💡 如何在流水线中集成与应用 SAST，实现自动化代码安全扫描 ？
近日，在「DevSecOps软件安全开发实践」课程上，极狐(GitLab) 高级专业服务交付工程师欧阳希、极狐(GitLab) 后端工程师黄松，分享了静态安全扫描与漏洞检测的 WHAT-WHY-HOW，并演示无缝衔接极狐GitLab 合并请求与议题功能，帮助大家进一步掌握 SAST 技术。
以下内容整理自本次直播，你也可以点击👉观看视频回放或下载 PPT。Enjoy～
软件开发生命周期中，会遇到各种各样的安全问题。众多开发人员都在寻求一个自动化排查风险和漏洞的工具，使其成为高质量软件研发的 “好助手”。
极狐GitLab 作为一体化安全 DevOps 平台，内置七大安全功能，无缝嵌入 CI/CD，实现安全自动检测，生成安全报告，结合漏洞管理功能，形成完善的漏洞追踪管理机制，最终利用发现问题、追踪问题、修复问题的闭环，来帮助用户构建纵深防御体系。
本次课程分享源代码扫描工具，包括 KICS 和 SAST 这两个覆盖不同层面的方式：
-
KICS 扫描：扫描 IaC（基础设施即代码） 源代码中的漏洞与风险；
-
SAST 扫描：扫描软件项目中源代码文件引入的安全风险。
在极狐GitLab 中，源代码安全扫描工作流如下图：
-
每次提交代码或变更时，触发流水线静态代码扫描；
-
扫描结果在 MR 中直接展示，并显示漏洞级别（高、中、低等）；
-
在 MR 中点击对应的安全漏洞就可以完成漏洞追踪管理；
-
修复安全问题后再次提交代码，重新检测，审核通过后才可以合并到主分支。
下面，我们分别展开 KICS 和 SAST 介绍。
KICS 保障基础设施即代码（IaC）安全
KICS 是什么？
KICS （Keeping Infrastructure as Code Secure）主要用来在开发早期发现 IaC（基础设施即代码）中的一些安全漏洞、合规问题以及错误配置等。
极狐GitLab CI/CD 内建了 KICS 模板，支持对代码仓库的 IaC（基础设施即代码）进行静态扫描。
KICS 使用条件
-
使用极狐GitLab CI/CD；
-
使用极狐GitLab Runner并使用 K8s 或 Docker 的 Executor；
-
使用过程中系统自动拉取安全扫描镜像。
KICS 扫描结果
-
KICS 扫描静态代码源代码中包含的安全漏洞；
-
扫描结果将被保存在流水线产物 Job Artifect 中；
-
扫描结果进行分类，包括 Critical，High，Middle，Low 级别安全风险。
KICS 扫描范畴
包括但不限于以下自动化工具：
-
Ansible；
-
Azure Resource Manager；
-
CloudFormation；
-
Dockerfile；
-
Docker Compose；
-
Kubernetes；
-
OpenAPI；
-
Google Deployment Manager；
-
gRPC;
-
Terraform。
如何配置 KICS ？
使用极狐GitLab CI/CD 配置 KICS IaC 安全扫描：
-
在存放相关 IaC 代码的极狐GitLab 仓库中添加 .gitlab-ci.yml 配置文件并添加 IaC 扫描模板，如下内容：
-
提交该变更，系统自动触发 CI/CD 流水线进行安全扫描。
可参考极狐GitLab IaC 扫描官方文档定制化配置扫描规则 GitLab Infrastructure as Code (IaC) Scanning。
KICS 扫描结果如何呈现 ？
极狐GitLab CI/CD 流水线执行完成后，针对扫描结果输出安全报告，在 2 分钟内即可展示在流水线产物中，如下图：
KICS 扫描结果如何使用？
KICS IaC 扫描无缝衔接极狐GitLab 合并请求以及议题：
➤ 项目管理者
-
可快速定位 MR 中引入的安全问题，并指派相关人员进行修复；
-
可以针对相关的代码段进行评论，引导开发者解决问题并进行问题留痕。
➤ 开发者
-
可根据极狐GitLab 的 IaC 扫描结果快速创建相关议题，针对中高风险问题进行精准跟踪，并指派相关人员解决该问题；
-
可通过标签为各类安全问题设置风险等级，并记录相关问题的解决过程和耗时。
SAST
SAST 是什么？
软件中的漏洞和弱点很常见：84% 的软件漏洞都是利用应用层的漏洞。软件相关问题的普遍性是使用应用安全测试工具的主要动机，SAST 就是其中之一。
SAST（Static Application Security Testing）静态应用程序安全测试，俗称静态分析，是一种应用程序的安全测试手段，出现较早，主要是通过分析源代码来发现潜在的安全漏洞，从而确保软件安全。
SAST 属于白盒测试，分析结果能够精确到代码行数，而且通常是在代码编译之前进行，因此属于 SDLC 早期，修复问题的成本相对较低。
如上图所示，同属于源代码阶段的安全测试还有前文说到的基础设施即代码扫描，以及 DAST 静态应用程序安全测试、许可证合规、密钥检测。
优秀的 SAST 工具具备什么特点？
➤ 更好的集成性和综合性
-
与软件生命周期紧密结合，能和议题、合并请求集成；
-
支持更全面的语言框架，不需要分开使用多个开源方案。
➤ 更好的可视化和报告功能
-
检测后能生成详细的漏洞报告，支持强大的漏洞管理功能。
➤ 更好的扩展性和定制性
-
能够统一各种静态分析器的接口，减小用户学习成本；
-
能支持扩展自定义分析器，满足复杂场景需求。
如上文极狐GitLab 安全扫描工作流所介绍，极狐GitLab 将 SAST 与 MR 无缝集成，在创建 MR 时，触发 CI/CD 进行 SAST 分析，最终的结果会展示在 MR 中，开发人员可通过创建 Issue 来对相应的 SAST 漏洞进行追踪管理；当修改后重新提交代码，再次触发 CI/CD Pipeline，在确认无误后，方可合入代码。
其中，极狐GitLab 的分析器，基于第三方代码分析工具的封装，统一处理逻辑和输出格式，支持自定义，支持多种语言，包管理器，框架等，诸如 Java、Go、.Net、JavaScript、Node.js 等。
如何启用 SAST ？
以极狐GitLab 为例：
SAST 的执行流程如下图，极狐GitLab 支持通过两种方式启用 SAST：
➤ 方式 1：在 UI 中配置 SAST
基础配置包含 4 项：
-
Image prefix：自定义分析镜像的命名空间；
-
Excluded paths：修改时记得手动加上默认值；
-
Stage：流水线阶段；
-
Search maximum depth：语言确定阶段搜索深度，具体分析是整个源码。
➤ 方式 2：在 CI/CD YAML 中配置 SAST
只需要在极狐GitLab CI/CD 中加入如下两行代码即可使能 SAST：
include:
- template: Security/SAST.gitlab-ci.yml
详细配置内容可参考官方文档 静态应用程序安全测试（SAST）。
以上，就是关于 SAST 的基础支持和应用分享。
同时，我们提供了极狐GitLab 旗舰版 30 天免费体验机会，欢迎到极狐GitLab 官网申请试用，解锁更多 DevSecOps 实践。
