【GitLab】SAST と Advanced SAST を比べてみた😎

Transcript

1. 株式会社ウーブ SAST と Advanced SAST を比べてみた😎 山下 洋輔 @yokucho GitLab Meetup Hybrid #2
2. 自己紹介 / トピック 山下 洋輔 @yokucho EC事業会社の営業、 受託開発会社のバックエンドエンジニアを経て 現在、株式会社ウーブで色々やるマン トピック SASTとは Advanced SAST のご紹介 比べてみた！
3. 社内ツール開発でGitLabのSASTを使っていました
4. SASTとは？ Static Application Security Testing = 静的 実行中のアプリケーションではなく、ソースコードがテストの対象 アプリのビルド・デプロイは不要 コードコミットごとに実行可能 つまり、 早期に・低コストで 脆弱性に対応できる
5. SASTとは？ 検知できる脆弱性 SQLインジェクション コマンドインジェクション クロスサイトスクリプティング (XSS) パストラバーサル バッファオーバーフロー XML外部エンティティの脆弱性 GitLabでの有効化 templateを1行追加するだけ！
6. バージョンアップでAdvanced SASTが追加されました 17.1　実験的機能として導入 17.3　一般機能として提供開始 サポート言語 C# Go Java JavaScript(TS) Python Ruby 対応予定 C C++ Kotlin PHP Scala
7. Advanced SAST、使ってみました SASTのテンプレートに加えて 変数を一つ追加するだけ！ Advanced SASTの有効化
8. Advanced SAST、使ってみました 実行時間が長くなったような、 、 、正直よくわからない ジョブ名が advanced に変わった！ analyzerが [GitLab Advanced SAST] に変わった！
9. 一体、何が違うのか？ Advanced SAST を「Advanced」たらしめるもの： SAST (semgrep) 分析対象 単一ファイル・関数が主体 Advanced SAST 複雑な脆弱性検出に限界あり 限られたコンテキストにより、 偽陽性(false-positive)が発生しやすい 精度 分析の深さ 複数のファイル・関数を俯瞰 複数のファイル・関数に及ぶ、 複雑な脆弱性の検出が可能 真に悪用可能な脆弱性にフォーカス 偽陽性(false-positive)が少ない クロスファイル・クロス関数 解析
10. 一体、何が違うのか？ コードフロー：脆弱性までのフローを視覚化
11. この機能の背景には... クラウドセキュリティスタートアップの Oxeyeのコードスキャン技術を活用
12. 実際に試してみた 実験用のサンプルコード 脆弱性：コマンドインジェクション
13. 実際に試してみた 関数横断 エンドポイントから到達可能 エンドポイントから到達不可 ①cross-function-vulnerability ③not-cross-funciton-vulnerablity ファイル横断 ②cross-file-vulnerability ④not-cross-file-vulnerability この2つの関数は偽陽性 エンドポイントから 関数を呼び出す
14. まず、通常のSASTを試してみる 全てのos.system()が 脆弱性として検知された
15. SASTの実行結果 関数横断 エンドポイントから到達可能 エンドポイントから到達不可 ①cross-function-vulnerability ③not-cross-funciton-vulnerablity ファイル横断 ②cross-file-vulnerability ④not-cross-file-vulnerability 脆弱性レポートとして検知されてしまう＝偽陽性 ⇨semgrep（パターンマッチ）の限界
16. 一方、Advanced SASTはどうか... 偽陽性の脆弱性が消えた！
17. ①cross-function-vulnerability ③not-cross-funciton-vulnerablity ②cross-file-vulnerability ④not-cross-file-vulnerability 一方、Advanced SASTはどうか... 関数横断 エンドポイントから到達可能 エンドポイントから到達不可 ファイル横断 APIエンドポイントから到達可能な実質的な脆弱性に絞られた
18. コードフロー それぞれの脆弱性のページから、コードフローを確認できる
19. まとめ クロスファイル・クロス関数 解析により正確性が向上！ 偽陽性が減少し、本当に対処すべき脆弱性への対応に集中できる Advanced SAST：
20. ありがとうございました