Внедрение SAST в процесс разработки

Слабые места в коде можно найти еще на этапе разработки программного обеспечения (далее – ПО). Внедрение SAST (Static Application Security Testing) играет в этом важную роль. С помощью статического анализа исходный код продукта проверяется на наличие уязвимостей и ошибок, которые могут проявить себя уже в процессе эксплуатации приложения. В статье расскажем, какие преимущества у такого вида тестирования, как его внедрить в цикл создания ПО, с помощью каких инструментов можно это сделать.

Статический анализ для обеспечения безопасности ПО: что это, принцип работы, преимущества использования

Статический анализ проводится с учетом специфики компонентов программного продукта и относится к методу белого ящика. Для проведения тестирования не требуется разворачивать ПО в рабочей среде.

Статический анализ безопасности включает семь методов исследования кода:

• Лексический — формирование лексем путем разбора последовательности элементов кода. Этот метод необходим, чтобы подготовить токены, которые будут анализироваться на втором этапе тестирования.
• Синтаксический — проверка токенов на соответствие особенностям языка программирования, который применяется для создания приложения.
• Семантический — анализ компонентов на соответствие внутреннему представлению объектов, с которыми работает ПО.
• Taint-анализ — методика, позволяющая предположить наличие уязвимостей, которые могут эксплуатироваться, например, злоумышленниками для таких атак, как межсайтовый скриптинг и SQL-инъекции.
• Распространение констант — поиск параметров, которые остаются постоянными независимо от сценария выполнения программного продукта.
• Распространение типов — методика, позволяющая установить тип используемой в создании ПО переменной.
• Анализ графов потока управления — методика тестирования, применяемая с целью изучить порядок выполнения приложения.

Статический анализ безопасности ПО может выполняться вручную, совместными усилиями разработчиков, тестировщиков и инженеров по безопасности. Однако целесообразнее использовать анализаторы, которые существенно сокращают время проведения тестирования и показывают более точные результаты.

Преимущества метода SAST:

• Практически 100% охват программного кода.
• Удобство внедрения SAST в процесс разработки продукта. Не нужно менять инфраструктуру, привлекать команду разработчиков и тестировщиков.
• Отсутствие необходимости в развертывании виртуальных сред для тестирования, создании копий приложения, привлечении больших вычислительных мощностей.
• Обнаружение уязвимостей в программах даже на начальных циклах разработки, когда другие виды тестов бессильны.
• Возможность проверять бинарный код, если по каким-то причинам нельзя проанализировать исходный. Однако такая функция реализована не во всех анализаторах. В нашем решении Solar appScreener она есть.

По окончании проверки статический анализатор выдает полный перечень обнаруженных проблем и подробные рекомендации по их ликвидации, поэтому разработчики будут знать не только слабые места ПО, но и методы устранения ошибок.

Внедрение SAST в процесс разработки

Важно ответственно подойти к выбору анализатора кода, чтобы статический анализ безопасности ПО показывал достоверные результаты. Выбранное решение должно поддерживать все распространенные языки программирования, уметь помимо кода анализировать исполняемые файлы, генерировать отчеты для сравнения результатов проверок, формировать рекомендации по устранению проблемы и недекларированных возможностей программных продуктов.

Дальнейшие шаги по внедрению SAST в процесс безопасной разработки в рамках подхода DevSecOps:

• Развертывание анализатора в центре обработки информации, проверка доступности ресурсов, которые необходимы для проведения тестирований.
• Предварительная настройка статического анализатора.
• Обеспечение использования SAST с конвейерами CI/CD.

Для обеспечения безопасности ПО в процессе разработки программных продуктов статическое тестирование должно проводиться регулярно — на каждом этапе. Поэтому обязательно следует проработать политики, регламентирующие использование инструментов сканирования.

Причины внедрения SAST

Статический анализ безопасности программных продуктов позволяет выявлять проблемы в программах на ранних этапах разработки. Чем раньше будут устранены недостатки, тем быстрее пользователи получат качественное и безопасное ПО, при этом команда разработчиков значительно сократит расходы на осуществление технической поддержки. Тщательно провереное и отлаженное программное обеспечение создаст меньше проблем на стадии эксплуатации.

