CI/CD with GitHub Actions & DevOps Pipelines · Lekcja

Statyczne testowanie bezpieczeństwa aplikacji (SAST)

Zintegrują Państwo narzędzia SAST z workflow, aby automatycznie wykrywać luki w zabezpieczeniach kodu przed wdrożeniem.

Statyczne testowanie bezpieczeństwa aplikacji (SAST) to bezpłatna lekcja CI/CD with GitHub Actions & DevOps Pipelines na CoddyKit. To lekcja 3 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej CI/CD with GitHub Actions & DevOps Pipelines, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs CI/CD with GitHub Actions & DevOps Pipelines zawiera 4 lekcji w sumie.

Czym jest SAST?

Witamy w temacie statycznego testowania bezpieczeństwa aplikacji (SAST)! SAST jest kluczowym elementem zabezpieczania kodu na wczesnym etapie procesu tworzenia oprogramowania.

Testowanie SAST można traktować jako metodę testowania typu 'white-box'. Analizuje ona kod źródłowy, kod bajtowy lub kod binarny aplikacji bez faktycznego uruchamiania aplikacji.

Statyczne: Analizuje kod, gdy nie jest wykonywany.
Aplikacja: Koncentruje się na oprogramowaniu.
Bezpieczeństwo: Ma na celu znajdowanie podatności.

Jak działa SAST

Narzędzia SAST skanują kod w poszukiwaniu znanych wzorców wskazujących na luki w zabezpieczeniach. Analizują:

Przepływ danych: Sposób przemieszczania się danych w aplikacji.
Przepływ sterowania: Kolejność wykonywania instrukcji.
Wady strukturalne: Nieprawidłowe praktyki programistyczne lub błędne konfiguracje.

Tak szczegółowa analiza pomaga identyfikować problemy, takie jak wstrzyknięcie kodu SQL, ataki cross-site scripting (XSS) i niezabezpieczone bezpośrednie odwołania do obiektów (IDOR).

Dlaczego SAST ma kluczowe znaczenie

Włączenie SAST do potoku CI/CD przynosi istotne korzyści:

Wczesne wykrywanie: Wykrywa luki w zabezpieczeniach przed wdrożeniem, gdy ich usunięcie jest najtańsze.
Wzmocnienie poziomu bezpieczeństwa: Pomaga programistom od początku pisać bezpieczniejszy kod.
Zgodność: Pomaga spełniać różne normy i przepisy dotyczące bezpieczeństwa.

Wczesne wykrywanie problemów pozwala uniknąć kosztownych napraw i potencjalnych naruszeń bezpieczeństwa w przyszłości.

Popularne narzędzia SAST

Dostępnych jest wiele narzędzi SAST, zarówno open source, jak i komercyjnych. Do popularnych należą:

GitHub CodeQL: Natywny silnik SAST firmy GitHub.
SonarQube: Szeroko używana platforma do ciągłego monitorowania jakości i bezpieczeństwa kodu.
Bandit: Linter bezpieczeństwa dla projektów Python.
Snyk Code: Wbudowuje bezpieczeństwo w przepływy pracy programistów.

W GitHub Actions CodeQL jest często najłatwiejszy do zintegrowania, ponieważ jest wbudowany.

SAST w GitHub Actions

Narzędzia SAST można bezpośrednio zintegrować z przepływami pracy GitHub Actions. Oznacza to, że przy każdym wypchnięciu kodu lub otwarciu pull requestu kod może być automatycznie skanowany pod kątem luk w zabezpieczeniach.

Pozwala to uzyskiwać ciągłą informację zwrotną, dzięki której programiści mogą naprawiać problemy z bezpieczeństwem w miarę ich pojawiania się, zamiast czekać do późniejszego etapu.

Konfiguracja CodeQL w przepływie pracy

Przyjrzyjmy się podstawowemu fragmentowi przepływu pracy GitHub Actions służącemu do skonfigurowania CodeQL. Ta akcja uruchamia się automatycznie przy wypchnięciach i pull requestach, aby skanować kod.

Krok github/codeql-action/init@v3 przygotowuje środowisko CodeQL.

name: CodeQL Scan

on:
  push:
    branches: [ main ]
  pull_request:
    branches: [ main ]

jobs:
  analyze:
    runs-on: ubuntu-latest
    steps:
    - name: Checkout repository
      uses: actions/checkout@v4
    - name: Initialize CodeQL
      uses: github/codeql-action/init@v3
      with:
        languages: javascript, python
    # ... more steps for building and analyzing

Uruchamianie analizy CodeQL

Po zainicjowaniu CodeQL należy zbudować kod (jeśli jest to wymagane), a następnie uruchomić analizę. Krok autobuild często potrafi obsłużyć typowe procesy kompilacji.

