SAST: что такое Static Application Security Testing

Среди разработчиков программного обеспечения (далее – ПО) всё популярнее становится DevSecOps — методология, в основе которой лежит постоянный контроль создаваемых программ для повышения безопасности выпускаемых продуктов. В процессе разработки регулярно проводятся тестирования ПО с целью предотвратить появление недекларированных возможностей и обнаружить ошибки, уязвимости. В первую очередь прибегают к Static Application Security Testing (далее — SAST). В статье разберемся, как происходит и что дает такая проверка, с помощью каких инструментов можно ее реализовать.

SAST: что это, зачем нужен такой анализ, где он применяется

Статический анализ позволяет проверять исходный код программы или его отдельные части на любом этапе цикла разработки, не запуская разрабатываемое ПО. Проверка может осуществляться тестировщиками, разработчиками или инженерами по безопасности вручную или с помощью специальных анализаторов, работающих в автоматическом режиме. Второй вариант удобнее и надежнее, поскольку анализ проходит быстрее, а результаты получаются более достоверными и точными.

Статический анализ можно отнести к методу белого ящика, поскольку для его проведения необходимо иметь доступ к исходному коду приложения. Зато тестируемую программу не нужно разворачивать в виртуальной рабочей среде, выделяя для проверки дополнительные вычислительные мощности. Именно эти преимущества SAST способствуют тому, что такой анализ чаще всего используется в процессе безопасной разработки ПО.

В каких случаях полезен статический анализ:

• Приложение еще на раннем этапе разработки, и другие виды анализа пока применить невозможно.
• Нужно убедиться, что выпускаемый продукт готов к релизу, не содержит ошибок, уязвимостей, проблем и недекларированных возможностей.

Static Application Security Testing широко применяется разработчиками программных продуктов. Статический анализ в процессе безопасной разработки приложений входит в комплекс тестирований для всестороннего контроля выпускаемых программных продуктов. Помимо SAST, используются такие тесты, как DAST (проверка ПО на уязвимости в процессе его работы), SCA-анализ состава программ, фаззинг-проверки и т.д.

Преимущества и минусы SAST

Сильные стороны статической проверки:

• Быстрота и эффективность. Если использовать специальные анализаторы, исследование программ происходит оперативно. Высокая скорость тестирования не влияет на достоверность результатов.
• Практически 100% покрытие кода. Ни один другой вид тестирования не может также глубоко проанализировать компоненты приложений.
• Простота внедрения. Для тестирования не нужно отдельно разворачивать рабочие среды, задействовать большую команду специалистов.
• Получение экспертных рекомендаций по ликвидации обнаруженных в компонентах ПО проблем.

Существенный минус Static Application Security Testing — ложноположительные срабатывания. Анализатор может просигнализировать о проблеме, даже если на самом деле все в порядке. В таких случаях специалистам приходится зря тратить время на проверку сигналов.

Как работает SAST

Если коротко описывать схему работы статического анализатора, то код трансформируется во внутреннее представление, применяются алгоритмы анализа и правила поиска, реализованные в анализаторе. Затем происходит трансляция известных уязвимостей на исходный код с целью показать разработчику проблему в контексте кода. Заключительный этап — выводится список найденных проблем и формируются детальные рекомендации по возможным вариантам устранения слабых мест.

Если анализатором обрабатываются бинарные файлы, сначала происходит преобразование исполняемых файлов в исходный код, который затем анализируется с помощью алгоритмов SAST. При проверке применяются технологии деобфускации и декомпиляции, позволяющие привести компоненты ПО в удобный для исследования формат. Таким образом можно исследовать наследованные программы, в безопасности которых есть сомнения и приложения, разработанные подрядчиками.

При выполнении Static Application Security Testing анализатор может использовать следующие методы анализа: лексический, синтаксический, семантический, Taint-тестирование, распространение типов и констант, исследование графов потока управления. В ходе этих этапов ПО проверяется на соответствие кода выбранному языку программирования, присутствие небезопасных элементов, соблюдение порядка выполнения заявленных действий программы и т.д.

Как выбрать анализатор для проведения Static Application Security Testing

Какими критериями должен обладать анализатор:

• Охват большого количества языков программирования.
• Возможность проверять не только исходный код, но и исполняемые файлы.
• Графическое представление результатов проверок для наглядного восприятия.
• Возможность сравнения итогов проверок за разные периоды для оценки эффективности устранения уязвимостей.
• Формирование подробных экспертных рекомендаций для разработчиков.
• Присутствие в Едином реестре отечественного ПО, чтобы SAST-анализатор можно было использовать в рамках импортозамещения.

Всем этим критериям соответствует комплексная платформа Solar appScreener, предоставляющая инструменты для осуществления ряда тестирований: SAST, DAST, SCA, SCS-анализа цепочки поставок.

Преимущества использования Solar appScreener для SAST и других видов проверок

Solar appScreener — сертифицированная отечественная платформа, которая является лидером рынка по количеству охваченных языков программирования (поддержка 36 языков). Другие возможности и преимущества анализатора:

• Возможность бинарного анализа с применением реверс-инжиниринга. Анализатор умеет восстанавливать код из исполняемых файлов в таких форматах, как APK, APP, EXE и других.
• Наличие открытого API-интерфейса для расширения возможностей интеграции.
• Реализация Fuzzy Logic Engine — уникальной технологии, которая позволяет свести к минимуму число ложных срабатываний анализатора в ходе проведения SAST.
• Простая и безболезненная интеграция в цикл безопасной разработки SDLC.
• Интеграция со всеми широко используемыми средствами сборки и разработки ПО.
• Удобный интерфейс для управления сканирования.
• Корреляция результатов разных видов анализа для получения детального представления об уровне безопасности ПО.