgehende Analyse hilft dabei, Probleme wie SQL-Injection, Cross-Site-Scripting (XSS) und unsichere direkte Objektreferenzen (IDOR) zu erkennen.

Die Integration von SAST in Ihre CI/CD-Pipeline bietet erhebliche Vorteile:

• Früherkennung: Findet Schwachstellen vor der Bereitstellung, wenn sie am kostengünstigsten zu beheben sind.
• Verbesserte Sicherheitslage: Unterstützt Entwickler dabei, von Anfang an sichereren Code zu schreiben.
• Compliance: Unterstützt Sie dabei, verschiedene Sicherheitsstandards und Vorschriften einzuhalten.

Wenn Probleme frühzeitig erkannt werden, lassen sich kostspielige Korrekturen und mögliche Sicherheitsverletzungen später vermeiden.

Es stehen zahlreiche SAST-Tools zur Verfügung, sowohl als Open Source als auch kommerziell. Zu den beliebtesten gehören:

• GitHub CodeQL: Die native SAST-Engine von GitHub.
• SonarQube: Eine weit verbreitete Plattform für kontinuierliche Codequalität und Sicherheit.
• Bandit: Ein Sicherheits-Linter für Python-Projekte.
• Snyk Code: Integriert Sicherheit in die Workflows von Entwicklern.

Für GitHub Actions lässt sich CodeQL oft am einfachsten integrieren, da es bereits integriert ist.

Sie können SAST-Tools direkt in Ihre GitHub-Actions-Workflows integrieren. Dadurch wird Ihr Code jedes Mal automatisch auf Schwachstellen geprüft, wenn Sie Code pushen oder einen Pull Request öffnen.

So erhalten Sie kontinuierliches Feedback und können Sicherheitsprobleme beheben, sobald sie auftreten, anstatt auf eine spätere Phase zu warten.

Sehen wir uns einen einfachen Ausschnitt eines GitHub-Actions-Workflows an, mit dem Sie CodeQL einrichten können. Diese Action wird bei Pushes und Pull Requests automatisch ausgeführt, um Ihren Code zu prüfen.

Der Schritt github/codeql-action/init@v3 bereitet die CodeQL-Umgebung vor.

Nach der Initialisierung von CodeQL müssen Sie Ihren Code erstellen, sofern dies erforderlich ist, und anschließend die Analyse ausführen. Der Schritt autobuild kann häufig gängige Build-Prozesse für Sie übernehmen.

Zum Schluss lädt der Schritt analyze die Ergebnisse in den Tab „Security“ von GitHub hoch.

Nach Abschluss eines SAST-Scans wird ein Bericht erstellt. In GitHub erscheinen die von CodeQL gefundenen Probleme direkt im Tab „Security“ Ihres Repositorys sowie als Annotationen in Pull Requests.

Diese Berichte enthalten in der Regel:

• Schwachstellentyp: Um welche Art von Problem es sich handelt.
• Schweregrad: Kritisch, hoch, mittel oder niedrig.
• Fundstelle: Datei und Zeilennummer in Ihrem Code.
• Anleitung zur Behebung: Wie die Schwachstelle behoben werden kann.

Damit Sie den größtmöglichen Nutzen aus SAST ziehen:

• Früh integrieren: Prüfen Sie den Code so früh wie möglich.
• Scans automatisieren: Führen Sie SAST bei jedem Push oder PR aus.
• Ergebnisse priorisieren: Konzentrieren Sie sich zuerst auf kritische Probleme und solche mit hohem Schweregrad.
• Entwickler weiterbilden: Unterstützen Sie Ihr Team dabei, häufige Schwachstellen zu verstehen und zu beheben.

Ebenso wichtig ist es, Ihre SAST-Konfiguration regelmäßig zu überprüfen und zu optimieren.

Static Application Security Testing (SAST) ist ein leistungsstarkes Werkzeug zur Absicherung Ihrer Anwendungen. Welche der folgenden Aussagen beschreibt ein wesentliches Merkmal von SAST am besten?

In dieser Lektion haben wir uns mit Static Application Security Testing (SAST) beschäftigt. Sie haben gelernt, dass SAST Ihren Code analysiert, ohne ihn auszuführen, und dabei Schwachstellen früh im Entwicklungszyklus findet.

Wir haben behandelt, wie SAST-Tools funktionieren, welche Vorteile sie bieten und wie Sie ein leistungsstarkes Tool wie GitHub CodeQL in Ihren GitHub-Actions-Workflow integrieren. Mit SAST stärken Sie die Sicherheitslage Ihrer Anwendung erheblich.