Static Application Security Testing (SAST)

Welkom bij statische beveiligingstests van toepassingen (SAST)! SAST is een cruciaal onderdeel van het vroegtijdig beveiligen van je code tijdens het ontwikkelproces.

Je kunt SAST zien als een 'white-box'-testmethode. De methode onderzoekt de broncode, bytecode of binaire code van je toepassing zonder de toepassing daadwerkelijk uit te voeren.

• Statisch: analyseert code zonder uitvoering.
• Toepassing: richt zich op je software.
• Beveiliging: is erop gericht kwetsbaarheden te vinden.

SAST-hulpmiddelen scannen je code op bekende patronen die op beveiligingskwetsbaarheden wijzen. Ze analyseren:

• Gegevensstroom: hoe gegevens door je toepassing bewegen.
• Besturingsstroom: de volgorde waarin instructies worden uitgevoerd.
• Structurele gebreken: slechte codeerpraktijken of verkeerde configuraties.

Dankzij deze grondige analyse kun je problemen herkennen zoals SQL-injectie, cross-site scripting (XSS) en onveilige directe objectverwijzingen (IDOR).

Door SAST in je CI/CD-pijplijn te integreren, profiteer je van aanzienlijke voordelen:

• Vroege detectie: hiermee vind je kwetsbaarheden vóór de implementatie, wanneer ze het goedkoopst te verhelpen zijn.
• Verbeterde beveiligingspositie: helpt ontwikkelaars vanaf het begin veiligere code te schrijven.
• Naleving: helpt bij het voldoen aan verschillende beveiligingsstandaarden en voorschriften.

Door problemen vroegtijdig op te sporen, voorkom je dure herstelacties en mogelijke beveiligingsinbreuken later in het proces.

Er zijn veel SAST-hulpmiddelen beschikbaar, zowel open source als commercieel. Enkele populaire voorbeelden zijn:

• GitHub CodeQL: de native SAST-engine van GitHub.
• SonarQube: een veelgebruikt platform voor voortdurende codekwaliteit en beveiliging.
• Bandit: een beveiligingslinter voor Python-projecten.
• Snyk Code: integreert beveiliging in de werkstromen van ontwikkelaars.

Voor GitHub Actions is CodeQL vaak het eenvoudigst te integreren, omdat het is ingebouwd.

Je kunt SAST-hulpmiddelen rechtstreeks integreren in je werkstromen van GitHub Actions. Dat betekent dat je code automatisch op kwetsbaarheden kan worden gescand telkens wanneer je code pusht of een pullrequest opent.

Zo krijg je voortdurend feedback en kunnen ontwikkelaars beveiligingsproblemen oplossen zodra die ontstaan, in plaats van te wachten tot een latere fase.

Bekijk een eenvoudig fragment van een werkstroom van GitHub Actions om CodeQL in te stellen. Deze actie wordt automatisch uitgevoerd bij pushes en pullrequests om je code te scannen.

De stap github/codeql-action/init@v3 bereidt de CodeQL-omgeving voor.

Nadat je CodeQL hebt geïnitialiseerd, moet je je code bouwen, indien van toepassing, en vervolgens de analyse uitvoeren. De stap autobuild kan veelgebruikte bouwprocessen vaak voor je afhandelen.

Ten slotte uploadt de stap analyze de resultaten naar het tabblad Security van GitHub.

Nadat een SAST-scan is voltooid, wordt er een rapport gegenereerd. In GitHub verschijnen bevindingen van CodeQL rechtstreeks in het tabblad 'Security' van je repository en als annotaties in pullrequests.

Deze rapporten bevatten doorgaans:

• Type kwetsbaarheid: om wat voor soort probleem het gaat.
• Ernstniveau: kritiek, hoog, gemiddeld of laag.
• Locatie: het bestand en regelnummer in je code.
• Hersteladvies: hoe je de kwetsbaarheid kunt verhelpen.

Haal je het meeste uit SAST door:

• Vroeg te integreren: scan code zo snel mogelijk.
• Scans te automatiseren: voer SAST uit bij elke push of elk pullrequest.
• Bevindingen te prioriteren: richt je eerst op kritieke problemen en problemen met een hoge ernst.
• Ontwikkelaars op te leiden: help je team veelvoorkomende kwetsbaarheden te begrijpen en op te lossen.

Ook is het belangrijk om je SAST-configuratie regelmatig te controleren en te verfijnen.

In deze les hebben we statisch testen van applicatiebeveiliging (SAST) verkend. We hebben geleerd dat SAST je code analyseert zonder deze uit te voeren en al vroeg in de ontwikkelcyclus kwetsbaarheden opspoort.

We hebben besproken hoe SAST-hulpmiddelen werken, welke voordelen ze bieden en hoe je een krachtig hulpmiddel zoals GitHub CodeQL in je werkstroom van GitHub Actions integreert. Door SAST toe te passen, versterk je de beveiligingspositie van je applicatie aanzienlijk.