Na koniec krok analyze przesyła wyniki do karty „Security” w GitHub.

    # ... previous steps from last scene
    - name: Autobuild
      uses: github/codeql-action/autobuild@v3
      # This step attempts to build your code (e.g., Maven, npm)
      # If your project has a complex build, you might need a custom build step.
    - name: Perform CodeQL Analysis
      uses: github/codeql-action/analyze@v3

Zrozumienie raportów SAST

Po zakończeniu skanowania SAST generowany jest raport. W GitHub wyniki CodeQL pojawiają się bezpośrednio na karcie „Security” repozytorium oraz jako adnotacje w pull requestach.

Raporty te zazwyczaj zawierają:

Typ luki: Rodzaj problemu.
Poziom ważności: Krytyczny, wysoki, średni lub niski.
Lokalizacja: Plik i numer wiersza w kodzie.
Wskazówki dotyczące usunięcia problemu: Informacje o sposobie naprawy luki.

Najlepsze praktyki dotyczące SAST

Aby w pełni wykorzystać SAST:

Integruj wcześnie: Skanuj kod tak szybko, jak to możliwe.
Automatyzuj skanowanie: Uruchamiaj SAST przy każdym wypchnięciu kodu lub otwarciu PR.
Nadaj priorytet wynikom analizy: Najpierw skup się na problemach krytycznych i o wysokiej ważności.
Edukuj programistów: Pomóż zespołowi zrozumieć i naprawiać typowe luki w zabezpieczeniach.

Kluczowe jest również regularne przeglądanie i udoskonalanie konfiguracji SAST.

Sprawdzenie wiedzy o SAST

Statyczne testowanie bezpieczeństwa aplikacji (SAST) to potężne narzędzie do zabezpieczania aplikacji. Które z poniższych stwierdzeń najlepiej opisuje kluczową cechę SAST?

Podsumowanie: SAST w potoku

W tej lekcji omówiliśmy statyczne testowanie bezpieczeństwa aplikacji (SAST). Dowiedzieliśmy się, że SAST analizuje kod bez jego uruchamiania, wykrywając luki we wczesnym etapie cyklu tworzenia oprogramowania.

Omówiliśmy sposób działania narzędzi SAST, ich zalety oraz integrację zaawansowanego narzędzia, takiego jak GitHub CodeQL, z przepływem pracy GitHub Actions. Dzięki wdrożeniu SAST znacząco wzmacniamy poziom bezpieczeństwa aplikacji.

Często zadawane pytania

Czy lekcja „Statyczne testowanie bezpieczeństwa aplikacji (SAST)” jest bezpłatna?

Tak — pełny tekst „Statyczne testowanie bezpieczeństwa aplikacji (SAST)” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu CI/CD with GitHub Actions & DevOps Pipelines, przejdź na CoddyKit PRO. Kurs CI/CD with GitHub Actions & DevOps Pipelines zawiera 4 lekcji w sumie.

Co nauczysz się w „Statyczne testowanie bezpieczeństwa aplikacji (SAST)”?

Zintegrują Państwo narzędzia SAST z workflow, aby automatycznie wykrywać luki w zabezpieczeniach kodu przed wdrożeniem. Ćwiczysz CI/CD with GitHub Actions & DevOps Pipelines z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.

Czy potrzebuję doświadczenia, aby zacząć CI/CD with GitHub Actions & DevOps Pipelines?

Nie wymagamy żadnego doświadczenia. CI/CD with GitHub Actions & DevOps Pipelines w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 3 z 4.

Ile czasu zajmuje lekcja „Statyczne testowanie bezpieczeństwa aplikacji (SAST)”?

Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.

Czy mogę pisać i uruchamiać kod w tej lekcji CI/CD with GitHub Actions & DevOps Pipelines?

Tak. Każda lekcja CI/CD with GitHub Actions & DevOps Pipelines zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.

Wszystkie lekcje w tym kursie

Najlepsze praktyki bezpieczeństwa w CI/CD
Zarządzanie sekretami za pomocą GitHub
Statyczne testowanie bezpieczeństwa aplikacji (SAST)
Bezpieczeństwo zależności i łańcucha dostaw (SCA)

← Powrót do CI/CD with GitHub Actions & DevOps Pipelines