Какие еще причины можно выделить:

• Реализация подхода «Shift-left». Название подхода расшифровывается как «сдвигаться влево», то есть тестирования на проблемы и уязвимости должны начаться как можно быстрее после старта работы над продуктом. Это позволит сразу заметить и исправить слабые места кода. Чем раньше начать устранять уязвимости, тем дешевле обойдется процесс.
• Устранение проблем безопасности в готовых элементах, которые разработчики используют для создания программных продуктов. Внедрение SAST в процесс разработки позволит обнаружить уязвимости во всех фрагментах исходного кода, библиотеках и других заимствованных компонентах. Причем статический анализ оценивает безопасность элементов не отдельно, а именно после их интеграции в разрабатываемое ПО. Дело в том, что сами по себе компоненты могут не нести угроз, но в составе готового продукта становятся причиной уязвимостей.
• Повышение уровня экспертности разработчиков программных решений. Именно создатели ПО первыми сталкиваются с предупреждениями SAST-анализатора и пытаются устранить обнаруженные проблемы. В процессе работы над ошибками разработчики глубоко погружаются в суть уязвимостей для безопасности, изучают рекомендации и опыт других компаний. В результате повышается уровень осведомленности о возможных последствиях, с которыми они могут столкнуться.

Резюмируем — внедрение SAST в процесс разработки позволяет на ранних этапах устранить слабые места в безопасности ПО, принять профилактические меры против подобных проблем в следующих продуктах, повысить уровень экспертности команды, которая трудится над созданием программного обеспечения.

Внедрение SAST с помощью анализатора кода Solar appScreener

Solar appScreener — технологическая платформа, позволяющая проводить не только статические проверки, но и другие виды тестов: динамическое тестирование DAST, SCA-анализ состава приложений, фаззинг-тесты. Перечисленные методы, используемые в комплексе, способствуют обеспечению высокого уровня безопасности ПО.

Как анализатор выполняет статический анализ безопасности кода:

• С помощью специальных алгоритмов на код транслируются известные уязвимости.
• Работает Fuzzy Logic Engine — методика, позволяющая минимизировать число ложноположительных срабатываний (случаев, когда инструмент указывает на проблему, которой на самом нет).
• Формируется список проблем приложения с уточнениями по их ликвидации.
• Результаты тестирования коррелируются с результатами динамического анализа, с помощью которого проверяется поведение приложений в рабочей среде.

В анализаторе реализована уникальная методика проверки бинарного кода с применением реверс-инжиниринга, позволяющая восстанавливать исходный код из исполняемых файлов. Эта функция помогает исследовать готовые программные продукты, если отсутствует доступ к исходному коду.

Внедрение платформы Solar appScreener с технологическим модулем SAST в процесс создания ПО происходит путем интеграции с другими инструментами. Интеграция с серверами, средствами разработки и сборки, репозиториями осуществляется благодаря коннекторам. С какими объектами может взаимодействовать анализатор:

• Платформой SonarQube для оценки качества кода.
• Version Control System и VCS-хостингами.
• Репозиториями Git, Subversion.
• Средствами для сборки приложений: Xcode, Visual Studio и др.
• Инструментами для создания программ, например, Eclipse и IntelliJ IDEA.
• Контейнерами CI/CD: Azure DevOps Server, TeamCity, Jenkins.
• Системами для контроля появления недочетов и ошибок в программах.

Преимущества внедрения платформы Solar appScreener с технологическим модулем SAST в процесс разработки

Главное преимущество — наша платформа позволяет обеспечивать максимальный контроль разрабатываемых продуктов с минимальным влиянием на сроки. Другие сильные стороны Solar appScreener:

• Поддержка 36 языков программирования.
• Возможность проводить тестирование без доступа к исходному коду программы.
• Обеспечение всестороннего контроля приложений путем реализации комплекса тестирований.

Использование анализатора позволит соблюдать законодательные требования в отношении программных продуктов, нормы различных регуляторов, в частности, ФСТЭК России.